tracking - 使用调试器进行通用输入跟踪（例如 pydbg、ollydbg 等）

Question

让我们假设有一个应用程序（我有它的可执行文件）读取一个文件（某种未知格式）。我想跟踪由可执行文件解析的输入（例如文件），即我想知道何时读取输入以及可执行文件如何“使用”它。有没有一种通用的方法来设置断点来做到这一点？我要求使用通用方法，因为我可能没有使用特定的调试器。

谢谢-桑杰

Answer 1

设置断点的通用方法如下：

1. 在调试器中加载可执行文件。
2. 获取可执行文件中所有模块间调用的列表。
3. 列表中至少有一些调用是 Windows API 函数。用于读取文件的最常用函数是ReadFile和ReadFileEx。可执行文件也可能使用NtReadFile. 在这些函数上设置断点。