从exp入手分析漏洞

分析poc和分析exp有一些不一样，因为exp是人为构造后的东西，它会执行一段自定的shellcode。结果是根本不会触发异常或者异常在离触发点十万八千里的地方。这样分析poc的技巧就用不上了（因为无法有效的定位到漏洞触发的第一现场）。但是可以从exp的功能入手，观察一下exp的行为比如创建文件、创建进程之类的。可以从行为找出关键的API进行下断。

1.分析shellcode的功能，对其中的关键API下断。
2.通过系统API找到shellcode的位置，分析shellcode的位置。找到漏洞处触发的第一现场。

如果得到了栈中shellcode的地址但是却不知道是哪个函数的栈，可以对栈下写入断点da w 4 XXX "r eip;gc"。这样的话，最后输出的eip值就是最后对栈进行写入的函数位置了，也就得到了溢出函数的地址。

另一方面是在调exp的时候要注意很多dll是动态加载的，可以利用sxe lm在模块加载时断下来提供调试时机。

在抓到shellcode之后想要得出漏洞触发的原理的时候，可以在样本中搜索这个shellcode字符串实现定位（多见于文件格式漏洞）

Tips 1:刚学到的小知识，word类的exp样本基本都会使用GetFileSize函数来释放木马和正常文档

Tips 2:溢出类漏洞的三要素：目标地址、来源地址、复制大小