OD模糊查找特征码

啊冲

[bgcolor=#ffffff]OD模糊查找特征码[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff][/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]为了更新数据,我们常常需要搜索特征码,但是OD里不能直接查找模糊数据.
近两天通过看壳的世界(前两课免费),我发现其实还是可以实现的,只是以前太粗心不会用.
[/bgcolor][bgcolor=#ffffff][/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]比如我们搜索如下语句:[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]内存地址    二进制          汇编指令            备注
00735EC3    33C0            XOR EAX,EAX  //这条确定
00735EC5    83FF 1A         CMP EDI,1A  //不确定
00735EC8    0F95C0          SETNE AL  //确定
00735ECB    83C0 03         ADD EAX,3  //不确定
00735ECE    8BE8            MOV EBP,EAX  //确定[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff][/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]具体是按CTRL+B,也就是二进制搜索[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]那么我们将确定的二进制码打进去,然后不确定的用??来代替
原有
33C083FF1A0F95C083C0038BE8
模糊
33C0??????0F95C0??????8BE8[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff][/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]这样就可以查找出来了,简单吧.[/bgcolor][bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff] [/bgcolor]
[bgcolor=#ffffff]好了这点不足说的技巧就说到这里,可能有的人早就知道了,
但是我确是今天才知道的,不敢藏着拿出来与还不知道的人分享一下.[/bgcolor][bgcolor=#ffffff] [/bgcolor]

llovec

OD 里查看的确很容易，但是写成搜索器来搜索，就有点难了。

啊冲

可以用OD脚本

断东河

llovec:OD 里查看的确很容易，但是写成搜索器来搜索，就有点难了。 (2013-06-08 08:26)

相对处理麻烦些, 已经有成品,  支持阿冲, 共享到工具里吧

bokzylt212

呵呵,啊冲,我是今天才知道的,谢谢分享

逍遥枷锁

有的按钮事件也这样的方式，