OllyICE_1.10 调试sqlite3

OllyICE_1.10 调试sqlite3

下载 OllyICE https://tool.kanxue.com/index-detail-1.htm

下载 IDA https://tool.kanxue.com/index-detail-6.htm

调试器中看到的地址与机器码只对应特定构建和加载环境，编译选项变化就可能失效。本文适用于自有程序或授权研究，固定特征不能作为长期稳定接口。

1. 根据windows cpp编译sqlite3 生成的程序

2. 打开OllyICE File -》 Open -》选择sqlitetest.exe

CTRL+G 输入sqlite3_open

可以看到特征码

007FE2F0 >/$  55            push    ebp
007FE2F1  |.  8BEC          mov     ebp, esp
007FE2F3  |.  8B55 0C       mov     edx, dword ptr [ebp+C]
007FE2F6  |.  8B4D 08       mov     ecx, dword ptr [ebp+8]
007FE2F9  |.  6A 00         push    0
007FE2FB  |.  6A 06         push    6
007FE2FD  |.  E8 CEFBFFFF   call    openDatabase
007FE302  |.  83C4 08       add     esp, 8
007FE305  |.  5D            pop     ebp
007FE306  \.  C3            retn

8B 4D 08 6A 00 6A 06 E8

接下来我们分析微信的dll

找到微信的安装目录 C:\Program Files (x86)\Tencent\WeChat

找到版本目录下面的WeChatWin.dll 拷贝一份到D:\debug\WeChatWin.dll

我们打开IDA New -》 选择D:\debug\WeChatWin.dll

ALT + b

双击进入

可以看到跟sqlitetest一样的代码

到这里我们就发现如何找特征码了