Question

od堆栈调用时那么多函数怎么知道那条是需要的？？ 还有怎么分辨程序领空和系统领空

Answer 1

结合反汇编窗口的数据结构。以及数据窗口的跟随。还要寄存器窗口的变化。来判断是不是你需要的。
堆栈窗口存储了重要的数据地址。可以再想看的那一条堆栈用反汇编窗口跟随。来查看它的上下结构。用数据窗口跟随。查看其数据。比如关键码。账号密码。注册码之类。有时候能查看到。有时候堆栈反复入栈出栈在寄存器上能看到其地址送入了哪个寄存器。得知某些地址经常使用。关键处可能在那。
不过总的来说。LZ的基础太差了。你一句话哪个函数是需要的。我得说明很多。因为问题很广。仅仅一个广阔的问题。包涵了几十个要点。甚至包括几十个问题。还要多看书。我缓锋基本功也很不扎实。

分辨程序领空最简单的办法就是00XXXXXX地址很大可能是程序领空。如果是7FXXXXXX这一类的就是系统领空。有时候OD上标题显示你程序的名称。这时你所在的地址是程序领空。还有就是。其它OD标题上出现类似函数的字母。或者XXXX.DLL表示你目前在系统领空。

以上2点。教程和书上介绍写的很清楚。而且还有图片。不过堆栈的话。还要狠了解函数。牵扯码衫到win32下编程函数。楼主至少要看懂汇编语言和win32下编程2本迟哪腔书。还要熟练运用OD。经常看看经验贴。相信你不会再问OD的事情了。