OD调试秘籍：断点一步到胃

这个INT3指令，因其机器码是0xCC,也常被称为“CC指令”。当被调试进程执行INT3指令导致一个异常时，调试器就会捕捉这个异常，从而停在断点处，然后将断点处的指令恢复成原来的指令。当然，如果自己编写调试器，也可用其他指令代替INT3来触发异常。

使用INT3断点的优点是可以设置无数个断点，缺点是改变了原程序机器码，容易被软件检测到。例如，为了防范API被下断，一些软件会检测API的首地址是否为0xCC(以此判断是否被下断)。用C语言来实现这个检测，方法是取得检测函数的地址，然后读取它的第1个字节，判断它是否等于“CC”。下面这段代码就是对MessageBoxA函数进行的断点检测。

程序编译后，对MessageBoxA函数下断，程序将发现自己被设断跟踪了。躲过检测的方法是将断点设在函数内部或末尾，例如将断点设在函数入口的下一行。

DRx调试寄存器共有8个(DR0~DR7),每个寄存器的特性如下：
● DR0~DR3:调试地址寄存器，用于保存需要监视的地址，例如设置硬件断点。
● DR4~DR5:保留，未公开具体作用。
● DR6:调试寄存器组状态寄存器。
● DR7:调试寄存器组控制寄存器。

硬件断点的原理是使用DRO、DR1、DR2、DR3设定地址，并使用DR7设定状态，因此最多设置4个断点。硬件执行断点与CC断点的作用一样，但因为硬件执行断点不会将指令首字节修改为“CC”,所以更难检测。设断方法是在指定的代码行单击右键，执行快捷菜单中的“Breakpoint”→“Hardware,on execution”（“断点”→“硬件执行”)命令（也可以在命令行中设置“HE地址”)。

因为每次出现异常时都要通过比较来确定是否应该中断，所以内存断点会降低OllyDbg的执行速度—也许OllyDbg是考虑到执行速度才规定只能下1个内存断点吧。

程序运行时有3种状态，分别是读取、写入和执行。

用OllyDbg重新加载实例TraceMe.exe,看到004013D0h处有一个写内存的指令，代码如下：

下面用这个地址来演示如何下内存断点。在数据窗口中对00405528h处下内存写断点，将光标移到00405528h处，选中需要下断点的地址区域，单击右键，执行快捷菜单中的“Breakpoint”→“Memory,on write”（“断点”→“内存写入”)命令下内存写断点后，按“F9”键让程序运行，程序会马上中断在“4013D0 mov[405528],edx”这行。如果要清除内存断点，可以单击右键，执行快捷菜单中的“Breakpoint”→“Remove memory breakpoint”（“断点”→“删除内存断点”)命令。内存访问断点的操作与此类似。

在这个场景中，硬件断点也可以实现与内存断点相同的效果。单个硬件写入访问断点可以设置为1字节、2字节或4字节，而且不论选择的数据范围有多大，只有前4个字节会起作用。打开数据窗口，选中需要下断点的地址区域，单击右键，执行快捷菜单的“Breakpoint”→“Hardware,on write”→“Dword”(“断点”·“硬件写入”→“Dword”)命令。

重新加载TraceMe,会发现程序中断在触发硬件写人断点的下一条指令处，所以请记住：硬件访问/写入断点是在触发硬件断点的下一条指令处下断，而内存断点是在触发断点的指令处下断。

当然，执行内存004013D6h处的代码时需要“访问”它，因此，按“F9”键让实例在OllyDbg里运行，就会中断在004013D6h处的内存访问断点上。这个实验表明，在内存执行的地方也可以通过内存访问来中断。内存断点不修改原始代码，不会像INT3断点那样因为修改代码被程序校验而导致下断失败。因此，在遇到代码校验且硬件断点失灵的情况下，可以使用内存断点。

当用户单击一个按钮、移动光标或者向文本框中输人文字时，一条消息就会发送给当前窗体。所有发送的消息都有4个参数，分别是1个窗口句柄(hwnd)、1个消息编号(msg)和2个32位长(long)的参数。Windows通过句柄来标识它所代表的对象。例如，在单击某个按钮时，Windows通过句柄来判断单击了哪一个按钮，然后发送相应的消息来通知程序。

回到TraceMe界面，单击“Check”按钮。松开鼠标时，程序将中断在Windows系统代码中，代码如下（不同版本的操作系统，代码会不同）。

消息已经捕捉到了，但还处于系统底层代码中，不属于TraceMe主程序的代码，这时企图使用“Alt+f9”或“Ctrl+F9”快捷键返回TraceMe程序代码领空的操作是徒劳的。

主程序的代码在以00401000h开头的.text区块里。从系统代码回到应用程序代码段的时候，正是.text区块代码执行的时候，因此，对.text区块下内存断点就能返回应用程序的代码领空。按“Alt+M”快捷键打开内存窗口，对.text区块下内存访问断点，然后执行右键快捷菜单中的命令“Setbreak-on-access”(在访问上设置断点)或按快捷键“F2”

按“F9”键运行程序，程序立即中断在004010D0h处，这里正是程序的消息循环处，代码如下。

这段代码是一个消息循环，不停地处理TraceMe主界面的各类消息。此时可能不会直接处理按钮事件。如果是单步跟踪，会进入系统代码。在系统代码里，再次按“Alt+M”快捷键打开内存窗口，对.text区块下内存访问断点。按“f9”键运行，会再次来到代码中。重复这个过程，在一两次中断后就能到达处理按钮的事件代码处了。“Check”按钮的事件代码如下。

最后，可以将消息断点删除。按“Alt+B”快捷键切换到断点窗口，选中消息断点，直接将其删除。

（1）按寄存器条件中断

OD打开Conditional_bp.exe，在00401476h处按下设置条件斯点的快捷键“Shift+F2”,在条件文本框内输入条件表达式“eax==0400000”。这样，程序在执行到00401476h处时，如果eax的值为0400000h,OllyDbg将会中断。如果安装了命令行插件，也可在命令行里直接输人如下命令。

（2）按存储器条件中断

在这里用CreateFileA函数进行演示。在实际应用中程序可能会成百上千次调用CreateFileA函数，因此让OllyDbg在CreateFileA函数打开所需文件时中断就显得十分有必要了。CreateFile函数的代码原型如下：

HANDLE CreateFileA(  [in]           LPCSTR                lpFileName,  [in]           DWORD                 dwDesiredAccess,  [in]           DWORD                 dwShareMode,  [in, optional] LPSECURITY_ATTRIBUTES lpSecurityAttributes,  [in]           DWORD                 dwCreationDisposition,  [in]           DWORD                 dwFlagsAndAttributes,  [in, optional] HANDLE                hTemplateFile   );

运行实例Conditional_bp,对CreateFileA函数设断。单击“OpenTest”按钮，如图是当OllyDbg中断时从栈中看到的情形，左侧标出了各参数相对于当前ESP的地址。打开这个功能的方法是：在栈窗口中单击右键，执行快捷菜单中的“Address”→“Relative to ESP”(“地址”+“相对于ESP”)命令。

CreateFileA函数采用标准调用约定，参数按从右到左的顺序人栈。因为在函数刚执行时EBP栈结构还未建立，所以只能用ESP访问这些参数。CreateFileA函数的第1个参数“FileName”是文件名指针。在OllyDbg里，如果要得到第1个参数的内存地址，可以使用“[ESP+4]”;如果还要得到此地址指向的字符串，就必须使用“[ESP+4]”。

该实例中调用了4次CreateFileA函数，假设要在该函数打开c:\1212.txt时下断，则”shitf+f2“，输入`[STRING[esp+4]]=="c:\1212.txt"`(“STRING”前缀在OllyDbg中的解释是“以零结尾的ASCIl字符串”,如果是Unicode字符串，则改为UNICODE)