Question

汇编语言问题，用OD找基址的时候，找到这句mov ebx, dword ptr [esp+10]之后该如何操作呢

部分代码如下：
005E5223 |> \E8 10D1EDFF call 004C2338
005E5228 |> 8B5C24 10 mov ebx, dword ptr [esp+10] ; 4.esp
005E522C |. 3BDF cmp ebx, edi
005E522E |. 74 1F je short 005E524F
005E5230 |. 85F6 test esi, esi
005E5232 |. 75 05 jnz short 005E5239
005E5234 |. E8 FFD0EDFF call 004C2338
005E5239 |> 3B5E 04 cmp ebx, dword ptr [esi+4]
005E523C |. 75 05 jnz short 005E5243
005E523E |. E8 F5D0EDFF call 004C2338
005E5243 |> 8B43 0C mov eax, dword ptr [ebx+C] ; 3.EBX

问题：一直找到这句，mov ebx, dword ptr [esp+10]，遇到这种esp+xx的这种接下来需要如何操作才能找到基址呢，求大神解答一下，非常感谢！！！

Answer 1

不就是找esp么!找不到在这个子程序的头部下断，然后ctrl+f9再找esp的来源

追问

ESP的来源找不到鸟，后面好几层找到的都是 mov [esp+xx],ecx 之类的吗，这种的话都不知道怎么计算

追答

上面有个call进去看了没

Answer 2

还是用CE找基址吧

Answer 3

可以跟踪下，谁忘那个位置写东西了。

追问

请问要如何追踪呢，是追踪ESP的地址，还是ESP+10的地址呢？

追答

ESP+10的地址，可以加个写入断点