20CN网络安全小组论坛 - 编程破解 - 汇编速查手册数据传输指令集

论坛: 编程破解标题: 汇编速查手册数据传输指令集

作者: yongmin [yongmin]

论坛用户

汇编速查手册一、数据传输指令
───────────────────────────────────────
它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据.
1. 通用数据传送指令.
MOV 传送字或字节.
MOVSX 先符号扩展,再传送.
MOVZX 先零扩展,再传送.
PUSH 把字压入堆栈.
POP 把字弹出堆栈.
PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈.
POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.
PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈.
POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.
BSWAP 交换32位寄存器里字节的顺序
XCHG 交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数)
CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX )
XADD 先交换再累加.( 结果在第一个操作数里 )
XLAT 字节查表转换.
── BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即
0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL )
2. 输入输出端口传送指令.
IN I/O端口输入. ( 语法: IN 累加器, {端口号│DX} )
OUT I/O端口输出. ( 语法: OUT {端口号│DX},累加器 )
输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时,
其范围是 0-65535.
3. 目的地址传送指令.
LEA 装入有效地址.
例: LEA DX,string ;把偏移地址存到DX.
LDS 传送目标指针,把指针内容装入DS.
例: LDS SI,string ;把段地址:偏移地址存到DS:SI.
LES 传送目标指针,把指针内容装入ES.
例: LES DI,string ;把段地址:偏移地址存到ESI.
LFS 传送目标指针,把指针内容装入FS.
例: LFS DI,string ;把段地址:偏移地址存到FSI.
LGS 传送目标指针,把指针内容装入GS.
例: LGS DI,string ;把段地址:偏移地址存到GSI.
LSS 传送目标指针,把指针内容装入SS.
例: LSS DI,string ;把段地址:偏移地址存到SSI.
4. 标志传送指令.
LAHF 标志寄存器传送,把标志装入AH.
SAHF 标志寄存器传送,把AH内容装入标志寄存器.
PUSHF 标志入栈.
POPF 标志出栈.
PUSHD 32位标志入栈.
POPD 32位标志出栈.

二、算术运算指令
───────────────────────────────────────
　　ADD 加法.
ADC 带进位加法.
INC 加 1.
AAA 加法的ASCII码调整.
DAA 加法的十进制调整.
SUB 减法.
SBB 带借位减法.
DEC 减 1.
NEC 求反(以 0 减之).
CMP 比较.(两操作数作减法,仅修改标志位,不回送结果).
AAS 减法的ASCII码调整.
DAS 减法的十进制调整.
MUL 无符号乘法.
IMUL 整数乘法.
以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算),
AAM 乘法的ASCII码调整.
DIV 无符号除法.
IDIV 整数除法.
以上两条,结果回送:
商回送AL,余数回送AH, (字节运算);
或商回送AX,余数回送DX, (字运算).
AAD 除法的ASCII码调整.
CBW 字节转换为字. (把AL中字节的符号扩展到AH中去)
CWD 字转换为双字. (把AX中的字的符号扩展到DX中去)
CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去)
CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去)

三、逻辑运算指令
───────────────────────────────────────
　　AND 与运算.
OR 或运算.
XOR 异或运算.
NOT 取反.
TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果).
SHL 逻辑左移.
SAL 算术左移.(=SHL)
SHR 逻辑右移.
SAR 算术右移.(=SHR)
ROL 循环左移.
ROR 循环右移.
RCL 通过进位的循环左移.
RCR 通过进位的循环右移.
以上八种移位指令,其移位次数可达255次.
移位一次时, 可直接用操作码. 如 SHL AX,1.
移位>1次时, 则由寄存器CL给出移位次数.
如 MOV CL,04
SHL AX,CL

四、串指令
───────────────────────────────────────
　DS:SI 源串段寄存器 :源串变址.
ESI 目标串段寄存器:目标串变址.
CX 重复次数计数器.
AL/AX 扫描值.
D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量.
Z标志用来控制扫描或比较操作的结束.
MOVS 串传送.
( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. )
CMPS 串比较.
( CMPSB 比较字符. CMPSW 比较字. )
SCAS 串扫描.
把AL或AX的内容与目标串作比较,比较结果反映在标志位.
LODS 装入串.
把源串中的元素(字或字节)逐一装入AL或AX中.
( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. )
STOS 保存串.
是LODS的逆过程.
REP 当CX/ECX<>0时重复.
REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX<>0时重复.
REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX<>0时重复.
REPC 当CF=1且CX/ECX<>0时重复.
REPNC 当CF=0且CX/ECX<>0时重复.

五、程序转移指令
───────────────────────────────────────
　1>无条件转移指令 (长转移)
JMP 无条件转移指令
CALL 过程调用
RET/RETF过程返回.
2>条件转移指令 (短转移,-128到+127的距离内)
( 当且仅当(SF XOR OF)=1时,OP1<OP2 )
JA/JNBE 不小于或不等于时转移.
JAE/JNB 大于或等于转移.
JB/JNAE 小于转移.
JBE/JNA 小于或等于转移.
以上四条,测试无符号整数运算的结果(标志C和Z).
JG/JNLE 大于转移.
JGE/JNL 大于或等于转移.
JL/JNGE 小于转移.
JLE/JNG 小于或等于转移.
以上四条,测试带符号整数运算的结果(标志S,O和Z).
JE/JZ 等于转移.
JNE/JNZ 不等于时转移.
JC 有进位时转移.
JNC 无进位时转移.
JNO 不溢出时转移.
JNP/JPO 奇偶性为奇数时转移.
JNS 符号位为 "0" 时转移.
JO 溢出转移.
JP/JPE 奇偶性为偶数时转移.
JS 符号位为 "1" 时转移.
3>循环控制指令(短转移)
LOOP CX不为零时循环.
LOOPE/LOOPZ CX不为零且标志Z=1时循环.
LOOPNE/LOOPNZ CX不为零且标志Z=0时循环.
JCXZ CX为零时转移.
JECXZ ECX为零时转移.
4>中断指令
INT 中断指令
INTO 溢出中断
IRET 中断返回
5>处理器控制指令
HLT 处理器暂停, 直到出现中断或复位信号才继续.
WAIT 当芯片引线TEST为高电平时使CPU进入等待状态.
ESC 转换到外处理器.
LOCK 封锁总线.
NOP 空操作.
STC 置进位标志位.
CLC 清进位标志位.
CMC 进位标志取反.
STD 置方向标志位.
CLD 清方向标志位.
STI 置中断允许位.
CLI 清中断允许位.

六、伪指令
───────────────────────────────────────
　　DW 定义字(2字节).
PROC 定义过程.
ENDP 过程结束.
SEGMENT 定义段.
ASSUME 建立段寄存器寻址.
ENDS 段结束.
END 程序结束.

8088 汇编跳转一、状态寄存器

PSW（Program Flag)程序状态字寄存器，是一个16位寄存器，由条件码标志（flag）和控制标志构成，如下所示：

15 14 13 12 11 10 9 8 7 6 5 4 3 2 1 0
　　　　 OF DF IF TF SF ZF 　 AF 　 PF 　 CF

条件码：
①OF（Overflow Flag)溢出标志。溢出时为1,否则置0。
②SF（Sign Flag）符号标志。结果为负时置1,否则置0.
③ZF（Zero Flag)零标志，运算结果为0时ZF位置1,否则置0.
④CF（Carry Flag)进位标志，进位时置1,否则置0.
⑤AF（Auxiliary carry Flag）辅助进位标志，记录运算时第3位（半个字节）产生的进位置。有进位时1,否则置0.
⑥PF（Parity Flag）奇偶标志。结果操作数中1的个数为偶数时置1,否则置0.

控制标志位：
⑦DF（Direction Flag）方向标志，在串处理指令中控制信息的方向。
⑧IF（Interrupt Flag）中断标志。
⑨TF（Trap Flag）陷井标志。

二、直接标志转移（8位寻址）

指令格式机器码测试条件如...则转移　
　指令格式机器码测试条件如...则转移
JC 72 C=1 有进位 JNS 79 S=0 正号
JNC 73 C=0 无进位 JO 70 O=1 有溢出
JZ/JE 74 Z=1 零/等于 JNO 71 O=0 无溢出
JNZ/JNE 75 Z=0 不为零/不等于 JP/JPE 7A P=1 奇偶位为偶
JS 78 S=1 负号 JNP/IPO 7B P=0 奇偶位为奇

三、间接标志转移（8位寻址）

指令格式机器码测试格式如...则转移
JA/JNBE(比较无符号数) 77 C或Z=0 > 　高于/不低于或等于
JAE/JNB(比较无符号数) 73 C=0 >=　高于或等于/不低于
JB/JNAE(比较无符号数) 72 C=1 < 　低于/不高于或等于
JBE/JNA(比较无符号数) 76 C或Z=1 <=　低于或等于/不高于
JG/JNLE(比较带符号数) 7F (S异或O）或Z=0 > 　大于/不小于或等于
JGE/JNL(比较带符号数) 7D S异或O=0 >=　大于或等于/不小于
JL/JNGE(比较带符号数) 7C S异或O=1 < 　小于/不大于或等于
JLE/JNG(比较带符号数) 7E (S异或O)或Z=1 <=　小于或等于/不大于

四、无条件转移指令(fisheep译 fisheep@sohu.com)

操作码伪码指令含义
EB 　cb JMP rel8 相对短跳转（8位），使rel8处的代码位下一条指令
E9 　cw JMP rel16 相对跳转（16位），使rel16处的代码位下一条指令
FF 　/4 JMP r/m16 绝对跳转（16位），下一指令地址在r/m16中给出
FF 　/4 JMP r/m32 绝对跳转（32位），下一指令地址在r/m32中给出
EA 　cb JMP ptr16:16 远距离绝对跳转，下一指令地址在操作数中
EA 　cb JMP ptr16:32 远距离绝对跳转，下一指令地址在操作数中
FF 　/5 JMP m16:16 远距离绝对跳转，下一指令地址在内存m16:16中
FF　 /5 JMP m16:32 远距离绝对跳转，下一指令地址在内存m16:32中

五、16位/32位寻址方式(fisheep译 fisheep@sohu.com)

操作码伪码指令跳转含义跳转类型跳转的条件（标志位）
0F 87 　cw/cd JA rel16/32 大于 near (CF=0 and ZF=0)
0F 83 　cw/cd JAE rel16/32 大于等于 near (CF=0)
0F 82　 cw/cd JB rel16/32 小于 near (CF=1)
0F 86 　cw/cd JBE rel16/32 小于等于 near (CF=1 or ZF=1)
0F 82　 cw/cd JC rel16/32 进位 near (CF=1)
0F 84 　cw/cd JE rel16/32 等于 near (ZF=1)
0F 84 　cw/cd JZ rel16/32 为0 near (ZF=1)
0F 8F　 cw/cd JG rel16/32 大于 near (ZF=0 and SF=OF)
0F 8D　 cw/cd JGE rel16/32 大于等于 near (SF=OF)
0F 8C　 cw/cd JL rel16/32 小于 near (SF<>OF)
0F 8E 　cw/cd JLE rel16/32 小于等于 near (ZF=1 or SF<>OF)
0F 86　 cw/cd JNA rel16/32 不大于 near (CF=1 or ZF=1)
0F 82　 cw/cd JNAE rel16/32 不大于等于 near (CF=1)
0F 83　 cw/cd JNB rel16/32 不小于 near (CF=0)
0F 87　 cw/cd JNBE rel16/32 不小于等于 near (CF=0 and ZF=0)
0F 83　 cw/cd JNC rel16/32 不进位 near (CF=0)
0F 85　 cw/cd JNE rel16/32 不等于 near (ZF=0)
0F 8E　 cw/cd JNG rel16/32 不大于 near (ZF=1 or SF<>OF)
0F 8C　 cw/cd JNGE rel16/32 不大于等于 near (SF<>OF)
0F 8D　 cw/cd JNL rel16/32 不小于 near (SF=OF)
0F 8F　 cw/cd JNLE rel16/32 不小于等于 near (ZF=0 and SF=OF)
0F 81　 cw/cd JNO rel16/32 未溢出 near (OF=0)
0F 8B 　cw/cd JNP rel16/32 不是偶数 near (PF=0)
0F 89　 cw/cd JNS rel16/32 非负数 near (SF=0)
0F 85 　cw/cd JNZ rel16/32 非零（不等于） near (ZF=0)
0F 80　 cw/cd JO rel16/32 溢出 near (OF=1)
0F 8A　 cw/cd JP rel16/32 偶数 near (PF=1)
0F 8A 　cw/cd JPE rel16/32 偶数 near (PF=1)
0F 8B 　cw/cd JPO rel16/32 奇数 near (PF=0)
0F 88　 cw/cd JS rel16/32 负数 near (SF=1)
0F 84 　cw/cd JZ rel16/32 为零（等于） near (ZF=1)

注：一些指令操作数的含义说明：
　 rel8 表示 8 位相对地址
　 rel16 表示 16 位相对地址
　 rel16/32 表示 16或32 位相对地址
　 r/m16 表示16位寄存器
　 r/m32 表示32位寄存器

浮点指令
对下面的指令先做一些说明：
st(i)：代表浮点寄存器，所说的出栈、入栈操作都是对st(i)的影响
src,dst,dest,op等都是指指令的操作数，src表示源操作数，dst/dest表示目的操作数
mem8,mem16,mem32,mem64,mem80等表示是内存操作数，后面的数值表示该操作数的内存位数（8位为一字节）
x <- y 表示将y的值放入x，例st(0) <- st(0) - st(1)表示将st(0)-st(1)的值放入浮点寄存器st(0)

1．数据传递和对常量的操作指令

指令格式
指令含义
执行的操作

FLD src
装入实数到st(0)
st(0) <- src (mem32/mem64/mem80)

FILD src
装入整数到st(0)
st(0) <- src (mem16/mem32/mem64)

FBLD src
装入BCD数到st(0)
st(0) <- src (mem80)

FLDZ
将0.0装入st(0)
st(0) <- 0.0

FLD1
将1.0装入st(0)
st(0) <- 1.0

FLDPI
将pi装入st(0)
st(0) <- ?(ie, pi)

FLDL2T
将log2(10)装入st(0)
st(0) <- log2(10)

FLDL2E
将log2(e)装入st(0)
st(0) <- log2(e)

FLDLG2
将log10(2)装入st(0)
st(0) <- log10(2)

FLDLN2
将loge(2)装入st(0)
st(0) <- loge(2)

FST dest
保存实数st(0)到dest
dest <- st(0) (mem32/mem64)

FSTP dest

dest <- st(0) (mem32/mem64/mem80)；然后再执行一次出栈操作

FIST dest
将st(0)以整数保存到dest
dest <- st(0) (mem32/mem64)

FISTP dest

dest <- st(0) (mem16/mem32/mem64)；然后再执行一次出栈操作

FBST dest
将st(0)以BCD保存到dest
dest <- st(0) (mem80)

FBSTP dest

dest<- st(0) (mem80)；然后再执行一次出栈操作

2．比较指令

指令格式
指令含义
执行的操作

FCOM
实数比较
将标志位设置为 st(0) - st(1) 的结果标志位

FCOM op
实数比较
将标志位设置为 st(0) - op (mem32/mem64)的结果标志位

FICOM op
和整数比较
将Flags值设置为st(0)-op 的结果op (mem16/mem32)

FICOMP op
和整数比较
将st(0)和op比较 op(mem16/mem32)后；再执行一次出栈操作

FTST
零检测
将st(0)和0.0比较

FUCOM st(i)

比较st(0) 和st(i) [486]

FUCOMP st(i)

比较st(0) 和st(i)，并且执行一次出栈操作

FUCOMPP st(i)

比较st(0) 和st(i)，并且执行两次出栈操作

FXAM

Examine: Eyeball st(0) (set condition codes)

3．运算指令

指令格式
指令含义
执行的操作

加法

FADD
加实数
st(0) <-st(0) + st(1)

FADD src

st(0) <-st(0) + src (mem32/mem64)

FADD st(i),st

st(i) <- st(i) + st(0)

FADDP st(i),st

st(i) <- st(i) + st(0)；然后执行一次出栈操作

FIADD src
加上一个整数
st(0) <-st(0) + src (mem16/mem32)

减法

FSUB
减去一个实数
st(0) <- st(0) - st(1)

FSUB src

st(0) <-st(0) - src (reg/mem)

FSUB st(i),st

st(i) <-st(i) - st(0)

FSUBP st(i),st

st(i) <-st(i) - st(0)，然后执行一次出栈操作

FSUBR st(i),st
用一个实数来减
st(0) <- st(i) - st(0)

FSUBRP st(i),st

st(0) <- st(i) - st(0)，然后执行一次出栈操作

FISUB src
减去一个整数
st(0) <- st(0) - src (mem16/mem32)

FISUBR src
用一个整数来减
st(0) <- src - st(0) (mem16/mem32)

乘法

FMUL
乘上一个实数
st(0) <- st(0) * st(1)

FMUL st(i)

st(0) <- st(0) * st(i)

FMUL st(i),st

st(i) <- st(0) * st(i)

FMULP st(i),st

st(i) <- st(0) * st(i)，然后执行一次出栈操作

FIMUL src
乘上一个整数
st(0) <- st(0) * src (mem16/mem32)

除法

FDIV
除以一个实数
st(0) <-st(0) /st(1)

FDIV st(i)

st(0) <- st(0) /t(i)

FDIV st(i),st

st(i) <-st(0) /st(i)

FDIVP st(i),st

st(i) <-st(0) /st(i)，然后执行一次出栈操作

FIDIV src
除以一个整数
st(0) <- st(0) /src (mem16/mem32)

FDIVR st(i),st
用实数除
st(0) <- st(i) /st(0)

FDIVRP st(i),st

FDIVRP st(i),st

FIDIVR src
用整数除
st(0) <- src /st(0) (mem16/mem32)

FSQRT
平方根
st(0) <- sqrt st(0)

FSCALE
2的st(0)次方
st(0) <- 2 ^ st(0)

FXTRACT
Extract exponent:
st(0) <-exponent of st(0); and gets pushed

st(0) <-significand of st(0)

FPREM
取余数
st(0) <-st(0) MOD st(1)

FPREM1
取余数（IEEE），同FPREM，但是使用IEEE标准[486]

FRNDINT
取整（四舍五入）
st(0) <- INT( st(0) ); depends on RC flag

FABS
求绝对值
st(0) <- ABS( st(0) ); removes sign

FCHS
改变符号位(求负数）
st(0) <-st(0)

F2XM1
计算(2 ^ x)-1
st(0) <- (2 ^ st(0)) - 1

FYL2X
计算Y * log2(X)
st(0)为Y；st(1)为X；将st(0)和st(1)变为st(0) * log2( st(1) )的值

FCOS
余弦函数Cos
st(0) <- COS( st(0) )

FPTAN
正切函数tan
st(0) <- TAN( st(0) )

FPATAN
反正切函数arctan
st(0) <- ATAN( st(0) )

FSIN
正弦函数sin
st(0) <- SIN( st(0) )

FSINCOS
sincos函数
st(0) <-SIN( st(0) )，并且压入st(1)

st(0) <- COS( st(0) )

FYL2XP1
计算Y * log2(X+1)
st(0)为Y； st(1)为X；将st(0)和st(1)变为st(0) * log2( st(1)+1 )的值

处理器控制指令

FINIT
初始化FPU

FSTSW AX
保存状态字的值到AX
AX<- MSW

FSTSW dest
保存状态字的值到dest
dest<-MSW (mem16)

FLDCW src
从src装入FPU的控制字
FPU CW <-src (mem16)

FSTCW dest
将FPU的控制字保存到dest
dest<- FPU CW

FCLEX
清除异常

FSTENV dest
保存环境到内存地址dest处保存状态字、控制字、标志字和异常指针的值

FLDENV src
从内存地址src处装入保存的环境

FSAVE dest
保存FPU的状态到dest处 94字节

FRSTOR src
从src处装入由FSAVE保存的FPU状态

FINCSTP
增加FPU的栈指针值
st(6) <-st(5); st(5) <-st(4),...,st(0) <-?

FDECSTP
减少FPU的栈指针值
st(0) <-st(1); st(1) <-st(2),...,st(7) <-?

FFREE st(i)
标志寄存器st(i)未被使用

FNOP
空操作，等同CPU的nop
st(0) <-st(0)

WAIT/FWAIT
同步FPU与CPU：停止CPU的运行，直到FPU完成当前操作码

FXCH
交换指令，交换st(0)和st(1)的值
st(0) <-st(1)

st(1) <- st(0)

分析技术
在进行软件的破解、解密以及计算机病毒分析工作中，一个首要的问题是对软件及病毒进行分析。这些软件都是机器代码程序，对于它们分析必须使用静态或动态调试工具，分析跟踪其汇编代码。

一、从软件使用说明和操作中分析软件

　　欲破解一软件，首先应该先用用这软件，了解一下功能是否有限制，最好阅读一下软件的说明或手册,特别是自己所关心的关键部分的使用说明，这样也许能够找点线索。

二、静态反汇编

　所谓静态分析即从反汇编出来的程序清单上分析，从提示信息入手进行分析。目前，大多数软件在设计时，都采用了人机对话方式。所谓人机对话，即在软件运行过程中，需要由用户选择的地方，软件即显示相应的提示信息，并等待用户按键选择。而在执行完某一段程序之后，便显示一串提示信息，以反映该段程序运行后的状态，是正常运行，还是出现错误，或者提示用户进行下一步工作的帮助信息。为此，如果我们对静态反汇编出来的程序清单进行阅读，可了解软件的编程思路，以便顺利破解。常用的静态分析工具是W32DASM、IDA和HIEW等。

三、动态跟踪分析

　虽然从静态上可以了解程序的思路，但是并不可能真正了解地了解软件的细节，如静态分析找不出线索，就要动态分析程序，另外，碰到压缩程序，静态分析也无能为力了，只能动态分析了。所谓动态分析是利用SOFTICE或TRW2000一步一步地单步执行软件。为什么要对软件进行动态分析呢？这主要是因为：

1、许多软件在整体上完成的功能，一般要分解成若干模块来完成，而且后一模块在执行时，往往需要使用其前一模块处理的结果，这一结果我们把它叫中间结果。如果我们只对软件本身进行静态地分析，一般是很难分析出这些中间结果的。而只有通过跟踪执行前一模块，才能看到这些结果。另外，在程序的运行过程中，往往会在某一地方出现许多分支和转移，不同的分支和转移往往需要不同的条件，而这些条件一般是由运行该分支之前的程序来产生的。如果想知道程序运行到该分支的地方时，去底走向哪一分支，不进行动态地跟踪和分析是不得而知的。

2、有许多软件在运行时，其最初执行的一段程序往往需要对该软件的后面各个模块进行一些初始始化工作，而没有依赖系统的重定位。

3、有许多加密程序为了阻止非法跟踪和阅读，对执行代码的大部分内容进行了加密变换，而只有很短的一段程序是明文。加密程序运行时，采用了逐块解密，逐块执行和方法，首先运行最初的一段明文程序，该程序在运行过程中，不仅要完成阻止跟踪的任务，而且还要负责对下一块密码进行解密。显然仅对该软件的密码部分进行反汇编，不对该软件动态跟踪分析，是根本不可能进行解密的。

由于上述原因，在对软件静态分析不行的条件下，就要进行动态分析了。哪么如何有效地进行动态跟踪分析呢？一般来说有如下几点：

1、对软件进行粗跟踪
所谓粗跟踪，即在跟踪时要大块大块地跟踪，也就是说每次遇到调用CALL指令、重复操作指令REP.循环操作LOOP指令以及中断调用INT指令等，一般不要跟踪进去，而是根据执行结果分析该段程序的功能。

2、对关键部分进行细跟踪

　对软件进行了一定程度的粗跟踪之后，便可以获取软件中我们所关心的模块或程序段，这样就可以针对性地对该模块进行具体而详细地跟踪分析。一般情况下，对关键代码的跟踪可能要反复进行若干次才能读懂该程序，每次要把比较关键的中间结果或指令地址记录下来，这样会对下一次分析有很大的帮助。软件分析是一种比较复杂和艰苦的工作，上面的几点分析方法，只是提供了一种基本的分析方法。要积累软件分析的经验需要在实践中不断地探索和总结。

断点大全

密码常用中断
Hmemcpy (win9x专用)
GetDlgItemTextA
GetDlgItemInt
vb:
getvolumeinformationa 　

vbastrcomp (trw)
Bpx __vbaStrComp (记得是两个 '_')
MSVBVM60!_vbastrcomp|sofice
MSVBVM50! |　

VBAI4STR　

Ctrl+D
bpx msvbvm60!__vbastrcomp do "d *(esp+0c)"(softice)
按几次F5出册码出来了。
bpx regqueryvalueexa do "d esp－>8"(trw)　

vbaVarTstEq 判断是否注册的函数
(0042932F 66898580FEFFFF mov word ptr [ebp+FFFFFE80], ax
改为0042932F 66898580FEFFFF mov word ptr [ebp+FFFFFE80], bx)

时间常用中断
GetSystemTime
GetLocalTime
GetTickCount
vb:
rtcGetPresentDate //取得当前日期　

杀窗常用中断
Lockmytask (win9x专用)
DestroyWindow
mouse_event (鼠标中断)
postquitmessage (Cracking足彩xp,很有用^_^)
vb:
_rtcMsgBox　

ini文件内容常用中断
GetPrivateProfileStringA
GetPrivateProfileProfileInt　

key文件:
getprivateprofileint
ReadFile
CreateFileA　

注册表常用中断
RegQueryvalueA
RegQueryvalueExA　

狗加密中断
BPIO -h 278 R
BPIO -h 378 R 　

其它常用函数断点
CreateFileA (读狗驱动程序),
DeviceIOControl,
FreeEnvironmentStringsA (对付HASP非常有效).
Prestochangoselector (16-bit HASP's), '7242' 查找字符串 (对付圣天诺).具体含义参考下面的范例。　

光盘破解中断
16:
getvolumeinformation
getdrivetype
int 2fh (dos)
32:
GetDriveTypeA
GetFullPathNameA
GetWindowsDirectoryA　

读磁盘中断
GETLASTERROR 返回扩充出错代码　

限制中断
EnableMenuItem 允许、禁止或变灰指定的菜单条目
EnableWindow 允许或禁止鼠标和键盘控制指定窗口和条目（禁止时菜单变灰）　

不知道软盘中断是什么了？还有其它特殊中断，不知道其他朋友可否说一下了？
如:Lockmytask and mouse_event，这些就不是api32函数？
win9x 与 win2k进行破解，以上中断有部分已经不能用了？
不知道在win2k上，以上常用中断函数是什么了？
也就是问密码、时间、窗口、ini、key、注册表、加密狗、光盘、软盘、限制等！
了解常用的中断，对破解分析可以做到事半功倍！
请大家说一下！还有如何破解了某个软件时，一重启就打回原形？
不知道下什么中断了？可以分为三种情况：
1.比较可能在注册表中
2.比较在特殊文件(*.key *.ini *.dat等)
3.比较在程序中，没有任何错误提示或者反译也找不到明显字符(这个就是我想问的)　

还有一个是最难的，就是去掉水印！
也可以三种情况：
A.水印是位图文件(bitblt,creatBITMAP等位图函数)
B.水印是明显字符(反译分析)
C.水印不是明显字符(如：This a demo!它只是显示在另一个制作文件上,可是*.htm *.exe等)
C.才是最难搞，也是很多人想知道的！包括我在内。不知道高手们有何提示了？　

广告条：
可以分两种情况:
A.从创建窗口进手,可以用到movewindow或者其它窗口函数!
B.从位图进手,也可以用到bitblt或者其它位图函数!
最后可以借助一些现有工具(如:api27,vwindset,freespy之类的工具)　

葡萄虽无树，藤生棚中秧。
人处凡尘中，岂不惹尘埃?　

小球[CCG]
那要看是在哪作的标记，通常是在注册表中留下信息！
在softice中就要用bpx regqueryvalueexa do "d esp->8"来中断看看，
在trw中要用bpx regqueryvalueexa do "d*(esp+8)"来中断看看。
还有的是在本目录下留下注册信息，常见的有.dat .ini .dll等等，
我是用bpx readfile来中断的，还有的是在windows目录下留下注册信息。
你可以借助专用的工具帮助你查看，入filemon等！　

vb:　

1、__vbaVarTstNe //比较两个变量是否不相等
2、rtcR8ValFromBstr //把字符串转换成浮点数
3、rtcMsgBox 显示一信息对话框
4、rtcBeep //让扬声器叫唤
5、rtcGetPresentDate //取得当前日期　

针对字串:
__vbaStrComp
__vbaStrCmp
__vbaStrCompVar
__vbaStrLike
__vbaStrTextComp
__vbaStrTextLike
针对变量:
__vbaVarCompEq
__vbaVarCompLe
__vbaVarCompLt
__vbaVarCompGe
__vbaVarCompGt
__vbaVarCompNe 　

VB的指针:
THROW 　

VB DLL还调用了oleauto32.dll中的部分函数。oleauto32.dll是个通用的proxy/stub DLL，其每个函数的原型在<oleauto.h>中定义，并在MSDN中有详细描述。这也有助于理解VB DLL中的函数的作用。　

举例：　

LEA EAX, [EBP-58]
PUSH EAX
CALL [MSVBVM60!__vbaI4Var] 　

执行call之前敲dd eax+8，得到的值为3；
执行完call之后，eax = 3
从而可知__vbaI4Var的作用是将一个VARIANT转换为I4（即一个长整数）。　

__vbaVarTstNe似乎是用来进行自校验的，正常情况下返回值为0。
已知适用的软件有：网络三国智能机器人、音乐贺卡厂。当这两个软件被脱壳后都回出错，网络三国智能机器人会产生非法*作，而音乐贺卡厂会告诉你是非法拷贝，通过修改__vbaVarTstNe的返回值都可让它们正常运行。
所以当您遇到一个VB软件，脱壳后无法正常运行，而又找不出其它问题时，可试试拦截这个函数，说不定会有用哦。8-）　

API不太知道,也许可以通过BIOS在98平台上读写扇区,不过在2000/NT下可以通过内黑ATAPI,HAL写扇区
machoman[CCG]
bpx WRITE_PORT_BUFFER_USHORT
NT/2000下这个断点,当edx=1f0h,时,可以看见EDI地址内数据为扇区位置数据,必须先在winice.dat 中装入hal.sys 详细内容看ATAPI手册　

补充篇:
关于对VB程序和时间限制程序的断点
CrackerABC
先给出修改能正确反编译VB程序的W32DASM的地址：
======================
offsets 0x16B6C-0x16B6D 　

修改机器码为： 98 F4
====================== 　

VB程序的跟踪断点：　

============
MultiByteToWideChar,
rtcR8ValFromBstr,
WideCharToMultiByte,
__vbaStrCmp
__vbaStrComp
__vbaStrCopy
__vbaStrMove
__vbaVarTstNe
rtcBeep
rtcGetPresentDate (时间API)
rtcMsgBox
========= 　

时间限制断点：　

================
CompareFileTime
GetLocalTime
GetSystemTime
GetTimeZoneInformation
msvcrt.diffTime()
msvcrt.Time()
================

地主发表时间: 06-09-23 09:35

回复: jhkdiy [jhkdiy]

版主

辛苦了！！

B1层发表时间: 06-09-23 13:27

论坛: 编程破解