近日由于工作关系用ＯＤ分析了几天的类感觉以前的方法过于原始，老是使用手工调试，效率不高，为了提高自己分析效率，用了３天时间改下我的工具库让我自己分析速度快了不少，感觉有助于分析不敢藏私公开一下给大家用，有用的朋友可以复制去，或到我的下载区区下载：
第一个：是标定一个类的成员函数
var startaddress//开始读表的位置
var vfpfunname//函数打头
var strfun//这个起始标签
var fladd//存地址用的
ask "请输入虚表起始地址"//是4个字节不是函数地址
mov startaddress,$RESULT
ask "请输入虚表标签标识"
mov vfpfunname,$RESULT
mov strfun,1
//mov startaddress,1f344000//设置以下虚表位置
LOOPWRITEVFUN:
//mov fladd,[startaddress]//获取函数地址
bp [startaddress]
eval "{vfpfunname}_{strfun}"
CMT [startaddress],$RESULT
add startaddress,4
inc strfun//序号
cmp strfun,400
jbe continuelop
MSGYN "超过100个函标记了是否需要退出"
cmp $RESULT,1
jz overscr//退出脚本
continuelop:
//下面判断是否到了虚表尾部
mov fladd,[startaddress]
cmp 0,[fladd]
jnz LOOPWRITEVFUN
overscr:
ret
你需要用OD找出你虚表的地址如图：
你需要调试的类的虚表的首地址，这边保存着该类所有的成员函数地址表写入如图：
接下来就是标签了比如下面我随便设置一个:
我们看看运行完的效果吧:
接下来就是要跑运行的脚本了：
先上代码：
var lognum
var cmtstr//保存注释
var testval
mov lognum,1
MSGYN "清理日记文件模式吗？"
cmp $RESULT,0
jz loopbrk//不清理直接累加继续
LCLR//清理运行日记
wrt "c:\\outlog.txt","开始"
loopbrk:
run//执行
GCMT eip//获取注释
mov cmtstr,$RESULT
cmp cmtstr,"savelog"//你在这个地址下断点标上savelog标注那么就会跳过去自动记录字串内容
jz outlog//如果是碰到标签为savelog就保存系统log
eval "->{lognum}::{cmtstr}\r\n"
wrta "c:\\outlog.txt",$RESULT
jmp contineloop
outlog:
getlog "c:\\outlog.txt",[esp+8],100//输出到日志文件这个函数是我通过修改插件源码重新编译而得，自己可以下修改
//需要的话到我空间去下一个,[esp+8],是地址，100是最大长度
contineloop:
inc lognum
jmp loopbrk//循环
ret
到了这边你就可以运行你的OD调试软件后看日志查看逻辑了也可以自己修改后添加你需要的信息.
c:\\outlog.txt就是你记录日志的信息不要的断点按F2去掉就不会帮i记录了。如果能帮到你一点本文价值就达到了。