Ollydbg中的内存断点和硬件断点的区别

转载自: https://www.zhihu.com/question/52625624 旅人的回复

作者：旅人
链接：https://www.zhihu.com/question/52625624/answer/131557817
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

首先是关于内存断点的一些前置知识:
1.在windows系统上，内存是一页一页的，也就是说并不是0x00000000~0x7FFFFFFF(0xFFFFFFFF)中任何一个地址都是可以访问的，不然每个程序都有真正的2g内存太可怕了。实际情况是，你程序申请了一块0x2000的内存，这时候windows内核经过一系列处理，告诉你，我在某个地址上(比如说0x00500000)给你设置了0x2000的内存，你可以拿去用了。这时候0x00500000~0x00502000这块内存你才可以访问，你要是尝试访问0x00502001依然会出错，因为这个地址根本不存在。

2.每个内存页都是有属性的，比如你申请时可以要求当前页面里的内容不可作为代码执行，因为你只是拿来存数据的，如果不这样设置的话可能会遭到恶意利用。(比如说缓冲区溢出攻击)

3.调试器可以先于被调试程序拿到一些系统下发的消息，比如说被调试程序中出现了异常。

------------------------------------------------
现在可以说说内存断点都做了些什么了。

内存断点的实现方式是将你欲下断地址所在的内存页增加一个名为PAGE_NOACCESS的属性，这个属性会把当前内存页设为禁止任何形式的访问，如果进行访问会触发一个内存访问异常。在这同时，od开始捕获目标程序中出现的这个异常，并判断触发这个异常的位置是否跟你下断的地址相同，如果相同则内存断点触发，暂停被调试程序的运行，否则放行。

这就是内存断点的基本原理，补充一些相关的东西：
1.内存断点很消耗资源，因为PAGE_NOACCESS属性一设置就是一整个内存页无法访问，那么当程序访问该内存页中非断点地址的内容同样会触发异常，这时od收到异常后需要进行特殊处理，临时放行，非常消耗资源，甚至这使得内存断点在调试很多大型程序时慢到近乎不可用。
2.虽然内存断点的效率经常很不理想，但是因为仅仅是修改了一个内存属性，所以内存断点可以下数量非常多、单断点范围非常大。这是它的优势。
3.只在写入时断下的内存断点通常是将内存属性设为PAGE_EXECUTE_READ，也就是不可写来实现的。对这种属性的内存进行写操作将会触发异常。
4.关于内存属性相关的知识:https://msdn.microsoft.com/en-us/library/windows/desktop/aa366786(v=vs.85).aspx
------------------------------------------------
------------------------------------------------
接下来是硬件断点的前置知识。

1.现代cpu为程序调试提供了8个寄存器，名为DRx.

2.调试器可以轻易读写被调试程序的这8个寄存器，而被调试程序不容易读写也通常不需要读写。

3.DR0~DR3四个寄存器用来存放欲下断的地址，DR4,DR5这两个保留, DR6和DR7用来控制断点的大小和触发断点的时机。(比如说大小一个byte，触发时机为写入时)
------------------------------------------------
硬件断点就不需要od做太多事情了，它只需要把用户的需求转换一下格式，写入被调试程序的DRx系列的寄存器中，并等待系统发来的消息就行了。(我不记得这个消息是不是也是一个异常消息了,年代久远太久不碰)
当od收到了消息就暂停目标程序，你就知道程序断下了。

关于硬件断点：
1.寄存器数量的限制导致硬件断点最多只能同时存在4个，并且od在特定设置或者插件的影响下可能内部还会占用一两个用来辅助程序调试，导致可用数量十分有限。
2.不仅硬件断点数量不多，在32位程序中，每个硬件断点最大范围是4个字节，这也经常不太够用。
3.由于cpu的直接支持，硬件断点的效率是非常高的，给一个程序设置了硬件断点，在不触发的情况下，不会有肉眼可见的效率影响，毕竟只是写了个寄存器而已。

--------------------------------------------------------------------------
总结，内存断点通过修改内存页的属性并捕获异常来间接暂停被调试的程序运行，而硬件断点是由cpu直接提供支持。因为这样，所以内存断点的效率大大低于硬件断点，但内存断点的自由性大于硬件断点，可以下很多很大不用担心硬件限制。通常在调试程序时，能用硬件断点就别用内存断点，太[bi--]卡了。而且内存断点经常下了找不着，而硬件断点od有单独的窗口显示。