ollydbg中快速定位各种语言关键代码的方法.docx

目录：快速定位vc vs的OnInitDialog函数按钮事件定位 VB 定位按钮 VC按钮事件的定位 VC6 Release VC6 Debug VC2003 Release VS2003 Debug VS2008 Release VS2008 Debug VS2010 Release VS2010 Debug delphi更新历史：2014.5.16 更新 VS20082014.5.15 更新 VS2003快速定位vc vs的OnInitDialog函数bp SendMessageW MSG = WM_SETICON或bp SendMessageA MSG = WM_SETICON然后执行代码到返回，整个Call就是OnInitDialog函数了。VB 定位按钮先F9运行，然后查看按钮的窗口句柄下断点bpCallWindowProcAesp+8=00110BF0&esp+0c=202点击按钮，Alt + M 查看内存映射，在.text区段下访问断点，F9运行断在72991F0C FF3418 push dword ptr eax+ebx ; VB.004077CDVB.004077CD按钮的地址。VC按钮事件的定位/关于vc搜索二进制确定按钮处理代码的特征，目前都只测试了一个。vc6 Release版本动态就在mfc42.dll中搜索sub eax, 0a静态就在主模块中搜索sub eax, 0a00416625 |. 83E8 0A sub eax, 0xA00416628 |. 74 46 je XTestBtn.00416670.00416670 | 8B4D 08 mov ecx, dword ptr ss:ebp+0x8 ; Case C of switch 0041661A00416673 |. FF55 14 call dword ptr ss:ebp+0x14call dword ptr ss:ebp+0x14 /此函数就是Button的处理函数。VC6 Debug动态 在MFC75D.dll中二进制搜索 75 E3 8B 4D 08 FF 55 FC静态 在主模块中二进制搜索 75 E3 8B 4D 08 FF 55 FCVS2003 Release动态：在mfc71.dll中搜索5E C2 ? ? 8B 4D ? FF 55 ? E9静态 在主模块中搜索FF 24 85 ? ? ? ? 8B 4D ? FF 55 14VS2003 Debug共享MFC71d.dll中搜索静态主模块中搜索85 C0 74 01 CC 8B 4D 08 FF 55 ? E9VS2008 Release共享: 在mfc90u.dll中搜索FF 24 95 ? ? ? ? FF D0静态：在主模块中搜索二进制FF 24 85 ? ? ? ? FF 55 14VS2008 Debug共享在MFC90ud.dll中搜索静态在主模块中搜索85 C0 74 01 CC 8B 4D 08 FF 55 ? E9VS2010 Release动态：在mfc100*.dll中搜索二进制FF 24 95 ? ? ? ? FF D0静态：在主模块中搜索二进制FF 24 85 ? ? ? ? FF 55 14VS2010 Debug动态：在mfc100*.dll中搜索二进制：74 01 CC 8B 4D 08 FF 55 F8静态：在主模块中搜索二进制：74 01 CC 8B 4