Olly Script

Например есть команда, на нее ставлю апаратный останов на запись в память. Одновременно несколько таких адресов.

EIP-6 | MOV DWORD PTR DS:[EDI+4E0],EAX
EIP <===== Hardware Break

Останавливаюсь с EIP ниже команды осуществившей запись.

Как получить адрес доступа, для определения какой из апаратных остановов
сработал?

Пробую делать так:

bphws _addr0, "w" ; ставлю хардварные бряки ОК
bphws _addr1, "w"
bphws _addr2, "w"
bphws _addr3, "w"
erun ; брейк ОК
preop eip ; получаю адрес предыдущей команды ОК
gopi $RESULT, 1, ADDR ; пытаюсь получить адрес доступа

но получаю данные по команде на EIP, а не по команде которая выше.

Что делаю не так в этом способе, а может есть другой для определения которая
из точек сработала?

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным: