Hello_MyDream的博客

1、Win32应用程序入口识别 /*程序入口*/ //APIENTRY(API入口) __stdcall int APIENTRY WinMain(HINSTANCE hInstance, //ImageBase HINSTANCE hPrevInstance, //NULL LPSTR lpCmdLine, //命令行参数，可以用Debug版打印，也可以使用Release版使用Dbgview.exe查看 int nCmdShow) //指定程序窗口如何显示 看到KERNEL32.GetVer

1. 左键单击界面，Ctrl + g输入地址找到对应位置。 2. F2打断点，点三角箭头的开始按钮，使得程序执行到此处时暂停下来。 3. 记录此时的堆栈位置，开始画堆栈图。 4. 参数入栈，再次记录栈顶位置。 5. 函数调用处地址压栈，栈顶 + 4。地址为此行指令执行结束后的地址，通过指令宽度(当前地址加当前指令长度：此处为5字节)计算出来。 6. 点击F7进入函数，会显示JMP，单击回车键进入函数，继续画堆栈图。 1. 保存栈底 2. 建立缓冲区 16 * 4个字节 3. 保存现场/寄存器

一. 改变EIP的三种方式 1. jmp：改变EIP的值。 2. call：需要在要跳转的位置点击F12设置断点；会将下一行将要执行指令的地址(计算出来的)压栈，以便返回。 最大区别：会改变ESP(栈顶)。 3. 与TERN(TER)组合使用：TERN返回要执行的那一行,。POP执行后栈地址会+4，相当于POP EIP，让刚才栈中保存的地址出栈。 二. 比较指令 1. CMP指令： 该指令是比较两个操作数,实际上,它相当于SUB指令,但是相减的结构并不保存到第一个操作数中。 只..

https://blog.csdn.net/fengshh2301/article/details/53327195

一. 几个单位 DATA 字节 8位 WORD 字 16位 DWORD 双字 32位 二. 八个通用寄存器 32位 16位 8位 EAX AX AL ECX CX CL EDX DX DL EBX BX BL ESP SP AH EBP BP CH ESI SI DH EDI DI BH 三. 几条汇编指令 mov add sub ...