如何利用 od 查詢發包內容

我來說明一下 od 下斷點查發包內容的方式…
下面是 god4 大大的發包原始碼
        pushad
        mov  ecx, W2I_CALL_BASE
        mov  ecx, [ecx]
        push len   <---- 這是封包的長度
        push pbuf   <---- 這是封包的指標
        mov  ecx, dword ptr [ecx+$20]
        mov  eax, W2I_SEND_PACK_CALL <---- 這是發包的位址
        call eax
        popad;
上面的組合語言應該看的懂吧?
中斷點就下在發包的位址上, od 斷下來之後只要查堆疊(大陸叫堆棧)前4碼就是封包的內容指標，後4碼就是長度了，搞定收工。

阿…堆疊在 od 的右下角或是查 sp (暫存器)也行
很簡單吧…一圖勝千文，我們來看圖好了
附加上完美的程式

附加上去之後他會暫停完美的程式，所以按一下執行
切換一下可執行模組

下拉到發包的位址，別客氣，就給他斷下企吧

(斷下去之前，完美的角色最好到你要查詢封包內容的前一個動作
od 可以有條件的斷，但是有點麻煩。)
回到完美執行你要的動作，之後畫面應該會切回 od (同時完美會停止回應)

因為 od 中斷了完美程式的執行，斷下來之後…你要的內容就在右下角。
封包內容指標:$130305d8
封包長度: $12

切換到記憶體檢視，找到內容的區段，資料就如你所看到的了。

上面的例子是挖草
ps: 中斷完美程式太久的話，會變成退避狀態，要注意一下。

thx~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

看不懂  能說詳細點嗎... YCT64B

謝謝大大分享....寫的很詳細喔!!

發包位置可以用來做什麼呢?版大可以透漏讓我們了解一下嗎?YCT41B

謝謝大大分享....寫的很詳細喔
0.0

請問 最後一項 檢視記憶體位址 要怎麼找到 他所做的位址 像上面最後一項挖草 位子36 那前面怎麼知道 是這一個位子 我做到 第6張圖 第7張 我就不知道要怎麼找了 請大大們解惑

YCT55BYCT55B感謝大大的熱心分享!!

位什麼我用OD附加完美視窗後，就在也沒辦法切換到完美視窗了呢?