1、goto MessageBoxA
77D5058A > 8BFF mov edi, edi
77D5058C 55 push ebp
77D5058D 8BEC mov ebp, esp
77D5058F 833D BC04D777 0>cmp dword ptr [77D704BC], 0
77D50596 74 24 je short 77D505BC
77D50598 64:A1 18000000 mov eax, dword ptr fs:[18]
77D5059E 6A 00 push 0
77D505A0 FF70 24 push dword ptr [eax+24]
77D505A3 68 240BD777 push 77D70B24
77D505A8 FF15 C812D177 call dword ptr [<&KERNEL32.Interlocke>; kernel32.InterlockedCompareExchange
77D505AE 85C0 test eax, eax
77D505B0 75 0A jnz short 77D505BC
77D505B2 C705 200BD777 0>mov dword ptr [77D70B20], 1
77D505BC 6A 00 push 0
77D505BE FF75 14 push dword ptr [ebp+14]
77D505C1 FF75 10 push dword ptr [ebp+10]
77D505C4 FF75 0C push dword ptr [ebp+C]
77D505C7 FF75 08 push dword ptr [ebp+8]
77D505CA E8 2D000000 call MessageBoxExA
77D505CF 5D pop ebp
77D505D0 C2 1000 retn 10
2、Ctrl+F2
3、F9 //themida在显示发现调试器时候必断,大家可以去试试,该方法适用新版themida
-----------------------------------------------------------------------------------------------------
77D704BC下硬件访问断点。
原理:
themida将MessageBox函数拷贝到自己代码空间去运行,这导致了我们对MessageBox下断确断不下来
但是其将user32.dll的代码拷贝到自己分配的空间的时候,代码虽然在自己空间,但是数据扔用user32.dll中的原地址空间。
有兴趣逆向一下softworm大侠的MessageBox就会理解的更深
http://bbs.pediy.com/showthread.php?t=23721
感觉kanxue、softworm
- 标 题: 关于对TheMida的MessageBox下断
- 作 者:kangaroo
- 时 间:2007-07-14 22:02
- 链 接:http://bbs.pediy.com/showthread.php?t=48030