如何通过 OllyDbg 查看位于 DS 段中的值

Question

我正在通过OllyDbg调试一个DLL，发现如下命令：

LEA ECX,DWORD PTR DS:[ECX+EDX+8771F681]

ECX是90C85FFF，EDX是13F5A9CE，所以最终地址是0x90C85FFF + 0x13F5A9CE + 0x8771F681 = 0x12C30004E。不幸的是，我不知道如何查看位于该地址的值。 FPU 窗口中的 Ctrl-G 表示“指定地址上没有内存”。

提前致谢。

Answer 1

请记住，LEA 可用于任何计算，而不仅仅是地址（计算的实际结果永远不会被访问/取消引用）。此外，段覆盖对计算没有影响。

• ecx = 0x402000 ; ebx = 0x20 ; FS 段前缀覆盖（FS 基数 = 0x7FFDD000）
• mov ecx, [ecx+ebx-4] ; 结果 = ecx = 0x40201c

为了快速检查地址是否被映射，在 OllyDbg 中，您可以在一条指令处停止并检查 CPU 窗口和转储窗口之间的迷你窗口：

Address=XXXX 行表示计算的结果（在实际执行指令之前）。如果您右键单击此行，您可能会看到一个弹出窗口：

• 如果地址映射到进程地址空间，那么您会在弹出菜单上看到Follow in Dump 条目。
• 如果地址未映射，则弹出菜单不会显示Follow in dump 条目。

注意：OllyDbg（至少 v2）会将映射的内核地址视为已映射，尽管它们显然无法从用户空间访问。因此，如果 MSB 设置在地址中，则将其视为未映射。