X64debug调试问题

问题描述： X64debug调试问题
自我分析： 小白研究学习的一个软件，不知道怎么去下按钮事件断点，请各位老师告知一下，如果有相关教程就更好啦

查找特征码或者找到按钮下消息断点都可以。
方法1：查找特征码
比如网上一篇关于特征码的，无图但是看文字基本够用了。其中操作方法虽然是OD的，但是同样适用于X64DBG，我试了一下，甚至里面提到的有些快捷键也一样。
调试软件,最重要的就是下断点,那么如何下断点,就是一门重要的技巧.
比如:弹提示框,就下MessageBoxA,注册表的,就下RegOpenKeyA等等.
当然,能直接下到按钮事件,当然更为方便,因为到了按钮事件后,很快就会到达核心代码,离你的逆向也就不远了.
本文就总结一下各类语言找按钮事件的方法,当然也可以借助工具,如VBexplorer,DEDE,ECE等等.


一、VB程序
其实,VB的按钮事件的找法是最为普遍的,也就是大家所谓的万能断点.其实也不仅仅是针对按钮事件,还有很多其他的用处,如取消NAG,启动框,灰色按钮或隐藏按钮,启动时的timer事件等等,具体的就自己去总结吧,这里只演示按钮事件!


OD载入后,CTRL+B,816C24


确定后,


然后,就在下面的JMP处F2下断,下完后CTRL+L,如果还有,就继续下断点.


下完断点后,运行程序,点击相应的按钮,OD就会断下来了


下面的任务就是考验大家的耐心,F8跟踪吧,不再赘述了.


当然,为了方便大家,可以写个简单的脚本,免的每次都去手动设置了,节省时间:
复制内容到剪贴板
代码:
var Addr
mov Addr,401000
loop:
find Addr,# 816C2404??000000#
cmp $RESULT,0
je Exit
add $RESULT,08
bp $RESULT
add $RESULT,1
mov Addr,$RESULT
jmp loop
Exit:
eval "按钮事件查找完毕!"
msg $RESULT
ret
二、Delphi和BC++程序


Delphi和BC++都是同一公司开发的,故查找方法都一样,当然你也可以使用DEDE.


OD载入后,CTRL+G,转到00401000处
然后就CTRL+B,查找特征码 740E8BD38B83????????FF93????????


然后就会找到下面的地方:


然后就在下面的CALL处下断吧.


下面的工作就是不断的CTRL+L继续查找和F2下断了.


运行下看看效果吧:


看,断下了吧,下面就F7跟进这个CALL吧,就来到这个按钮事件处了.


同样写个脚本,方便大家操作:
复制内容到剪贴板
代码:
var Addr
mov Addr,401000
loop:
find Addr,#740E8BD38B83????????FF93????????#
cmp $RESULT,0
je Exit
add $RESULT,0A
bp $RESULT
add $RESULT,1
mov Addr,$RESULT
jmp loop
Exit:
ret
三、易语言
易语言的这种查找方法,同样适合有壳的程序,其他的就必须脱壳后再继续操作了.


OD载入后,就F9运行程序吧,当程序运行后,ALT+E
选中易语言的 核心库krnln,双击进去

然后CTRL+B,查找 FF 55 FC


查找到的这个CALL就是了,F2下断吧


现在输入必须的内容后,单击对应的按钮吧


看,断下了吧,下面就F7跟进吧,就来到按钮事件处了


同样,写个脚本,方便大家

gpa"GetProcessHeap","kernel32.dll"
cmp $RESULT,0
je err
bp $RESULT
run
run
run
bc $RESULT
rtu
find 10001000,#FF55FC5F5E895D??8945#
bp $RESULT


find eip,#FFE0#
cmp$RESULT,0
je err
bp $RESULT
run
bc $RESULT
sto
MSG "按钮事件查找完毕！"
ret
err:
MSG "脚本运行错误！请检查错误后再继续运行脚本！"
ret
四、VC++程序(非MFC程序)

OD载入后,单击鼠标右键,选择"查找",然后是"所有命令"
在弹出的输入框里,写入特征代码" sub eax,0a"
确定后,就来到下面的窗口
在下面的sub eax,0A处,双击进去吧:
来找这里后,在下面的je处跟随过去
跟随来到的这个CALL,就是了,F2下断吧
然后断下后,F7跟进,F8几次,就来到按钮事件了.

五、MFC类程序

当然判断MFC和非MFC的程序,靠大家自己去判断了
OD载入后.ALT+E,来到可执行模块,找MFC的核心DLL:MFC42
然后就双击进去
然后就CTRL+F,查找特征代码:sub eax,0a
同样,找到后,就在下面的je处跟随,跟随后看到的CALL,就是那个关键CALL了!

断下后F7跟进,F8几次,就会来到按钮事件代码处了!

方法就简单的介绍到这里了,当然只是抛砖引玉,其他的,还得多靠大家自己慢慢总结吧!


方法2：找到按钮下消息断点
找按钮的方法是：运行软件后，在句柄窗口中刷新，然后在按钮上下消息断点即可。
具体可参照如图教程：

                               
登录/注册后可看大图

                               
登录/注册后可看大图

不好意思，第一次发图片帖，不知道怎么把图显示出来。

我用文字描述一下吧：
找按钮的方法是：运行软件后，在句柄窗口中刷新，可以看到窗口各组件。
找到按钮组件，然后在按钮上点击鼠标右键，弹出消息断点窗口，下拉列表找到：
WM_LBUTTONUP，确认即可下消息断点。
这时点击软件按钮即可断下。

雪很冷 发表于 2022-5-8 01:24
我用文字描述一下吧：
找按钮的方法是：运行软件后，在句柄窗口中刷新，可以看到窗口各组件。
找到按钮组件 ...

这个方法我试过了，它断下的是user32.dll，跟踪不过去

用暂停法呢？

筱虎哟 发表于 2022-5-8 13:40
这个方法我试过了，它断下的是user32.dll，跟踪不过去

断下来之后，单步调试，走着走着就来到软件领空了。如果走过头了，可以结合暂停法，查看堆栈窗口找软件领空。

我第一次接触x64的调试，明天发个软件链接大家研究下，真的是懵逼到家了，一个没壳的软件，居然完全不知道从哪下手