Как найти wndproc в ollydbg?
1 ответ
Я бы это сделал по-другому: Выдвинул гипотезы о том какие Win-API функции могут регистрировать оконную. Далее с помощью Hiew посмотрел список импортируемых АПИ и посмотрел их там. Если файл запакован, то стаб пакера может сам находить апи-шки, тогда "сушите весла" или "приготовьтесь к улучшению знаний".
Пример когда все открыто: 1) Открыли файл в Hiew. Перешли в режим кода или хекса. Нажали F8 чтобы увидеть PE-заголовок, нажали F7 чтобы увидеть список импорта. Набрали первые буквы фунции к примеру Regist увидим:
0 RegisterClassA │ USER32.DLL
2) Нажали Enter и перешли по месту ее вызова:
.00401EF9: E82E340100 call LoadCursorA --↓2
.00401EFE: 8985CCFEFFFF mov [ebp][-000000134],eax
.00401F04: 33C0 xor eax,eax
.00401F06: 8985D0FEFFFF mov [ebp][-000000130],eax
.00401F0C: 33D2 xor edx,edx
.00401F0E: 8995D4FEFFFF mov [ebp][-00000012C],edx
.00401F14: C785D8FEFFFF036A4100 mov d,[ebp][-000000128],000416A03 ;'OLLY2TEST'
.00401F1E: 8D8DB4FEFFFF lea ecx,[ebp][-00000014C]
.00401F24: 51 push ecx
.00401F25: E820340100 call RegisterClassA --↓4
3) Теперь можем открыть OllyDbg и поставить бряк по выполнению на адрес .00401F25