0:007> r r11,rdx,r8r11=00007ff873cdea80 rdx=ffff800792b063c0 r8=0000000000000206rdx的最初值为ffff800792b063c0+00007ff873cdea80=00000000`067e4e40可得三个参数如下:Dst:00007ff873cdea80Src:00000000`067e4e40Size:0000000000000206下边来看下 , 当前这两个内存区的数据:
0:007> du 00007ff873cdea8000007ff8`73cdea80&34;所有的组合电路都是不..可信的 。是的 , 往往有很多的毛刺啊 , 或者中&34;00007ff8`73cdeac0&34;间过程啊不可避免的出现 , 这&34;0:007> du 00000000`067e4e4000000000`067e4e40&34;所有的组合电路都是不..可信的 。是的 , 往往有很多的毛刺啊 , 或者中&34;00000000`067e4e80&34;间过程啊不可避免的出现 , 这&34;当前已经复制的长度如下:
0:007> ?rcx-r11Evaluate expression: 516 = 00000000`00000204而触发Crash的那个内存地址相对于Src的地址的偏移如下:
00007ff8`7380cb21 mov ax,word ptr [rdx+rcx] ds:00000000`067e5044=????0:007> ?00000000`067e5044-00000000`067e4e40Evaluate expression: 516 = 00000000`00000204 这两个是吻合的上的 , 现在看来 , 导致Crash的原因可能如下:
1、Size有问题 , 即传入的Size超过了Src的那块内存区的大小了 , 访问了后边不该访问的虚拟内存;
2、Size没问题 , 待访问的那块虚拟内存某些区间被释放掉了;
要知道这个答案 , 就需要溯源到上一级 , 因为memmove这个库函数出问题的几率是在太低了 。溯源到上一级有两种方法 , 栈回溯或者IDA的交叉引用 。我喜欢栈回溯 , 因为他“一锤定音” , 不存在多个可能 。根据上一小节的栈回溯可知 , caller的返回地址为:00007ff8`737d1c83 , 其汇编代码如下:
0:007> ub 00007ff8`737d1c83frdvpr_drv+0x11c5d:00007ff8`737d1c5d jefrdvpr_drv+0x11c8c (00007ff8`737d1c8c)00007ff8`737d1c5f callqword ptr [frdvpr_drv!DrvQueryDriverInfo+0x2dc158 (00007ff8`73abc5f8)]00007ff8`737d1c65 movrcx,rbx00007ff8`737d1c68 callqword ptr [frdvpr_drv!DrvQueryDriverInfo+0x2dc130 (00007ff8`73abc5d0)]00007ff8`737d1c6e learcx,[frdvpr_drv!DrvQueryDriverInfo+0x4fe5e0 (00007ff8`73cdea80)]00007ff8`737d1c75 movr8d,206h00007ff8`737d1c7b movrdx,rax00007ff8`737d1c7e callfrdvpr_drv!DrvQueryDriverInfo+0x2c4b0 (00007ff8`7380c950) ;memmove(0x00007ff8`73cdea80,rax,0x206)上边这段代码翻译完就是memmove(0x00007ff8`73cdea80,rax,0x206);我第一眼看到就感觉好奇怪 , 为啥把这个Size写死了 , 为啥要硬编码?带着疑问我们在往上翻一下 , 看看这个rax的值哪来的 。
文章插图
1 , 2 , 3号函数分别如下:
文章插图
即:
1—->调用的是hClipboard = USER32!GetClipboardData() , 而且传入的 uFormat参数由图可知是0x0D,即CF_UNICODETEXT;
2—->调用的是KERNEL32!GetLastErrorStub();
3—->调用的是lpMem = KERNEL32!GlobalLock(hClipboard);
4—–>memmove(0x00007ff8`73cdea80,lpMem,0x206)
都清楚了 , 原来是从剪贴板中读取UNICODE字符串 , 然后硬编码的Size为0x206;下边我们去IDA中看下 , 是不是这个逻辑 , 如下图:
文章插图
完全一样 , 好了 , 看一下unk_18051EA80这个全局变量 , 他的大小估计也是在0x206附近 , 确认下 , 如下图:
文章插图
现在可以完全推导出当时这个源码了 , 应该是这样的:
unk_18051EA80[0x208]={0};memmove(unk_18051EA80,lpMem,sizeof(unk_18051EA80)-sizeof(WCHAR)); 3、定因在第2节中提出来的两个原因 , 基本可以确定为Size过大了 , 下边简单看下后边的那块内存的属性 。如下:
文章插图
文章插图
【福昕pdf阅读器和编辑器区别 福昕pdf阅读器 福昕高级pdf编辑器】到此 , 便结束了 。实在是不该出现这样的问题 。
- excel太宽怎么截屏 excel太宽了怎么转pdf
- PDF转cad pdf转cad pdf转cad完整免费软件
- 人人都是产品经理 pdf 人人都是产品经理 女生做产品经理好吗
- 打印店能直接打印pdf 打印店pdf格式能打印吗
- 极光pdf阅读器删不掉 极光pdfreader是什么软件
- 手机wps怎么把两个pdf合并成一个 手机wps怎么把两页变成一页显示
- 老婆孩子热炕头啥意思 老婆孩子热炕头 周谨行丁小伟免费阅读
- 如何把word转换成图片 如何把word转换成pdf格式
- 阅读对孩子有哪些收获 阅读对孩子有哪些好处
- QQ阅读兑换 qq阅读怎么兑换激活码