[原创]发2个OD脚本主要是辅助你分析类的成员函数调用关系

近日由于工作关系用ＯＤ分析了几天的类感觉以前的方法过于原始，老是使用手工调试，效率不高，为了提高自己分析效率，用了３天时间改下我的工具库让我自己分析速度快了不少，感觉有助于分析不敢藏私公开一下给大家用，有用的朋友可以复制去，或到我的下载区区下载：

第一个：是标定一个类的成员函数

var  startaddress//开始读表的位置

var  vfpfunname//函数打头

var  strfun//这个起始标签

var  fladd//存地址用的

ask  "请输入虚表起始地址"//是4个字节不是函数地址

mov  startaddress,$RESULT

ask  "请输入虚表标签标识"

mov  vfpfunname,$RESULT

mov  strfun,1

//mov  startaddress,1f344000//设置以下虚表位置

LOOPWRITEVFUN:

//mov fladd,[startaddress]//获取函数地址

bp   [startaddress]

eval "{vfpfunname}_{strfun}"

CMT  [startaddress],$RESULT

add  startaddress,4

inc  strfun//序号

cmp  strfun,400

jbe  continuelop

MSGYN  "超过100个函标记了是否需要退出"

cmp  $RESULT,1

jz   overscr//退出脚本

continuelop:

//下面判断是否到了虚表尾部

mov  fladd,[startaddress]

cmp  0,[fladd]

jnz  LOOPWRITEVFUN

overscr:

ret

你需要用OD找出你虚表的地址如图：

你需要调试的类的虚表的首地址，这边保存着该类所有的成员函数地址表写入如图：

接下来就是标签了比如下面我随便设置一个:

我们看看运行完的效果吧:

接下来就是要跑运行的脚本了：

先上代码：

var  lognum
var  cmtstr//保存注释
var  testval
mov lognum,1
MSGYN  "清理日记文件模式吗？"
cmp  $RESULT,0
jz   loopbrk//不清理直接累加继续
LCLR//清理运行日记
wrt  "c:\\outlog.txt","开始"
loopbrk:
run//执行
GCMT eip//获取注释
mov cmtstr,$RESULT
cmp cmtstr,"savelog"//你在这个地址下断点标上savelog标注那么就会跳过去自动记录字串内容
jz outlog//如果是碰到标签为savelog就保存系统log
eval "->{lognum}::{cmtstr}\r\n"
wrta  "c:\\outlog.txt",$RESULT
jmp contineloop
outlog:

getlog "c:\\outlog.txt",[esp+8],100//输出到日志文件这个函数是我通过修改插件源码重新编译而得，自己可以下修改

//需要的话到我空间去下一个,[esp+8],是地址，100是最大长度

contineloop:
inc lognum
jmp loopbrk//循环
ret

到了这边你就可以运行你的OD调试软件后看日志查看逻辑了也可以自己修改后添加你需要的信息.

c:\\outlog.txt就是你记录日志的信息不要的断点按F2去掉就不会帮i记录了。如果能帮到你一点本文价值就达到了。