windbg堆棧破壞之寄存器分析

原創 erikaIT 2018-08-25 05:08

ebp：作爲函數調用的基址地址，指向函數在棧的起始位置

esp：指向當前執行函數的棧頂指針

eip：指向下一個將要執行的cpu指令在內存中的位置


如果懷疑一個dump爲堆棧溢出，可以通過觀察這幾個指針所指向的內存值，判斷是否爲堆棧溢出。

指令：r ebp，查看寄存器的指針地址

指令：dd ebp，查看ebp指針指向及附近的內存數據

指令：dd 上一步的首個內存地址，如果爲？？內容，則說明ebp指向的內存已經被改寫，同理也可觀察esp和eip的內存情況

發表評論
所有評論
還沒有人評論，想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章

解決CDB調試速度慢的問題

        在windows平臺上，當Qt使用 CDB調試器工具調試程序時，常常有調試卡半天的情況，出現該問題的原因有2個：         原因一：程序開啓了增量連接功能；         原因二：Qt在後臺從微軟Symbo

sanqima 2020-07-04 02:11:52

windows保護模式（一）

段寄存器 CPU通過段和頁的機制來限制內存訪問，共8個分別爲ES CS SS DS FS GS LDTR TR     段寄存器結構 當我們用匯編讀寫某一個地址時： mov dword ptr ds:[0x123456],eax 我們真

吃了只鸡 2020-07-02 21:03:14

WinDbg Tutorial

原文：http://blog.csdn.net/kofshower/article/details/5888810 Windows Debuggers: Part 1: A WinDbg Tutorial Original Artic

maomao171314 2020-07-02 04:27:36

windbg win7 本地調試

1：以管理員身份運行cmd，輸入bcdedit -debug on 2：在windbg的安裝目錄以管理員身份運行cmd，輸入：kdbgctrl -db、kdbgctrl -e 3：以管理員身份運行windbg，File->Kernel D

cracj 2020-06-21 01:10:57

Windbg強制加載符號

一個比較老的模塊崩潰,PDB符號文件已經失傳,代碼是有的,此時強制加載符號文件就有用了, .reload /i XXXX.exe

mos2046 2020-06-19 18:39:02

【工作技巧】註冊Windbg爲默認調試器的方法

註冊windbg方法 1. 複製windbg的快捷方式 2. 修改快捷方式的內容爲(c:\program files\debugging tools for windows\windbg.exe -I) 3. 運行快捷

热情的Deadwalk 2020-06-19 08:25:25

!peb和PEB結構

本文轉自：http://blog.csdn.net/hgy413/article/details/8490918   調試器用戶經常會需要查看在啓動調試目標時使用了哪些命令行參數，這個信息是保存在PEB中的，可以通過!peb來獲取，這個命

阻无雨风 2020-06-18 21:56:50

!analyze 擴展

本文轉自：http://hi.baidu.com/litomboy/item/1332cb96a8ac67f128164727   調試一個當機的目標計算機或應用程序，第一步是使用 !analyze 擴展命令。 該擴展執行大量的自動分析。

阻无雨风 2020-06-18 21:56:50

windbg調試驅動程序

1、配置符號 去下面路徑下載對應目標操作系統版本的符號表 https://download.microsoft.com/download/D/1/9/D196C4F3-FC5B-48D2-A5D9-D3D42CE5F4F0/Window

吃了只鸡 2020-06-16 16:32:36

如何用windbg分析64位機上32位程序的dump文件

      將dump拖入到windbg中後，在command輸入欄輸入 .load wow64exts 回車 !sw 回車，就將windbg的dump，從64位模式切換到了32位模式，否則看到的call stack 對我們分析dum

susubuhui 2020-06-16 04:18:57

用windbg調試進入關鍵區死鎖情況

step1：!cs -l  得知進入死鎖的關鍵區 step2：~~[0x0000000000003558] 查看擁有陷入死鎖關鍵區的線程 step3：~*kn 查看調用EnterCriticalSection的線程   由上圖可知，線程

Quellaaa 2020-06-16 04:05:18

調試LocalFree(NULL)

在項目中調用如下代碼 PCHAR pBuffer =NULL; LocalFree(pBuffer); //傳入空地址，居然不崩潰 LocalFree 由kernel32.dll導出 IDA打開kernel32.dll，

iihacker_cat 2020-06-16 02:45:59

win8 + vmware + windbg 雙機調試

由於最近需要調試win8下面驅動的一個bug，所以嘗試了一下用windbg進行雙機聯調，發現VirtualKD v2.6版本對windows 8 Consumer Preview版的支持不好，用target裏面的vminstall.exe

cnbragon 2020-06-15 00:34:24

下載離線Windows 符號程序包（Windows Symbol Packages）

目前微軟已經不再發布離線Windows 符號程序包，詳見公告如下： 也有很多方法支持鏈接符號服務器（Microsoft Symbol Server）在線調用數據包，但是好像需要梯子纔可以連接上服務器，使用時緩存速度也是比較慢，需要離線調

烫烫烫烫烫烫烫烫烫烫烫烫烫烫烫烫烫烫 2020-06-14 22:43:54

使用Windbg生成dump文件

Windbg生成dump文件的方法： 程序崩潰（crash）的時候， 爲了以後能夠調試分析問題， 可以使用WinDBG要把當時程序內存空間數據都保存下來，生成的文件稱爲dump 文件。 步驟： 1） 打開WinDBG並將之Attac

syflyhua 2020-06-14 21:25:46