[系统安全] 二十四.逆向分析之OllyDbg调试INT3断点、反调试、硬件断点与内存断点

曾经终败给现在 2022-10-31 13:48 56阅读 0赞

**您可能之前看到过我写的类似文章，为什么还要重复撰写呢？只是想更好地帮助初学者了解病毒逆向分析和系统安全，更加成体系且不破坏之前的系列。因此，我重新开设了这个专栏，准备系统整理和深入学习系统安全、逆向分析和恶意代码检测，“系统安全”系列文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。换专业确实挺难的，逆向分析也是块硬骨头，但我也试试，看看自己未来四年究竟能将它学到什么程度，漫漫长征路，偏向虎山行。享受过程，一起加油~**

**作者前文介绍了OllyDbg动态调试工具的基本用法，包括界面介绍、常用快捷键和TraceMe案例分析。这篇文章将讲解逆向分析之OllyDbg动态调试工具，包括INT3断点、反调试、硬件断点和内存断点。** 这些基础性知识不仅和系统安全相关，同样与我们身边常用的软件、文档、操作系统紧密联系，希望这些知识对您有所帮助，更希望大家提高安全意识，安全保障任重道远。本文参考了B站yxfzedu、安全网站和参考文献中的文章，并结合自己的经验和实践进行撰写，在此感谢这些大佬们。

### 文章目录 ###

*  一.常用断点之INT3断点
 *   *  1.查看INT3断点
     *  2.INT3原理
     *  3.INT3例子
 *  二.INT3断点的反调试与反反调试
 *  三.常用断点之硬件断点原理解析
 *  四.常用断点之内存断点原理解析
 *  五.总结

**作者的github资源：**  
软件安全：[https://github.com/eastmountyxz/Software-Security-Course][https_github.com_eastmountyxz_Software-Security-Course]  
其他工具：[https://github.com/eastmountyxz/NetworkSecuritySelf-study][https_github.com_eastmountyxz_NetworkSecuritySelf-study]  
逆向分析：[https://github.com/eastmountyxz/Reverse-Analysis-Case][https_github.com_eastmountyxz_Reverse-Analysis-Case]

### 文章目录 ###

> 从2019年7月开始，我来到了一个陌生的专业——网络空间安全。初入安全领域，是非常痛苦和难受的，要学的东西太多、涉及面太广，但好在自己通过分享100篇“网络安全自学”系列文章，艰难前行着。感恩这一年相识、相知、相趣的安全大佬和朋友们，如果写得不好或不足之处，还请大家海涵！  
>   
> 接下来我将开启新的安全系列，叫“系统安全”，也是免费的100篇文章，作者将更加深入的去研究恶意样本分析、逆向分析、内网渗透、网络攻防实战等，也将通过在线笔记和实践操作的形式分享与博友们学习，希望能与您一起进步，加油~
> 
>  *  推荐前文：[网络安全自学篇系列-100篇][-100]

**作者的github资源：**

*  逆向分析：[https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis][https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]
 *  网络安全：[https://github.com/eastmountyxz/NetworkSecuritySelf-study][https_github.com_eastmountyxz_NetworkSecuritySelf-study]

**前文分析：**

*  [\[系统安全\] 一.什么是逆向分析、逆向分析基础及经典扫雷游戏逆向][_.]
 *  [\[系统安全\] 二.如何学好逆向分析及吕布传游戏逆向案例][_. 1]
 *  [\[系统安全\] 三.IDA Pro反汇编工具初识及逆向工程解密实战][_.IDA Pro]
 *  [\[系统安全\] 四.OllyDbg动态分析工具基础用法及Crakeme逆向][_.OllyDbg_Crakeme]
 *  [\[系统安全\] 五.OllyDbg和Cheat Engine工具逆向分析植物大战僵尸游戏][_.OllyDbg_Cheat Engine]
 *  [\[系统安全\] 六.逆向分析之条件语句和循环语句源码还原及流程控制][_. 2]
 *  [\[系统安全\] 七.逆向分析之PE病毒原理、C++实现文件加解密及OllyDbg逆向][_._PE_C_OllyDbg]
 *  [\[系统安全\] 八.Windows漏洞利用之CVE-2019-0708复现及蓝屏攻击][_.Windows_CVE-2019-0708]
 *  [\[系统安全\] 九.Windows漏洞利用之MS08-067远程代码执行漏洞复现及深度提权][_.Windows_MS08-067]
 *  [\[系统安全\] 十.Windows漏洞利用之SMBv3服务远程代码执行漏洞（CVE-2020-0796）复现][_.Windows_SMBv3_CVE-2020-0796]
 *  [\[系统安全\] 十一.那些年的熊猫烧香及PE病毒行为机理分析][_._PE]
 *  [\[系统安全\] 十二.熊猫烧香病毒IDA和OD逆向分析（上）病毒初始化][_._IDA_OD]
 *  [\[系统安全\] 十三.熊猫烧香病毒IDA和OD逆向分析（中）病毒释放机理][_._IDA_OD 1]
 *  [\[系统安全\] 十四.熊猫烧香病毒IDA和OD逆向分析–病毒释放过程（下）][_._IDA_OD 2]
 *  [\[系统安全\] 十五.Chrome浏览器保留密码功能渗透解析、蓝屏漏洞及某音乐软件漏洞复现][_.Chrome]
 *  [\[系统安全\] 十六.PE文件逆向基础知识(PE解析、PE编辑工具和PE修改)][_.PE_PE_PE_PE]
 *  [\[系统安全\] 十七.Windows PE病毒概念、分类及感染方式详解][_.Windows PE]
 *  [\[系统安全\] 十八.病毒攻防机理及WinRAR恶意劫持漏洞(脚本病毒、自启动、定时关机、蓝屏攻击)][_._WinRAR]
 *  [\[系统安全\] 十九.宏病毒之入门基础、防御措施、自发邮件及APT28宏样本分析][_._APT28]
 *  [\[系统安全\] 二十.PE数字签名之(上)什么是数字签名及Signtool签名工具详解][_.PE_Signtool]
 *  [\[系统安全\] 二十一.PE数字签名之(中)Signcode、PEView、010Editor、Asn1View工具用法][_.PE_Signcode_PEView_010Editor_Asn1View]
 *  [\[系统安全\] 二十二.PE数字签名之(下)微软证书漏洞CVE-2020-0601复现及Windows验证机制分析][_.PE_CVE-2020-0601_Windows]
 *  [\[系统安全\] 二十三.逆向分析之OllyDbg动态调试复习及TraceMe案例分析][_._OllyDbg_TraceMe]
 *  [\[系统安全\] 二十四.逆向分析之OllyDbg调试INT3断点、反调试、硬件断点与内存断点][_._OllyDbg_INT3]

> 声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。该样本不会分享给大家，分析工具会分享。（参考文献见后）

--------------------

# 一.常用断点之INT3断点 #

## 1.查看INT3断点 ##

INT3断点对应OD中的F2断点，有时也称为CC断点。为什么叫CC断点呢？因为转换成硬编码之后就是CC，我们来查看CC断点。

首先，我们用OD打开程序TraceMe.exe

![在这里插入图片描述][20200513163155725.png_pic_center]

打开之后会自动定位至004013A0，接着再下一行增加断点（按F2），即INT3断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]

但OD中并没有显示CC，我们打开Cheat Engine软件。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]

然后在OD按下F9运行，弹出如下图对话框。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]

接着在CE中选择该程序TraceMe打开。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]

然后点击“手动加入地址”，输入地址“4013A1”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]

接着选中数据并右键点击“显示未十六进制”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]

由于采用小端存储，故“FF6AECCC”是从右往左数的，如下图所示。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]

**如果我们选择“4字节”点击，然后选择“Byte”，可以转换成1个字节，因为CC就占用一个字节，我们主要是观察它的。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]

为什么OD不显示CC呢？  
其实OD是为了不破坏源代码的完整性，默认隐藏掉了。

--------------------

## 2.INT3原理 ##

接着我们分析INT3的原理。程序运行中，OD会检查汇编指令有没有INT3，即机器码有没有CC指令。如果存在，就会引发并捕获这个异常，程序就中断在此处，然后OD会删除INT3，还原原来的代码，接着继续运行我们的程序。

**执行流程的原理可归纳为：**

*  替换指令，换成INT3指令或CC硬编码
 *  OD检测到INT3指令之后会引发一个异常并且捕获它，这时候程序就会中断
 *  删除INT3指令，还原之前的指令

**优点：**

*  可以无限的下INT3断点

**缺点：**

*  很容易被检测

为什么要详细介绍断点的原理呢？  
只有了解每个断点的原理之后，以后做爆破才知道应该下什么样的断点合适。

--------------------

## 3.INT3例子 ##

接下来我们举个INT3断点的例子，使用OD打开TraceMe.exe程序，设置API断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]

这里勾选“GetDlgItemTextA”函数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]

接着输入用户名和序列号，按F9运行程序。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]

代码会停在“761F4390”位置，我们接着用CE看看它是不是CC断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]

接着以十六进制显示，并只显示一字节，发现的确是CC断点。所以，CC断点很容易被检测出来。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]

--------------------

# 二.INT3断点的反调试与反反调试 #

**我们编写的软件被爆破时，总会被下INT3断点，我们能不能写个程序防止别人下CC断点，从而保护我们的程序呢？这个就叫反调试，而反反调试是绕过保护过程。**

*  反调试：保护这个程序
 *  反反调试：爆破这个程序

基础知识：

*  **FARPROC结构体**
 *  **GetProcAddress函数**  
    它是一个计算机函数，功能是检索指定的动态链接库(DLL)中的输出库函数地址
 *  **LoadLibrary函数**  
    将指定的模块加载到调用进程的地址空间中

接着我们用VS编写代码讲解。LoadLibrary函数会返回一个句柄，然后调用GetProcAddress函数。GetProcAddress返回值包括：

*  如果函数调用成功，返回值是DLL中的输出函数地址
 *  如果函数调用失败，返回值是NULL。得到进一步的错误信息，调用函数GetLastError

FARPROC GetProcAddress(
        HMODULE hModule,     // DLL模块句柄
        LPCSTR lpProcName    // 函数名
    );

**第一步，我们打开VS编写C++代码。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]

下列代码是获取MessageBoxA函数的首地址，并判断是否为CC断点。

#include <iostream>
    #include <Windows.h>
    int main()
    { 
    	//获取MessageBoxA的首地址
    	FARPROC addr = GetProcAddress(LoadLibrary(L"user32.dll"), "MessageBoxA");
    	
    	//仅获取首地址的第一个字节
    	byte byteAddr = *(byte *)addr;
    	
    	//弹框
    	::MessageBoxA(NULL, "内容", "标题", MB_OK);
    	
    	//判断地址
    	if(byteAddr == 0xCC) { 
    		//检测到有人在调试我们的程序 退出程序
    		printf("检测到非法调试");
    	}
    	else { 
    		printf("代码正常");
    	}
    	getchar();
    }

在VS中输入上述代码。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]

**第二步，运行前，需要简单设置。**

*  设置Release

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]

*  设置属性

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]

*  禁用Spectre缓解

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]

*  设置随机基址否

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]

**第三步，接着运行代码**  
运行结果如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]

显示代码正常执行。

![在这里插入图片描述][20200513205452862.png_pic_center]

**第四步，使用OD调试程序**  
接下来我们尝试调试这个EXE程序，用OD打开“ConsoleApplication1.exe”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]

OD打开如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]

然后点击“插件”->“API断点设置工具”->“常用断点设置”，给MessageBoxA下断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]

运行OD，断点位于761E0F40位置，对应user32.MessageBoxA。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]

继续运行代码。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]

**查看调试信息，发现检测到非法调试，也表明我们的判断没有问题。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]

**第五步，删除断点对比执行结果**  
接着按下“b”删除断点，继续运行代码。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]

发现代码正常运行。

![在这里插入图片描述][20200513210636157.png_pic_center]

**这就是一个INT3断点的反调试过程。**  
**那么，怎么进行反反调试呢？我们又怎么下INT3断点呢？**

我们进入函数之后，可以将断点下到中间或尾部即可。OD重新打开程序，并找到MessageBoxA的位置。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]

我们在中间位置下断点，如下图所示 761E0F45处。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]

**接着F9运行程序，发现此时输出“代码正常”，该断点并没有被检测出来，这就是所谓的反反调试。**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]

--------------------

# 三.常用断点之硬件断点原理解析 #

硬件断点和调试寄存器有关，共有8个调试寄存器DR0~DR7。

*  **DR0~DR3：** 保存断点地址。由于只有4个硬件断点寄存器，所以同时最多只能设置4个硬件断点
 *  **DR4~DR5：** 系统保留
 *  **DR6：** 状态寄存器，显示哪个硬件调试寄存器引发的断点。如果是Dr0-Dr3的话，相应位会被置1。如果是Dr0引发的断点，则Dr6的第0位被置1；如果是Dr1引发的断点，则Dr6的第1位被置1，依次类推。因为硬件断点同时只会触发一个，所以Dr6的低4位最多只有一位被置1，所以在进入单步后，我们可以通过检测Dr6的低4位是否有1的位，就可以判断该单步是否是因为硬件断点被断下的。如果是硬件断点被断下的，进而可以通过Dr6的哪一位为1来判断是由Dr0-Dr3中的哪个断点断下的。
 *  **DR7：** 控制寄存器。设置相应控制位，用于控制断点的方式

**原理：**

*  DR0~DR3保存我们断点的地址
 *  DR7寄存器设置相对应的控制位
 *  程序执行到该地址时，CPU会向OD发送异常信息
 *  程序会执行中断操作，等待用户操作

**优点：**

*  速度快，比INT3快，因为INT3需要改汇编代码，而硬件断点使用寄存器
 *  不容易被检测

**缺点：**

*  最多只能下4个硬件断点

![在这里插入图片描述][2020051322023660.png_pic_center]

接着我们继续用OD分析TraceMe.exe为例，打开之后定位至004013A0位置。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]

选择004013B6位置，右键“断点”->“硬件执行”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]

这样就增加了一个硬件断点，当CPU运行到该地址会发送一场信息中断。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]

如何查看硬件断点呢？点击“调试”->“硬件断点”可以查看刚打的硬件断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]

接着按下F9运行程序，它会停在硬件断点位置。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]

--------------------

# 四.常用断点之内存断点原理解析 #

在介绍内存断点之前，首先需要知道什么是内存属性。内存属性包括Read、Write、Execute的组合，即可读、可写、可执行。比如VirtualProtectEx函数，可以改变在特定进程中内存区域的保护属性。

内存断点就是根据内存属性来实现的，比如想对一个地址打个内存访问断点，就是把这个地址的内存属性改为不可访问（不可读写执行），当程序运行到此处时，就会产生一个异常被OD捕获，从而中断程序。

**原理：**

*  设置完内存断点之后，它就是对这个地址赋予了不可读、不可写、不可执行的属性
 *  程序运行到这里之后，会产生一个异常
 *  OD捕获这个异常，然后程序中断，实现了一个内存断点

**优点：**

*  没有改变汇编代码，改变的是内存属性
 *  游戏爆破时，如果常规断点没效果，可以尝试内存断点

接下来我们想在004013D0位置代码增加内存断点，对应代码：

mov dword ptr ds:[0x405528],edx

该代码就是一个写操作，edx往ds:\[0x405528\]中写入一个值。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]

选择数据窗口中跟随。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]

然后再数据窗口中选择4个字节，右键“断点”->“内存写入”或“内存访问”。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]

然后按下F9运行，此时断到了此处。证明我们内存写入断点已经生效。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]

**接下来补充内存读写断点和硬件读写断点的区别。**

以刚才的代码为例，我们先删除刚才的内存断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]

接着OD重新打开EXE程序，数据窗口跟随到405528。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]

选中4字节，设置其为“硬件写入”断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]

运行代码，此时硬件断点断在了下一行位置004013D6。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 43]

至此，内存断点和硬件断点介绍完毕！

--------------------

# 五.总结 #

写到这里，这篇文章就介绍完毕，希望您喜欢~

*  常用断点之INT3断点  
    1.查看INT3断点  
    2.INT3原理  
    3.INT3例子
 *  INT3断点的反调试与反反调试
 *  常用断点之硬件断点原理解析
 *  常用断点之内存断点原理解析

这篇文章中如果存在一些不足，还请海涵。作者作为网络安全初学者的慢慢成长路吧！希望未来能更透彻撰写相关文章。同时非常感谢参考文献中的安全大佬们的文章分享，感谢师傅、师兄师弟、师姐师妹们的教导，深知自己很菜，得努力前行。

**欢迎大家讨论，是否觉得这系列文章帮助到您！任何建议都可以评论告知读者，共勉。**

2020年8月18新开的“娜璋AI安全之家”，主要围绕Python大数据分析、网络空间安全、人工智能、Web渗透及攻防技术进行讲解，同时分享CCF、SCI、南核北核论文的算法实现。娜璋之家会更加系统，并重构作者的所有文章，从零讲解Python和安全，写了近十年文章，真心想把自己所学所感所做分享出来，还请各位多多指教，真诚邀请您的关注！谢谢。

![在这里插入图片描述][20210222013437221.png_pic_center]

(By:Eastmount 2021-02-4 夜于武汉 [http://blog.csdn.net/eastmount/][http_blog.csdn.net_eastmount] )

--------------------

**参考文章：**  
\[1\] [动态调试工具之OllyDbg(OD)教程 - B站yxfzedu][OllyDbg_OD_ - B_yxfzedu]  
\[2\] [\[逆向笔记\] OD工具使用-逆向TraceMe.exe- 17bdw随手笔记][OD_-_TraceMe.exe- 17bdw]  
\[3\]《加密与解密》段钢等著  
\[4\]《OllyDBG入门教程》看雪学院 - CCDebuger  
\[5\] [160个Crackme006 - 鬼手56大佬][160_Crackme006 - _56]  
\[6\] [\[调试逆向\] 硬件断点的原理与实现 - 52PJ VicZ][_ - 52PJ VicZ]  
\[7\] [https://github.com/eastmountyxz/Reverse-Analysis-Case][https_github.com_eastmountyxz_Reverse-Analysis-Case]  
\[8\] [Cheat Engine 基本用法 - thomas\_blog][Cheat Engine _ - thomas_blog]

[https_github.com_eastmountyxz_Software-Security-Course]: https://github.com/eastmountyxz/Software-Security-Course
[https_github.com_eastmountyxz_NetworkSecuritySelf-study]: https://github.com/eastmountyxz/NetworkSecuritySelf-study
[https_github.com_eastmountyxz_Reverse-Analysis-Case]: https://github.com/eastmountyxz/Reverse-Analysis-Case
[-100]: https://blog.csdn.net/eastmount/category_9183790.html
[https_github.com_eastmountyxz_SystemSecurity-ReverseAnalysis]: https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis
[_.]: https://blog.csdn.net/eastmount/article/details/108708564
[_. 1]: https://blog.csdn.net/eastmount/article/details/108832086
[_.IDA Pro]: https://blog.csdn.net/eastmount/article/details/108881705
[_.OllyDbg_Crakeme]: https://blog.csdn.net/Eastmount/article/details/108956863
[_.OllyDbg_Cheat Engine]: https://blog.csdn.net/Eastmount/article/details/109107692
[_. 2]: https://blog.csdn.net/Eastmount/article/details/110944699
[_._PE_C_OllyDbg]: https://blog.csdn.net/Eastmount/article/details/111027618
[_.Windows_CVE-2019-0708]: https://blog.csdn.net/Eastmount/article/details/111085560
[_.Windows_MS08-067]: https://blog.csdn.net/Eastmount/article/details/111341612
[_.Windows_SMBv3_CVE-2020-0796]: https://blog.csdn.net/Eastmount/article/details/111518785
[_._PE]: https://blog.csdn.net/Eastmount/article/details/111706890
[_._IDA_OD]: https://blog.csdn.net/Eastmount/article/details/111769346
[_._IDA_OD 1]: https://blog.csdn.net/Eastmount/article/details/111999346
[_._IDA_OD 2]: https://blog.csdn.net/Eastmount/article/details/111712482
[_.Chrome]: https://blog.csdn.net/Eastmount/article/details/112852434
[_.PE_PE_PE_PE]: https://blog.csdn.net/Eastmount/article/details/113141466
[_.Windows PE]: https://blog.csdn.net/Eastmount/article/details/113527586
[_._WinRAR]: https://blog.csdn.net/Eastmount/article/details/113574883
[_._APT28]: https://blog.csdn.net/Eastmount/article/details/113619336
[_.PE_Signtool]: https://blog.csdn.net/Eastmount/article/details/113744316
[_.PE_Signcode_PEView_010Editor_Asn1View]: https://blog.csdn.net/Eastmount/article/details/113774264
[_.PE_CVE-2020-0601_Windows]: https://blog.csdn.net/Eastmount/article/details/113829876
[_._OllyDbg_TraceMe]: https://blog.csdn.net/Eastmount/article/details/113923604
[_._OllyDbg_INT3]: https://blog.csdn.net/Eastmount/article/details/113964355
[20200513163155725.png_pic_center]: /images/20221024/1ab6275ef8b644fa9f32bc55e453d519.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221024/932d43436de14fa787d5ee7f85d2649b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221024/0a389cfb29724c39a1423b58930fec07.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221024/514c21209682469c91f914bc0d01bf35.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221024/4032891f02f74c10be4bd571a77c94e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221024/9f093bc16e8a41f4997faf9be90404cb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221024/3e90b2f26ead45b981561b1ca4c20f44.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221024/a8777e95763848b1acb04a87fb2be946.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221024/83eec911d3344e2cb9e4e2c0bd1396d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221024/97f758b6a1464321b40a739dafedbce4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221024/b0aa39e80dfe4f019e0a9c6e0b68cd75.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20221024/dc96bf2765a34edda84699a14554f7ff.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20221024/fa5094e2cf4d4f53a620f4dcd9320c46.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20221024/46270624b9d64a0fa71e1a282054f763.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20221024/61b699687e124012a2e18d2fc97d81ec.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 14]: /images/20221024/2cebe600ff654ad58e1a96ecb0a5f292.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 15]: /images/20221024/163f8f9fdde343f4b9f23fe3392a64c8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 16]: /images/20221024/d96f084bc73e44ef8f4729f26fdcfd80.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 17]: /images/20221024/a0ce198ba6c4428592eb5316c3dafe74.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 18]: /images/20221024/580ccd4222e44af8acde4ac8751e6210.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 19]: /images/20221024/b94b9c9a616a4ecf8e2a589833daac8f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 20]: /images/20221024/34c90d127282455c993da8bb19eb13de.png
[20200513205452862.png_pic_center]: /images/20221024/15e53908c6054135b30ef099cf152595.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 21]: /images/20221024/1de09a1bc9f4466c8147409bc2be51a4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 22]: /images/20221024/67383365b0ab45a3b71c5e918416edc1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 23]: /images/20221024/4568196bf24f4a57a6f309d204ba7803.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 24]: /images/20221024/5be2cee7baa54ce6a705a2920798463c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 25]: /images/20221024/0fb2c1ab5c7543029732db8a4b583399.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 26]: /images/20221024/5b136acb89fe4b28a88eb424842a4b36.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 27]: /images/20221024/34c7e8a8614f4603a1fc2c6e9e5f0d7a.png
[20200513210636157.png_pic_center]: /images/20221024/30ccbb40b5d24c0fb54346201a79260a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 28]: /images/20221024/55b4de3ea5844b6b941291cd5df483c7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 29]: /images/20221024/612099d09f8b4a7e90f84b0a8cdee35c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 30]: /images/20221024/a6971d7a83c3495abfe97a134fb83fa0.png
[2020051322023660.png_pic_center]: /images/20221024/f7a17c6d392c45188cce5e9d02a48789.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 31]: /images/20221024/0ce79f8e5b4e401fa714f177024f728b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 32]: /images/20221024/67f94e658d494248a0384811d2a6a485.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 33]: /images/20221024/b29a19f206ca43b182a5200b430db90e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 34]: /images/20221024/442b6d1eb5384b658a890e5c6553dc4f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 35]: /images/20221024/ee800c417745487dbbccdcf94444a86e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 36]: /images/20221024/c08d95ea227f46609ba4e56948f999e4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 37]: /images/20221024/87f4d8721cd64dea97560b7330b26691.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 38]: /images/20221024/c663e6ca2653499d84957013a3b7ec2d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 39]: /images/20221024/434bb3ac43a8409889eda24a58fab4f8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 40]: /images/20221024/58f475ba5b164c4fb74615f3f42270ea.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 41]: /images/20221024/23bacff0a4c1409591b525b5b92c8a24.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 42]: /images/20221024/3e6e67020dab41ec910dbc60ba24dedf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0Vhc3Rtb3VudA_size_16_color_FFFFFF_t_70_pic_center 43]: /images/20221024/d4a56218baa947aaaffe0620396c03c8.png
[20210222013437221.png_pic_center]: /images/20221024/1f1805918dd942e1b1932694c19d8486.png
[http_blog.csdn.net_eastmount]: http://blog.csdn.net/eastmount/
[OllyDbg_OD_ - B_yxfzedu]: https://www.bilibili.com/video/BV1cE411f7sE?p=6
[OD_-_TraceMe.exe- 17bdw]: https://www.cnblogs.com/17bdw/p/6706190.html
[160_Crackme006 - _56]: https://blog.csdn.net/qq_38474570/article/details/88246464
[_ - 52PJ VicZ]: https://www.52pojie.cn/thread-846934-1-1.html
[Cheat Engine _ - thomas_blog]: https://blog.csdn.net/zhangxuechao_/article/details/80919558