在第一章中我们介绍了x64dbg这款强大的调试软件，通过该软件逆向工程师们可以手动完成对特定进程的漏洞挖掘及脱壳等操作，虽然x64dbg支持内置Script脚本执行模块，但脚本引擎通常来说是不够强大的，LyScript插件的出现填补了这方面的不足，该插件的开发灵感来源于Immunity调试器中的ImmLib库，因Immunity调试器继承自Ollydbg导致该调试器无法支持64位应用的调试，同时该调试器也长期没有开发者进行维护，正是在这种情形之下LyScript诞生。LyScript官方地址：https://github.com/lyshark/LyScriptLyScript是一款x64db
LyScript插件默认并没有提供上一条与下一条汇编指令的获取功能，当然你可以使用LyScriptTools工具包直接调用内置命令得到，不过这种方式显然在效率上并不理想，我们需要在LyScript插件API基础上自己封装实现这个功能。插件地址：https://github.com/lyshark/LyScript获取下一条汇编指令:下一条汇编指令的获取需要注意如果是被命中的指令则此处应该是CC断点占用一个字节，如果不是则正常获取到当前指令即可。1.我们需要检查当前内存断点是否被命中，如果没有命中则说明此处我们需要获取到原始的汇编指令长度，然后与当前eip地址相加获得。2.如果命中了断点，则此处
LyScript插件默认并没有提供上一条与下一条汇编指令的获取功能，当然你可以使用LyScriptTools工具包直接调用内置命令得到，不过这种方式显然在效率上并不理想，我们需要在LyScript插件API基础上自己封装实现这个功能。插件地址：https://github.com/lyshark/LyScript获取下一条汇编指令:下一条汇编指令的获取需要注意如果是被命中的指令则此处应该是CC断点占用一个字节，如果不是则正常获取到当前指令即可。1.我们需要检查当前内存断点是否被命中，如果没有命中则说明此处我们需要获取到原始的汇编指令长度，然后与当前eip地址相加获得。2.如果命中了断点，则此处
LyScript中提供了多种内存特征扫描函数，每一种扫描函数用法各不相同，在使用扫描函数时应首先搞清楚他们之间的差异，如下将分别详细介绍每一种内存扫描函数是如何灵活运用的，最后将实现一个简易版内存查壳脚本，可快速定位目标程序加了什么壳。插件地址：https://github.com/lyshark/LyScript先来了解第一个函数scan_memory_all()的特点，该函数用来扫描当前进程内EIP所指向位置处整个内存段中符合条件的特征，如果找到了则返回一个列表，如果没有找到则返回False，该函数与scan_memory_one()函数原理是一致的，唯一的不同是all以列表形式返回所有匹
LyScript中提供了多种内存特征扫描函数，每一种扫描函数用法各不相同，在使用扫描函数时应首先搞清楚他们之间的差异，如下将分别详细介绍每一种内存扫描函数是如何灵活运用的，最后将实现一个简易版内存查壳脚本，可快速定位目标程序加了什么壳。插件地址：https://github.com/lyshark/LyScript先来了解第一个函数scan_memory_all()的特点，该函数用来扫描当前进程内EIP所指向位置处整个内存段中符合条件的特征，如果找到了则返回一个列表，如果没有找到则返回False，该函数与scan_memory_one()函数原理是一致的，唯一的不同是all以列表形式返回所有匹
LyScript插件中提供了三种基本的堆栈操作方法，其中push_stack用于入栈，pop_stack用于出栈，而最有用的是peek_stack函数，该函数可用于检查指定堆栈位置处的内存参数，利用这个特性就可以实现，对堆栈地址的检测，或对堆栈的扫描等。插件地址：https://github.com/lyshark/LyScriptpeek_stack命令传入的是堆栈下标位置默认从0开始，并输出一个十进制有符号长整数，首先实现有符号与无符号数之间的转换操作，为后续堆栈扫描做准备。fromLyScript32importMyDebug#有符号整数转无符号数deflong_to_ulong(int
LyScript插件中提供了三种基本的堆栈操作方法，其中push_stack用于入栈，pop_stack用于出栈，而最有用的是peek_stack函数，该函数可用于检查指定堆栈位置处的内存参数，利用这个特性就可以实现，对堆栈地址的检测，或对堆栈的扫描等。插件地址：https://github.com/lyshark/LyScriptpeek_stack命令传入的是堆栈下标位置默认从0开始，并输出一个十进制有符号长整数，首先实现有符号与无符号数之间的转换操作，为后续堆栈扫描做准备。fromLyScript32importMyDebug#有符号整数转无符号数deflong_to_ulong(int
