讲一个实战里特别常用的技巧：x64dbg 里的内存断点。

Jimmy

静态分析能看结构，但很多程序的关键逻辑是运行时才出现的。比如一段加密数据躺在 .rdata 段里，你不知道它什么时候被解密、被谁解密。这时候指令断点往往抓不住，因为你根本不知道解密函数的地址在哪。
内存断点的思路是反过来：不盯代码，盯数据。你在目标内存地址上设一个“写入断点”，程序一旦往这块内存写东西，调试器立刻中断，停在那条写入指令上。这样你不用提前知道解密函数在哪，数据一动，凶手自己就现身了。
x64dbg 里设内存断点有两种底层机制。硬件断点靠 CPU 的 DR0-DR3 调试寄存器，可以精确到 1/2/4/8 字节，最多四个，不修改任何内存内容，反调试几乎检测不到。软件内存断点则是把目标页的保护属性改成不可访问，粒度是整页 4KB，没有数量限制，但更容易被察觉。实战中优先用硬件断点，目标范围小、数量少的时候它又快又隐蔽。
一个典型用法：在 x64dbg 里右键目标地址，选 Memory on access，类型选 Write，长度填你要监控的字节数。然后 F9 运行，程序一旦解密数据写入这块内存，调试器就会断下来。此时你看当前指令、寄存器、调用栈，就能回溯到解密函数的位置，再 F7 单步跟进去看算法细节。
这个技巧在分析加壳程序、恶意样本、CrackMe 时特别管用。比如一个 CrackMe 把正确密码加密存在内存里，运行时才解密出来做比较。你在密码缓冲区下写入断点，程序解密的那一刻就断了，直接拿到明文，省掉大段逆向算法的时间。
需要注意的是，多线程程序里内存断点可能被其他线程触发，导致你看到的数据是脏的。这时候可以配合条件断点，只在特定线程命中时暂停。另外硬件断点只有四个槽位，用完了得及时释放。
内存断点本质上就是把“找代码”变成“找数据”，很多时候比盲目单步跟踪效率高得多。