为何Immunity Debugger中未显示Windows DLL的"JMP ESP"指令？

我和导师正用Immunity Debugger开展缓冲区溢出漏洞利用测试，目标回显服务器运行在Windows XP系统，程序状态正常。但打开目标exe后，PyCommands目录下的自定义Python脚本在导师机器上能展示ADVAPI32.dll（3次）、mswsock.dll（2次）、RPCRT4.dll（2次）等模块里的JMP ESP指令，我的机器却看不到这些Windows DLL的相关记录。针对这个问题，我整理了几个常见的排查和修复方向：

1. 核对Windows XP系统版本差异 #

Windows XP的不同Service Pack版本（SP1/SP2/SP3）会导致系统DLL的基址、指令布局出现差异。导师的XP版本和你的可能不一致，脚本自然匹配不到对应指令：

• 右键「我的电脑」→「属性」，查看你的系统SP版本，和导师的做对比；
• 如果版本不同，要么切换到和导师一致的XP镜像，要么修改自定义Py脚本，适配当前系统DLL的指令特征（比如更新脚本里的DLL基址范围或指令搜索逻辑）。

2. 检查Immunity Debugger的模块加载与符号状态 #

Immunity如果没正确加载系统DLL的符号或模块信息，脚本就无法识别这些DLL的存在：

• 按Ctrl+M打开Immunity的模块窗口，确认ADVAPI32.dll、mswsock.dll、RPCRT4.dll这些DLL是否被正常列出，且基址显示正确；
• 如果模块未加载或符号缺失，右键对应模块→「Load Symbols」手动加载，或者通过菜单「Debug」→「Load Symbols」批量加载符号。

3. 排查自定义Py脚本的筛选逻辑 #

脚本可能有硬编码的模块筛选条件，导致你的机器上的DLL被排除在外：

• 打开PyCommands目录下的自定义脚本，检查脚本中模块筛选的代码段：比如是否只指定了某几个特定DLL名称，或者有基址范围的限制；
• 可以在脚本里临时添加打印模块列表的代码，把你机器上的模块信息和导师的对比，调整筛选条件（比如把缺失的DLL名称加入检查列表）。

4. 统一Immunity Debugger版本 #

不同版本的Immunity对系统DLL的解析、模块枚举逻辑可能有差异：

• 查看导师使用的Immunity版本（帮助菜单→「About」），下载相同版本重新安装，再测试脚本输出。

5. 检查系统权限与DEP设置 #

权限不足或DEP（数据执行保护）配置差异可能影响DLL的加载和指令扫描：

• 右键Immunity Debugger快捷方式，选择「以管理员身份运行」后再测试；
• 打开「我的电脑」→「属性」→「高级」→「性能」→「设置」→「数据执行保护」，确认DEP设置和导师一致（比如选择「仅为基本Windows程序和服务启用DEP」）。

内容的提问来源于stack exchange，提问作者trogne