В файле ничего. В адресном пространстве инициализация процесса, лоадер и прочие системные вещи. Там оно как раз и торчит, внутри ntdll.
А почему EIP указывает именно на ту инструкцию ?
Не понял
при исполнении инструкции int3 программа останавливается(если подключён дебаггер) и дебаггеру даётся управление над потоком и соответственно показывается что в каких регистрах лежит
Таких инструкций перед той, на которой остановился дебаггер, было много, но почему он остановился именно там ?
Потому что мс так решила. Нужно же где-то остановиться при старте процесса. Можешь в настройках отладчика попросить пропускать системный брейкпоинт.
Когда инт3 много между функциями - это паддинг, они не выполняются, если только из-за бага ты в них не попадешь случайно.
Обсуждают сегодня