急求高手帮看看这CALL里的Esp+18 怎么得来,谢谢！

whoymzai

CALL上层,

0082CF80  |.  8BC7          MOV EAX,EDI
0082CF82  |>  50            PUSH EAX
0082CF83  |.  8BCE          MOV ECX,ESI
0082CF85  |.  E8 D6020000   CALL elementc.0082D260

上面是CALL上层,


下面是CALL内容

SUB ESP,130
PUSH EBP
MOV EBP,ECX
MOV DWORD PTR SS:[ESP+28],EBP
MOV AL,BYTE PTR SS:[EBP+390]
TEST AL,AL
JNZ elementc.0082D4E8
PUSH EBX
PUSH ESI
LEA ESI,DWORD PTR SS:[EBP+408]
LEA ECX,DWORD PTR SS:[ESP+C]
PUSH ESI
CALL elementc.009866B0
LEA EAX,DWORD PTR SS:[ESP+24]
XOR EBX,EBX
PUSH EAX
LEA ECX,DWORD PTR SS:[ESP+10]
MOV DWORD PTR SS:[ESP+28],ESI
MOV DWORD PTR SS:[ESP+2C],EBX
MOV DWORD PTR SS:[ESP+30],EBX
CALL elementc.0086F3C0
PUSH EDI
MOV ECX,DWORD PTR SS:[ESP+14]
MOV EAX,DWORD PTR SS:[ESP+18]      dd [[[esp+18]+8]+88]+17C  ,急求高手帮看看这里的Esp+18 怎么得来,谢谢！
                          
add esp,130
retn 4


上层CALL只有一个参数 PUSH EAX 进来了,此处的esp+18有点像是内部变量不是CALL上层传进来的，可了查了很多内容说内部变量是用ebp的，我也搞不懂。。。。。。

小小思维

一般可能是参数，你可以返回上一层找CALL的参数，进行下断对比能知道是那个参数过来的~~~
或者这时候你可以试试用CE找找来源~~~

小小思维

:[ESP+18] 或者返回上一层找[ESP+18]看是谁写入了数据~~

再就是
0082D2A4  |.  E8 17210400   CALL elementc.0086F3C00082D2B1  |.  57            PUSH EDI
0082D2B2  |>  8B4C24 14     /MOV ECX,DWORD PTR SS:[ESP+14]
0082D2B6  |.  8B4424 18     |MOV EAX,DWORD PTR SS:[ESP+18]

可能是通过上面那CALL出来的数据，可以下断分析下~~~