Tutorialreihe~fr33k

[iNvIcTUs oRCuS]

(04.11.2010, 22:52)Acubra schrieb: Ich meine warum setzen wir einen Hardware Breakpoint on Access , bzw. warum ändert sich das ESP Register überhaupt und generell , warum das ESP Register und nicht EAX, ECX, EDX, EBX, EBP, ESI oder EDI?

Dazu muss man wissen was die einzelnen Register darstellen bzw. zu was diese eigentlich gedacht sind. Das ESP Register ist das Extended Stack Register. Wenn man wie ich aus der Reversing Szene kommt, kommt man man nicht um den Stack Frame drumrum. Dazu muss man auch verstehen wie sich das mit den Stackoperationen verhält - Sprich Aufrufkonventionen, wie wird vom Stack gelesen, wie wird auf den Stack geschrieben und solche Sachen. Ganz einfach - Was ist der Stack und wie ist er zu verstehen?!
Ich werde hier nicht weiter das Ganze erläutern denn die Bedeutung des Stacks und speziell die Funktion des ESP Registers kann man auf unzähligen Internetseiten, allen voran Wikipedia, selbst nachlesen und würde in diesem Sinne auch den Rahmen sprengen.

Vielmehr stellt sich aber die Frage - Warum muss ich diesen Packer erst entpacken??? Antwort - Muss man nämlich garnicht... Selbst wenn man eine gepackte Anwendung bzw. Spiele EXE patchen möchte brauch man noch nichtmal die EXE entpacken.