callstack
IL指令集
比较两个无符号的或不可排序的值。如果第一个值大于第二个值，则将整数值1 (int32)推送到计算堆栈上；反之，将0 (int32)推送到计算堆栈上。
Ckfinite
如果值不是有限数，则引发ArithmeticException。
Clt
比较两个值。如果第一个值小于第二个值，则将整数值1 (int32)推送到计算堆栈上；反之，将0 (int32)推送到计算堆栈上。
将位于计算堆栈顶部的无符号值转换为unsigned int64，并在溢出时引发OverflowException。
Conv.R.Un
将位于计算堆栈顶部的无符号整数值转换为float32。
Conv.R4
将位于计算堆栈顶部的值转换为float32。
Conv.R8
将位于计算堆栈顶部的值转换为float64。
Conv.Ovf.I8
将位于计算堆栈顶部的有符号值转换为有符号int64，并在溢出时引发OverflowException。
Conv.Ovf.I8.Un
将位于计算堆栈顶部的无符号值转换为有符号int64，并在溢出时引发OverflowException。
Conv.Ovf.U
将位于计算堆栈顶部的有符号值转换为unsigned native int，并在溢出时引发OverflowException。
将整数值8作为int32推送到计算堆栈上。
Ldc.I4.M1
将整数值-1作为int32推送到计算堆栈上。
Ldc.I4.S
将提供的int8值作为int32推送到计算堆栈上（短格式）。
Ldc.I8
将所提供的int64类型的值作为int64推送到计算堆栈上。
Ldc.R4
将所提供的float32类型的值作为F (float)类型推送到计算堆栈上。
读懂IL代码就这么简单（二）
读懂IL代码就这么简单（⼆）⼀前⾔ IL系列第⼀篇写完后得到⾼⼈指点，及时更正了⽂章中的错误，也使得我写这篇⽂章时更加谨慎，⾃⼰在了解相关知识点时，也更为细致。
个⼈觉得既然做为⽂章写出来，就⼀定要保证⽐较⾼的质量，和正确率。
感谢的指点你没有看第⼀篇？点这⾥看第⼀篇IL指令⼤全：IL反编译⼯具：知识点回顾：Managed Heap(托管堆):⽤于存放引⽤类型的值Evaluation Statck(计算栈)：临时存放值类型数据，引⽤类型地址的堆栈(这个是栈，所以遵循栈的操作特点，先进后出)Call Stack(调⽤栈)：其中的Record Frame ⽤于存放.locals init(int32 V_0)指令的参数值如：V_0 (Record Frame是⼀个局部变量表，所以不遵守FILO原则 )⼆指令详解(基本介绍)2.1 知识点介绍 在第⼀篇时，我只详细的写了值类型的IL指令，这⼀篇会主要以引⽤类型为主，这⼀篇会有装箱操作，所以先写⼀下装箱操作在内存中是如何操作的装箱操作：1 内存分配，在托管堆中分配内存空间，2 将值类型的字段拷贝到新分配的内存中，3 将托管堆中的对象地址返回给新的对象操作过程如下图C#代码1/*2 Author:zery-zhang3 BlogAddress:/zery/4*/5static void Main(string[] args)6 {7string name = "Zery";8int age = 22;9 Console.WriteLine(age.ToString() + name);//已ToString的操作10 Console.WriteLine(age+name);//未ToString操作1112 }IL代码1/*2 Author:zery-zhang3 BlogAddress:/zery/4*/5 .method private hidebysig static void Main(string[] args) cil managed6 {7 .entrypoint8// Code size 48 (0x30)910//以下代码完成 C#代码中初始化变量的操作1112//计算栈(Evaluation Stack) 可容纳数据项的最⼤个数13 .maxstack 214//定义并初始化参数并存⼊局部变量表(Record Frame)中15 .locals init (string V_0,int32 V_1)16 IL_0000: nop17//把字符串压⼊计算栈(Evaluation Stack)中18 IL_0001: ldstr "Zery"19// 从计算栈中弹出("Zery")字符，并赋值给局部变量表中第0个位置的元素V_020 IL_0006: stloc.021//把整数22压⼊计算栈中22 IL_0007: ldc.i4.s 2223//把整数22弹出，并赋值给局部变量表中第1个位置的元素V_124 IL_0009: stloc.12526//以下代码完成C#中的输出操作2728//取出局部变量表中V_1元素的值 "22" (copy)并压⼊计算栈中29 IL_000a: ldloca.s V_130//弹出刚刚压⼊的值("22")调⽤ToString⽅法转成string类型并将引⽤存⼊计算栈中31 IL_000c: call instance string [mscorlib]System.Int32::ToString()32//取出局部变量表中第0个位置元素(V_0)的值("Zery")压⼊计算栈中(此时计算栈中有两个值，指向推管堆中"22"的引⽤地址和字符串"Zery")33 IL_0011: ldloc.034//弹出计算栈中两个值调⽤String的Concat⽅法把字个字符拼接存⼊托管堆中(Managed Heap )并返回地址压⼊计算栈中35 IL_0012: call string [mscorlib]System.String::Concat(string,string)36//调⽤输出⽅法，调⽤输出⽅法后计算栈中的值(指向托管堆字符的地址)会被回收。
Delphi常用的快捷键
搜索editor keyboard shortcuts可能可以找到，你自己看帮助吧。
在编程序时unit右键菜单的properties/Code Insight
55.Tab 在object inspector窗口按tab键将光标移动到属性名区，然后键入属性名的开头字母可快速定位到该属性
56.Ctrl+Alt 按着Ctrl+Alt之后，可用鼠标选择一个矩形块中的代码，并可比它进行复制，粘贴
57.Shift+↓、↑、→、← 以1像素单位更改所选控件大小
58.Ctrl+↓、↑、→、← 以1像素单位更改所选控件位置
41.Ctrl+ 鼠标转轮加速滚屏
42.Ctrl+O+U 切换选择块的大小写(注意松开O后再按U,Ctrl保持按下)
43.Ctrl+K+O 切换选择块为小写(注意松开K后再按O,Ctrl保持按下)
44.Ctrl+K+N 切换选择块为大写(注意松开K后再按N,Ctrl保持按下)
45.Ctrl+Shift+G 插入GUID
30.Ctrl+Shift+T 在光标行加入To-Do注释。
31.Ctrl+Shift+Y 删除光标之后至本行末尾之间的文本。
32.Ctrl+F3Call Stack窗口。
33.Ctrl+F4 等于File菜单中的Close项。
调用堆栈
首先介绍一下什么叫调用堆栈：假设我们有几个函数，分别是function1,function2,function3,funtion4，且function1调用function2，function2调用function3，function3调用function4。
在function4运行过程中，我们可以从线程当前堆栈中了解到调用他的那几个函数分别是谁。
把函数的顺序关系看，function4、function3、function2、function1呈现出一种“堆栈”的特征，最后被调用的函数出现在最上方。
因此称呼这种关系为调用堆栈(call stack)。
当故障发生时，如果程序被中断，我们基本上只可以看到最后出错的函数。
利用call stack，我们可以知道当出错函数被谁调用的时候出错。
这样一层层的看上去，有时可以猜测出错误的原因。
常见的这种中断时ASSERT宏导致的中断。
在程序被中断时，debug工具条的右侧倒数第二个按钮一般是call stack按钮，这个按钮被按下后，你就可以看到当前的调用堆栈。
实例一：介绍我们首先演示一下调用堆栈。
首先我们创建一个名为Debug的对话框工程。
工程创建好以后，双击OK按钮创建消息映射函数，并添加如下代码：void CDebugDlg::OnOK(){// TODO: Add extra validation hereASSERT(FALSE);}我们按F5开始调试程序。
程序运行后，点击OK按钮，程序就会被中断。
这时查看call stack 窗口，就会发现内容如下：CDebugDlg::OnOK() line 176 + 34 bytes_AfxDispatchCmdMsg(CCmdTarget * 0x0012fe74 {CDebugDlg}, unsigned int 1, int 0, void (void)* 0x5f402a00 `vcall'(void), void * 0x00000000, unsigned int 12, AFX_CMDHANDLERINFO * 0x00000000) line 88CCmdTarget::OnCmdMsg(unsigned int 1, int 0, void * 0x00000000, AFX_CMDHANDLERINFO * 0x00000000) line 302 + 39 bytesCDialog::OnCmdMsg(unsigned int 1, int 0, void * 0x00000000, AFX_CMDHANDLERINFO * 0x00000000) line 97 + 24 bytesCWnd::OnCommand(unsigned int 1, long 656988) line 2088CWnd::OnWndMsg(unsigned int 273, unsigned int 1, long 656988, long * 0x0012f83c) line 1597 + 28 bytesCWnd::WindowProc(unsigned int 273, unsigned int 1, long 656988) line 1585 + 30 bytes AfxCallWndProc(CWnd * 0x0012fe74 {CDebugDlg hWnd=???}, HWND__ * 0x001204b0, unsigned int 273, unsigned int 1, long 656988) line 215 + 26 bytesAfxWndProc(HWND__ * 0x001204b0, unsigned int 273, unsigned int 1, long 656988) line 368AfxWndProcBase(HWND__ * 0x001204b0, unsigned int 273, unsigned int 1, long 656988) line 220 + 21 bytesUSER32! 77d48709()USER32! 77d487eb()USER32! 77d4b368()USER32! 77d4b3b4()NTDLL! 7c90eae3()USER32! 77d4b7ab()USER32! 77d7fc9d()USER32! 77d76530()USER32! 77d58386()USER32! 77d5887a()USER32! 77d48709()USER32! 77d487eb()USER32! 77d489a5()USER32! 77d489e8()USER32! 77d6e819()USER32! 77d65ce2()CWnd::IsDialogMessageA(tagMSG * 0x004167d8 {msg=0x00000202 wp=0x00000000 lp=0x000f001c}) line 182CWnd::PreTranslateInput(tagMSG * 0x004167d8 {msg=0x00000202 wp=0x00000000 lp=0x000f001c}) line 3424CDialog::PreTranslateMessage(tagMSG * 0x004167d8 {msg=0x00000202 wp=0x00000000 lp=0x000f001c}) line 92CWnd::WalkPreTranslateTree(HWND__ * 0x001204b0, tagMSG * 0x004167d8 {msg=0x00000202 wp=0x00000000 lp=0x000f001c}) line 2667 + 18 bytesCWinThread::PreTranslateMessage(tagMSG * 0x004167d8 {msg=0x00000202 wp=0x00000000 lp=0x000f001c}) line 665 + 18 bytesCWinThread::PumpMessage() line 841 + 30 bytesCWnd::RunModalLoop(unsigned long 4) line 3478 + 19 bytesCDialog::DoModal() line 536 + 12 bytesCDebugApp::InitInstance() line 59 + 8 bytesAfxWinMain(HINSTANCE__ * 0x00400000, HINSTANCE__ * 0x00000000, char * 0x00141f00, int 1) line 39 + 11 bytesWinMain(HINSTANCE__ * 0x00400000, HINSTANCE__ * 0x00000000, char * 0x00141f00, int 1) line 30WinMainCRTStartup() line 330 + 54 bytesKERNEL32! 7c816d4f()这里，CDebugDialog::OnOK作为整个调用链中最后被调用的函数出现在call stack的最上方，而内核中程序的启动函数Kernel32! 7c816d4f()则作为栈底出现在最下方。
OD使用完全教程
OD使用完全教程.txt如果不懂就说出来，如果懂了，就笑笑别说出来。
贪婪是最真实的贫穷，满足是最真实的财富。
幽默就是一个人想哭的时候还有笑的兴致。
OllyDbg调试工具使用完全教程一，什么是 OllyDbg？OllyDbg 是一种具有可视化界面的 32 位汇编-分析调试器。
它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题。
Version 1.10 是最终的发布版本。
这个工程已经停止，我不再继续支持这个软件了。
但不用担心：全新打造的 OllyDbg 2.00 不久就会面世！运行环境： OllyDbg 可以以在任何采用奔腾处理器的 Windows 95、98、ME、NT 或是 XP（未经完全测试）操作系统中工作，但我们强烈建议您采用300-MHz以上的奔腾处理器以达到最佳效果。
还有，OllyDbg 是极占内存的，因此如果您需要使用诸如追踪调试［Trace］之类的扩展功能话，建议您最好使用128MB以上的内存。
支持的处理器： OllyDbg 支持所有 80x86、奔腾、MMX、3DNOW！、Athlon 扩展指令集、SSE 指令集以及相关的数据格式，但是不支持SSE2指令集。
配置：有多达百余个（天呀！）选项用来设置 OllyDbg 的外观和运行。
数据格式： OllyDbg 的数据窗口能够显示的所有数据格式：HEX、ASCII、UNICODE、 16/32位有/无符号/HEX整数、32/64/80位浮点数、地址、反汇编（MASM、IDEAL或是HLA）、PE文件头或线程数据块。
帮助：此文件中包含了关于理解和使用 OllyDbg 的必要的信息。
如果您还有 Windows API 帮助文件的话（由于版权的问题 win32.hlp 没有包括在内），您可以将它挂在 OllyDbg 中，这样就可以快速获得系统函数的相关帮助。
启动：您可以采用命令行的形式指定可执行文件、也可以从菜单中选择，或直接拖放到OllyDbg中，或者重新启动上一个被调试程序，或是挂接［Attach］一个正在运行的程序。
Visual Studio中的debug和release版本的区别
Visual Studio中的debug和release版本的区别Debug通常称为调试版本，它包含调试信息，并且不作任何优化，便于程序员调试程序。
Release 称为发布版本，它往往是进行了各种优化，使得程序在代码大小和运行速度上都是最优的，以便用户很好地使用。
Debug 和Release 的真正秘密，在于一组编译选项。
下面列出了分别针对二者的选项（当然除此之外还有其他一些，如/Fd /Fo，但区别并不重要，通常他们也不会引起Release 版错误，在此不讨论）Debug 版本参数含义/MDd /MLd或/MTd使用Debug runtime library (调试版本的运行时刻函数库)/Od 关闭优化开关/D "_DEBUG" 相当于#define _DEBUG,打开编译调试代码开关(主要针对assert函数) /ZI 创建Edit and continue(编辑继续)数据库，这样在调试过程中如果修改了源代码不需重新编译/GZ 可以帮助捕获内存错误/Gm打开最小化重链接开关，减少链接时间Release 版本参数含义/MD /ML 或/MT 使用发布版本的运行时刻函数库/O1 或/O2 优化开关，使程序最小或最快/D "NDEBUG" 关闭条件编译调试代码开关(即不编译assert函数)/GF 合并重复的字符串，并将字符串常量放到只读内存，防止被修改实际上，Debug 和Release 并没有本质的界限，他们只是一组编译选项的集合，编译器只是按照预定的选项行动。
事实上，我们甚至可以修改这些选项，从而得到优化过的调试版本或是带跟踪语句的发布版本。
哪些情况下Release 版会出错有了上面的介绍，我们再来逐个对照这些选项看看Release 版错误是怎样产生的1、Runtime Library：链接哪种运行时刻函数库通常只对程序的性能产生影响。
调试版本的Runtime Library 包含了调试信息，并采用了一些保护机制以帮助发现错误，因此性能不如发布版本。
stack的用法
stack的用法标题：深入理解与应用Stack数据结构**一、引言**Stack，栈，是一种基础且重要的计算机科学数据结构，遵循“后进先出”（Last In First Out, LIFO）原则。
在现实生活中，堆叠的盘子、书本等都可以形象地比喻为栈的运作方式：最后放上去的物品最先被取走。
在编程领域，栈广泛应用于函数调用、表达式求值、括号匹配等诸多场景。
**二、栈的基本操作**1. **Push**: 向栈顶添加元素。
当新元素加入时，它成为新的栈顶元素，原有栈顶元素则下沉一位。
2. **Pop**: 移除并返回栈顶元素。
执行此操作后，原栈顶元素下一个元素将成为新的栈顶元素。
3. **Peek/Top**: 查看但不移除栈顶元素。
通过这个操作，我们可以获取当前栈顶元素的值。
4. **IsEmpty**: 检查栈是否为空。
5. **Size**: 返回栈中元素的数量。
**三、栈的应用实例**- **函数调用栈**：在程序运行过程中，每当调用一个函数时，系统会将该函数的局部变量和返回地址压入调用栈，函数执行完毕后再从栈中弹出，恢复调用前的状态。
- **表达式求值**：计算逆波兰表示法（Reverse Polish Notation, RPN）这样的后缀表达式时，可以借助栈来实现。
遇到数字直接压入栈，遇到运算符则弹出栈顶两个元素进行运算，并将结果压回栈。
- **括号匹配**：在检查字符串中的括号是否正确配对时，可以用一个栈存储左括号，遇到右括号时，若栈顶是对应的左括号，则将其弹出，否则说明括号不匹配。
**四、栈的实现**栈可以通过数组或链表来实现。
数组实现的栈通常具有常数时间的push和pop 操作，但空间大小固定；链表实现的栈可以在需要的时候动态扩展，但每次插入和删除操作的时间复杂度可能较高。
以下是一个基于Python列表实现的简单栈：```pythonclass Stack:def __init__(self):self.stack = []def push(self, item):self.stack.append(item)def pop(self):if not self.is_empty():return self.stack.pop()else:return Nonedef peek(self):if not self.is_empty():return self.stack[-1]else:return Nonedef is_empty(self):return len(self.stack) == 0def size(self):return len(self.stack)```总结来说，栈作为一种线性数据结构，其简单直观的操作规则使其在解决各类问题时具备独特优势。
OllDbug中英对照教程
菜单栏：File 文件Open 打开F3Attach 附加Exit 退出View 查看Log 日记Executable modules 可执行模块Memory 内存Heap 堆栈Threads 线程Windows窗口Handles 句柄CPUSEH chain SEH链Patches 补丁Call stack 调用堆栈Breakpoints 断点Watches 监视References 参考Run trace Run跟踪Source 源码Source files 源文件File 文件Text files 文本文件Debug 调试Run 运行Pause 暂停Restart 重新开始Close 关闭Step into 单步步入Step over 单步步过（不进入call）Animate into 自动步入Animate over 自动步过Execute till return 执行到返回Execute till user code 执行到用户代码Open or clear run trace 打开或清除RUN跟踪Trace into 跟踪步入Trace over 跟踪步过Set condition 设置条件Close run trace 关闭Run跟踪Hardware breakpoints 硬件断点Inspect 检查Call DLL export 使用DLL输出Arguments 参数Select import libraries 选择导入库Select path for symbols 选择符号路径Plugins 插件Bookmarks 书签插件，该插件支持调试程序时设置10个书签Command line 命令行插件，该插件支持输入命令进行调试Options 选项Appearance 界面选项Debugging options 调试设置选项Just-in-time debugging 实时调试设置Add to Explorer 添加到资源管理器右键菜单Window 窗口Always on top 总在最前Cascade 层叠Tile horizontal 水平平铺Tile vertical 垂直平铺Arrange icons 排列图标Help 帮助About 关于Contents 帮助内容Select API help file 选择API帮助文件Open API help file 打开API帮助文件寄存器窗口右键菜单Backup 备份Create backup 创建备份Load backup from file 从文件载入备份Save date to file 保存数据到文件Copy 复制To clipboard 到剪贴板To file 到文件Select all 全选选择程序Binary 二进制Edit 编辑File with 00’s 用00填充File with NOPs 用NOP填充Binary copy 二进制复制Binary paste 二进制粘贴Assemble 汇编Label 标签Comment 注释Break point 断点Toggle 切换Conditional 条件Conditional log 条件记录Run to selection 运行到选定位置Memory,on access 内存访问Memory,on write 内存写入Hardware,on execution 硬件执行Set real SFX entry here 设置真正的自解压入口HIT跟踪添加选择部分添加函数过程添加所有已识别的函数过程Run trace RUN跟踪添加选择部分添加函数过程添加函数过程中的分支添加所有函数过程的入口Skip selection when tracing 跟踪时忽略选定的部分Set condition 设置条件New origin here 此处为新EIPGo to 转到Origin EIPPrevious 上个Expression 表达式上个函数过程下个函数过程Follow in dump 数据窗中跟随Selection 选择查看调用树Search for 查找Name(label) in current module 当前模块中的名称（标签）Name in all modules 所有模块中的名称Command 命令Sequence of commands 命令序列Constant 常量Binary string 二进制字符串All intermodular calls 所有模块间的调用All commands 所有命令All sequences 所有命令序列All constants 所有常量All switches 所有分支All referenced text strings 所有参考文本字符串User-defined label 用户定义的标签User-defined comment 用户定义的注释Find references to 查找参考Selected command 选定命令Jump destination 跳转到目的地View 查看Executable file 可执行文件Relative address 相对地址Module 模块Copy to executable 复制到可执行文件Selection 选择Analysis 分析Analyse code 分析代码Remove analyse from module 从模块中删除分析Scan object files 扫描目标文件Remove object scan from module 从模块中删除目标扫描假定参数Remove analyse from section从选定内容删除分析During next analysis,treat selection as 在下次分析时，将徐泽部分视为CommandByteWordDoublewordCommandsBytesWordsDoublewordsASCII textUNICODE textCode doctorFKVMP VMP脱壳工具IDAFicator 窗口布局StrongOD 反反调试工具loadMapEx 加载map file到od的cpu窗口当前汇编代码所在的模块运行脚本Script Functions 脚本软件用OllyDump脱壳调试进程Zeus VMProtect分析及自动脱壳插件中文搜索引擎Appearance 界面选项Always on topShow barShow horizontal scrollDefault columnsFont(this)Colors(this)Font(all)Colors(all)Highlighting模块窗口右键Actualize 刷新Follow import in Disassembler 反汇编窗口中跟随输入函数Follow in Dump 数据窗口中跟随Find references to import 查找输入函数参考View call tree 查看调用树Toggle breakpoint on import 在输入函数中切换断点Conditional breakpoint on import 在输入函数上设条件断点Conditional log breakpoint on import 在输入函数上设条件记录断点Set breakpoint on every reference 在每个参考上设置断点Set log breakpoint on every reference 在每个参考上设置记录断点Remove all breakpoints 删除所有断点Copy to clipboard 复制到剪切板Sort by 排序按Appearance 界面选项Code doctor1、反混淆比如遇到花指令或是什么的，可以在OD中先选中要反混淆的代码，然后单击插件命令中的“Deobfuscate”即可将代码还原。
VC 60使用方法
图 2-1 创建工程项目 （2）屏幕上出现如图 2-2 所示的“Win32 Console Application—Step 1 of 1”对话 框后，选择“An empty project”项，然后单击“F 完成（Finish） ”按钮继续：
图 2-2 Win32 Console Application—Step 1 of 1 对话框 出现如图 2-3 所示的“新建工程信息（New Project Information） ”对话框后， 单击“确定（OK） ”按钮完成工程创建。创建的工作区文件为 myexam1.dsw 和工
二、使用 Visual C++ 6.0 建立 C 语言应用程序
利用 VC++6.0 提供的一种控制台操作方式，可以建立 C 语言应用程序， Win32 控 制台程序(Win32 Console Application)是一类 Windows 程序，它不使用复杂的图形用户 界面，程序与用户交互是通过一个标准的正文窗口，下面我们将对使用 Visual C++ 6.0 编写简单的 C 语言应用程序作一个初步的介绍。
3
图 2-5 建立 c 源程序
4．打开已存在的工程项目，编辑 C 源程序
进入 Visual C++6.0 环境后，选择主菜单“打开工作区（Open Workspace） ”命令， 在“Open Workspace”对话框内找到并选择要打开的工作区文件 myexam1.dsw，单击 “确定（OK） ”按钮，打开工作区。
图 2-6 打开 myexam1.c 源程序 在左侧的工作区窗口，单击下方的 “FileView” 选项卡，选择文件视图显示，打开 “Source”文件夹，再打开要编辑的 C 源程序进行编辑和修改。如图 2-6 所示。
SendMessage,essage原理
本文讲解SendMessage、PostMessage两个函数的实现原理，分为三个步骤进行讲解，分别适合初级、中级、高级程序员进行理解，三个步骤分别为：
1、SendMessage、PostMessage的运行机制。
2、SendMessage、PostMessage的运行内幕。
Ln134：
Ln135： default:
Ln136： return DefWindowProc(hWnd, message, wParam, lParam);
Ln137： }
Ln138： return 0;
Ln139：}
下面一步步分析这两个函数的内部情况，先讨论 SendMessage。
Ln123：
Ln124： case WM_SENDMESSAGE:
Ln125： MessageBox(hWnd, L"SendMessage", L"Prompt", MB_OK);
Ln126： break;
Ln127：
Ln128： case WM_POSTMESSAGE:
#007：user32.dll!_IternalCallWinProc@20() + 0x28 bytes
#006：user32.dll!_UserCallWinProcCheckWow@32() + 0xb7 bytes
#005：user32.dll!_DispatchMessageWorker@8() + 0xdc bytes
Ln129： MessageBox(hWnd, L"PostMessage", L"Prompt", MB_OK);
PowerShell 常见命令别名及其作用
PowerShell 常见命令别名及其作用Name Category Synopsis? Alias Where-Object ac Alias Add-Content asnp Alias Add-PSSnapin cat Alias Get-Content cd Alias Set-Location chdir Alias Set-Location clc Alias Clear-Content clear Alias Clear-Host clhy Alias Clear-History cli Alias Clear-Item clp Alias Clear-ItemProperty cls Alias Clear-Host clv Alias Clear-Variable compare Alias Compare-Object copy Alias Copy-Item cp Alias Copy-Item cpi Alias Copy-Item cpp Alias Copy-ItemProperty cvpa Alias Convert-Path dbp Alias Disable-PSBreakpoint del Alias Remove-Item diff Alias Compare-Object dir Alias Get-ChildItem ebp Alias Enable-PSBreakpoint echo Alias Write-Output epal Alias Export-Alias epcsv Alias Export-Csv epsn Alias Export-PSSession erase Alias Remove-Item etsn Alias Enter-PSSession exsn Alias Exit-PSSession fc Alias Format-Custom fl Alias Format-List foreach Alias ForEach-Object ft Alias Format-Table fw Alias Format-Wide gal Alias Get-Alias gbp Alias Get-PSBreakpoint gc Alias Get-Contentgcm Alias Get-Command gcs Alias Get-PSCallStack gdr Alias Get-PSDrive ghy Alias Get-History gi Alias Get-Item gjb Alias Get-Job gl Alias Get-Location gm Alias Get-Member gmo Alias Get-Module gp Alias Get-ItemProperty gps Alias Get-Process group Alias Group-Object gsn Alias Get-PSSession gsnp Alias Get-PSSnapin gsv Alias Get-Service gu Alias Get-Unique gv Alias Get-Variable gwmi Alias Get-WmiObject h Alias Get-History history Alias Get-History icm Alias Invoke-Command iex Alias Invoke-Expression ihy Alias Invoke-History ii Alias Invoke-Item ipal Alias Import-Alias ipcsv Alias Import-Csv ipmo Alias Import-Module ipsn Alias Import-PSSession ise Alias powershell_ise.exe iwmi Alias Invoke-WmiMethod kill Alias Stop-Process lp Alias Out-Printer ls Alias Get-ChildItem man Alias help md Alias mkdir measure Alias Measure-Object mi Alias Move-Item mount Alias New-PSDrive move Alias Move-Item mp Alias Move-ItemProperty mv Alias Move-Item nal Alias New-Alias ndr Alias New-PSDrivenmo Alias New-Module nsn Alias New-PSSession nv Alias New-Variable ogv Alias Out-GridView oh Alias Out-Host popd Alias Pop-Location ps Alias Get-Process pushd Alias Push-Location pwd Alias Get-Location r Alias Invoke-History rbp Alias Remove-PSBreakpoint rcjb Alias Receive-Job rd Alias Remove-Item rdr Alias Remove-PSDrive ren Alias Rename-Item ri Alias Remove-Item rjb Alias Remove-Job rm Alias Remove-Item rmdir Alias Remove-Item rmo Alias Remove-Module rni Alias Rename-Item rnp Alias Rename-ItemProperty rp Alias Remove-ItemProperty rsn Alias Remove-PSSession rsnp Alias Remove-PSSnapin rv Alias Remove-Variable rvpa Alias Resolve-Path rwmi Alias Remove-WmiObject sajb Alias Start-Job sal Alias Set-Alias saps Alias Start-Process sasv Alias Start-Service sbp Alias Set-PSBreakpoint sc Alias Set-Content select Alias Select-Object set Alias Set-Variable si Alias Set-Item sl Alias Set-Location sleep Alias Start-Sleep sort Alias Sort-Object sp Alias Set-ItemProperty spjb Alias Stop-Job spps Alias Stop-Processstart Alias Start-Process sv Alias Set-Variable swmi Alias Set-WmiInstance tee Alias Tee-Object type Alias Get-Content where Alias Where-Object wjb Alias Wait-Job write Alias Write-OutputName Category SynopsisAdd-Computer Cmdlet 将本地计算机添加到域或工作组中。
callstack用法
调用栈（Call Stack）是计算机科学中的一个重要概念，它用于跟踪程序执行的位置。
调用栈是一个存储函数调用信息的栈数据结构，它遵循后进先出（Last In, First Out，LIFO）的原则。
在编程中，调用栈用于追踪函数的调用关系，记录程序执行的路径。
以下是调用栈的基本用法和相关概念：1. 函数调用与栈帧（Stack Frame）：•当一个函数被调用时，一个新的栈帧会被推入调用栈。
•栈帧包含了该函数的局部变量、参数、返回地址等信息。
•当函数执行完成时，对应的栈帧会被弹出调用栈。
2. 调用栈的基本操作：•推入（Push）：将一个新的栈帧推入调用栈，表示一个新的函数调用。
•弹出（Pop）：将当前栈顶的栈帧弹出调用栈，表示函数调用完成。
3. 调用栈的用途：•追踪函数调用：调用栈用于追踪程序执行过程中的函数调用关系，方便调试和错误定位。
•递归调用：调用栈在递归调用中发挥重要作用，每次递归调用都会推入一个新的栈帧。
4. 在编程语言中的表现：在大多数编程语言中，调用栈是由运行时环境（例如，Java虚拟机、JavaScript引擎等）管理的。
调用栈的状态可以通过调试器工具或编程语言提供的调试接口来查看。
示例（JavaScript）：在这个简单的 JavaScript 示例中，当firstFunction被调用时，一个新的栈帧被推入调用栈，然后在firstFunction中调用了secondFunction，导致又有一个新的栈帧被推入。
当secondFunction执行完成后，它的栈帧被弹出，然后是firstFunction的栈帧。
5. 调用栈溢出（Stack Overflow）：•如果递归调用或函数嵌套层次太深，可能导致调用栈溢出。
•调用栈溢出通常是由于无限递归或者大量的函数调用导致的。
调用栈是程序执行的关键组成部分之一，对于理解代码的执行流程和调试代码都非常有帮助。
在实际开发和调试过程中，调用栈是一个常用的工具。
call stack函数
"call stack" 是计算机科学中的一个重要概念，特别是在操作系统和程序设计中。
在大多数现代计算机系统中，调用栈（call stack）是一种特殊的数据结构，用于存储函数调用的信息。
当一个函数被调用时，它的返回地址和局部变量等信息被压入栈中。
当函数返回时，这些信息被弹出栈并恢复执行。
以下是一个简单的示例，说明如何在C语言中使用调用栈：
```c
#include <stdio.h>
void functionB() {
printf("This is function B\n");
}
void functionA() {
printf("This is function A\n");
functionB();
}
int main() {
functionA();
return 0;
}
```
在这个例子中，`main` 函数调用了`functionA`，然后`functionA` 调用了 `functionB`。
当 `functionB` 执行完毕后，控制权返回到 `functionA`，然后 `functionA` 执行完毕后，控制权返回到 `main`。
这个调用和返回的过程就形成了一个调用栈。
在更复杂的程序中，可能会有多个函数嵌套调用，形成一个更深的调用栈。
例如，如果 `functionA` 在 `main` 函数中再次被调用，那么就会形成一个包含两个 `functionA` 和一个 `main` 的调用栈。
汇编与高级语言
汇编与高级语言1.汇编基础知识1.1.寄存器说明：●ESP和EBP对高级语言的函数实现起着非常重要的作用。
●FS是SEH（Structured Exception Handling）中起重要作用的一个段寄存器，它的0偏移指向异常结构连表的表头，Windows在进行结构化异常处理时，就是从FS:[0]开始遍历异常结构并调用其中的异常处理函数的。
1.2.堆栈堆是一块内存区域，一般用于内存的动态分配和释放，比如用New方法分配一个指针，此时即在程序地址空间的堆中分配了一块内存。
又比如Delphi的对象也是在堆中创建的。
栈是一种先进后出的列表数据结构，在高级语言的编程中使用广泛，在低级语言中更是不可或缺的基础概念。
栈也是一个内存区域，不过它具有快速灵活的特点，CPU直接提供指令去访问栈。
从汇编的角度来看，栈具有如下的性质：●栈有两个基础动作，压栈(PUSH)和出栈(POP)。
●栈是向下增长的，即每压一次栈，栈顶的地址就减少一次，也可以说ESP的值就减小一次。
●栈是线程相关的，每一个线程都拥有一个栈。
●程序利用ESP可以很灵活地访问栈，不一定要执行PUSH和POP栈顶才会改变，直接操作ESP也可以改变栈顶，也就是说ESP决定了栈顶的值。
●栈是有最大值的，通过编程环境可以设置，超出最大值就会发生栈溢出。
看一个简单的例子，下面的指令是一条压栈指令，意思是将EAX的值压入栈中：PUSH EAX根据上面的性质，这条指令等价于下面的指令：SUB ESP, 4MOV ESP, EAX用下面的图表示指令的操作过程：2.调用规则2.1.从汇编的角度看函数调用汇编语言没有变量的概念，因此对函数的调用，第一个要解决的问题是参数要如何传递，有的将参数放在栈中，有的将参数放在寄存器中，对于参数压栈的还要确定是从最左边的参数开始压栈，还是从最右边开始，所有这些，就构成了调用规则的内容。
第二个问题是函数如何被调用，其实很简单，就是一个跳转指令JMP，跳到函数的首地址去，并从那里开始执行指令。
react maximum call stack size exceeded 计算节点循环
react maximum call stack size exceeded
计算节点循环
jsa在执行脚本代码时，会比较严格地限制每次函数调用的最大深度，即“maximum call stack size”的大小。
当函数调用深度超过预设限制时，就会抛出一个“maximum call stack size exceeded”
的错误，说明js引擎已经无法继续维护当前代码的执行状态了。
“Maximum call stack size exceeded”错误通常是由代码出现循环调用引发的，通常是由于程序员没有为代码设计终止条件，使程
序在一定的条件下实现自我循环调用的状况下被“陷入”而引发的。
如果出现这种情况，JS脚本就会不断地调用本身，从而依次增加调用堆栈，使之不断增长，当调用堆栈超过系统设定的“maximum call stack size”限制时，就会抛出上述错误。
因此，要想避免“maximum call stack size exceeded”错误，最直接的办法是避免在函数中实现循环调用，为代码设置适当的终止
条件，以确保程序不会陷入无限循环调用中。
此外，在开发程序时应
注意层次清晰、结构完整，使代码中结构清晰，避免嵌套回调函数太多，进而减少发生此错误的概率。
CALL的概念篇(已修改)
●CALL的概念篇：堆栈的平衡(一)作者:重楼日期:2009-09-05*堆栈平衡是一个很重要的东西,其实说白了也没有什么,只要自己反汇编看看执行过程中的变化便能了解的一清二楚.* 这章需要知道一些简单的汇编知识,比如说EIP的作用ESP的概念这些我就不详细多说了,想要学习的请看王爽老师的汇编语言非常经典的一本书此次例子以武易打坐CALL为例===========================开始分析================ [attachment=42598]这个就是打坐CALL的原型和代码当然了这个寄存器的值是动态的,因为是做堆栈平衡的所以我们没有找基址,可能跟你的值会不一样.[attachment=42599]这里是打坐CALL的内部我们来用加了堆栈平衡和没加堆栈平衡的CALL分别调用看看他们的堆栈和寄存器的变化[attachment=42600]这里是CALL内部中头部和尾部的变化, 我们发现并没有任何的不同,看来堆栈平衡跟CALL内部无关[attachment=42601]这里不一样了, 我们发现, 有堆栈平衡的代码里多了一行add es p,4而执行到RETN 时候栈顶也各不相同当CPU 执行完add esp,4 后就把栈顶的第一行挤出堆栈.而没有处理过堆栈平衡的则跳转到了9EC8950 这里我们来看看这个正确指向代码地址的值是从哪里来的[attachment=42602]图中9EC8818 是我们代码中PUSH进去的值80f000a 则是跳出这个CALL返回时候所跳转的代码地址当执行retn的时候EIP指向这里7C80B729 则是跳出去以后执行retn 时候所指向的代码地址.如果我们把第一个堆栈80f000a 换成7c80b729 会如何? [attachment=42603]呵呵调用成功也没有出错, 这是因为在最后执行retn的时候我们帮他指向了正确的地址,当然了也不是所有游戏都可以这样弄的,有些游戏压入的数值不是随意便可以CALL成功的.好了从上面的例子可以看出堆栈平衡其实就是帮助EIP 指向正确的地址, 如果你压入一个0 而不做堆栈平衡处理那么执行完后EIP便会执行0 这个代码地址.说白了,堆栈平衡处理就是把压入的数值的空间去删去.因为ESP永远指向栈顶,RETN永远执行跳转到栈顶的地址.CALL的概念篇：CALL出错分析作者:重楼日期:2009-09-05在刚开始找CALL的时候,绝大部分的时间都是在重新打开游戏和出错中度过,这个可能绝大部分朋友都有这个感受~CALL为何会出错?今天我们就来分析下出错的原因目标:F8找CALL02目的:分析各种CALL的错误弄过F8找CALL模拟器的朋友都知道F8CALL02是一个喊话模拟的模拟器,而且只能注入才能正确调用远程调用的话就会出错,今天我们来分析下到底错在哪里.======分析开始=======================CALL 我就不找了,大家可以看配套视频,在断点社区精华区可以下载.[attachment=42604]这里就是F8 CALL 02的喊话功能CALL的地方[attachment=42605]这是运行到CALL时候堆栈中的值...这里很多朋友都不明白为何只要写一个CALL就可以实现喊话,我之前说过,我们只需要给CALL他想要的参数.这里的堆栈分别压入了基址喊话内容喊话模式喊话对象这个就是参数而且也没做什么处理,所以我们只要给他想要的参数按照顺序就可以了.这里正确的写法我就不说了,我们主要来调试下错误的信息. [attachment=42606]这里其实需要处理堆栈平衡,我们先不写,来分析下堆栈不平衡为何会出错,好了这里没有加上堆栈平衡,图中是出错的信息.我们在CALL 内部第一行下断[attachment=42607]运行代码注入器调用CALL后就会断下来,.*这里为何会断在这里而不断在CALL地址呢?因为,我们写一个CALL ***** 其实就是从*****这个地址开始运行的,却不是从游戏调用这个CALL的代码开始. 这里弄多了你就会明白,你写一个CALL其实在模拟游戏调用CALL的那部分.[attachment=42608]我们来按F8 一直执行......一直到图中的位置才出错.出错信息跟刚刚是一样的[attachment=42609]*45d000 一般是程序的代码段开始部分,而图中参数的存放是ebp-8 已经超过了代码段的范围了,所以我们这里就会出现无法读内存的错误.解决方法:这里我们把存放内容的地址弄后面一点便可以了[attachment=42610]好了我们继续往下单步运行(F8)[attachment=42611]好了运行到这里又出错了~~重新运行吧~[attachment=42612][attachment=42613]我们到了上面那个地址出错~而EAX的值就是我们出错的信息地址,从调试窗口看到EAX的值是???我们来看看用模拟器自身的喊话,这里是如何一个过程[attachment=42614]图中对比了使用自身喊话和代码注入器的调用情况 .如果这个时候我们把ECX改成8呢?[attachment=42615]好了,这里已经解决了第二个问题, 又出现第三个问题 .这个时候我们发现错误信息中有出错代码的地址.我们跳过去看看[attachment=42616]这里又有一处内存无法读出, 这里的值是指向270这个地址(前面部分处理按照上面的来)错误找到了我们重新再来一次这次停到错误代码地址前面(第二个错误依旧按照上面的处理来)[attachment=42617]我们来看看正常情况下的寄存器值[attachment=42618]这里我们用模拟器能成功的读取到地址.我们来跟踪一下这个值是如何产生的[attachment=42619]这里我们从头部开始找....[attachment=42620]头部的值还是跟上面一样所以我们返回一层看看.[attachment=42621]463cc4 就是EBX的基址.我们把代码注入器的代码改一下[attachment=42622][attachment=42623]好了运行到原来出错的地方发现现在已经能正常读取内存地址了,又解决一个错误(到第二步的地方仍然需要手动解决)我们继续运行,发现卡在了下面那个CALL那里按运行或点程序都没反应, 这个时候我们只要在调用一次CALL就可以了.我们继续运行到上面这里然后按F8 ,发现又一个错误... [attachment=42624]这里的代码段是从45d000 开始的而图中却是4030a7 这里我们也没办法跳过去调试了.好了今天我们的调试错误信息就到这里了,虽然最终没有解决这个问题,但也获得不少收获~CALL的概念篇：寄存器值的跟踪作者:重楼日期:2009-09-04================前言============================很多时候CALL里的一些数值，都是变化的，或者不同的电脑值也不一样，如何寻找这些值的基址呢？不同的值有不同的找法下面就列出几条常用的方法。
超级模块取线程句柄
超级模块取线程句柄超级模块是指在计算机系统中，具有特殊功能或者特定任务的模块。
线程句柄是指对线程的引用，通过线程句柄可以对线程进行操作和管理。
在实际应用中，可以使用超级模块来获取线程句柄，方便对线程进行控制和监控。
以下是以超级模块取线程句柄为题的一些例子：1. 超级模块可以提供一个函数，通过传入线程的标识符（ID）来获取线程句柄。
例如，CreateThread函数可以使用超级模块来创建一个新的线程，并返回线程句柄。
2. 超级模块可以提供一个接口，通过传入线程的名称来获取线程句柄。
例如，GetThreadByName函数可以使用超级模块来根据线程名称查找对应的线程，并返回线程句柄。
3. 超级模块可以提供一个方法，通过传入线程的优先级来获取线程句柄。
例如，GetThreadByPriority函数可以使用超级模块来查找优先级最高的线程，并返回线程句柄。
4. 超级模块可以提供一个功能，通过传入线程的状态来获取线程句柄。
例如，GetThreadByState函数可以使用超级模块来查找处于某种特定状态的线程，并返回线程句柄。
5. 超级模块可以提供一个接口，通过传入线程的所属进程ID来获取线程句柄。
例如，GetThreadByProcessID函数可以使用超级模块来查找属于某个特定进程的线程，并返回线程句柄。
6. 超级模块可以提供一个方法，通过传入线程的创建时间来获取线程句柄。
例如，GetThreadByCreationTime函数可以使用超级模块来查找在某个特定时间之后创建的线程，并返回线程句柄。
7. 超级模块可以提供一个功能，通过传入线程的CPU占用率来获取线程句柄。
例如，GetThreadByCPULoad函数可以使用超级模块来查找CPU占用率最高的线程，并返回线程句柄。
8. 超级模块可以提供一个接口，通过传入线程的内存占用量来获取线程句柄。
例如，GetThreadByMemoryUsage函数可以使用超级模块来查找内存占用量最高的线程，并返回线程句柄。