OllyDbg(简称od)是Win32汇编器级的分析调试器。
下载:
参考资料(日文):
sp-.up.seesaa.net/image/kyozai.html
简单用法:
(1)打开exe
File->Open
(2)附到进程(假如要调试服务进程或者一些特殊运行方式的程序,
但执行暂停可能会破坏进程的处理)
File->Attach
(3)查找API入口表(用于下API断点)
切换模块:在反汇编窗口右键->View->Module ‘XXX’
(通常是你正在调试的那个exe名称,如果没有就是说现在就在此模块上,不需要切换)
然后在反汇编窗口右键->Search for->Name(label) in current module
弹出N窗口(Names),选择一个DLL入口函数(例如MSVCRT.exit),右键执行API相关操作(最常见的是下断点或日志断点)
如果列表太长,可以粘贴到文本文件中进行搜索。
(4)查找API的引用
常用于API断点的添加。
照(3)所示打开N窗口后,
N窗口中右键->Find references to import
弹出R窗口(References),然后双击选择位置。
C窗口(CPU)会跳到指定的位置,并且在注释中提示该API的参数信息。例如
00401131 . 6A 30 PUSH 30 ; /BeepType = MB_ICONEXCLAMATION
00401133 . FF15 5C204000 CALL DWORD PTR DS:[<&USER32.MessageBeep>>; \MessageBeep
另一种方法是直接在C窗口右键->Search for All Intermodular calls打开R窗口,
然后双击直接跳到引用的地方,再执行断点等操作。
(5)日志断点
日志断点不会中断程序,而是在程序通过断点处时记录下信息,而方便分析。
在C窗口的反汇编行中右键->Breakpoint->Conditional Log
或R窗口的指定行中右键->Set log breakpoint on every command
弹出对话框,一般OK是灰色的,需要修改单选框。
例如我对运行于该汇编指令处的EBX上的字符串值感兴趣,可以
Expression输入STRING [EBX]
Pause program选择Never。
Log value of expression选择Always。
B窗口(Breakpoints)就会多出一条断点。
日志记录会输出到L窗口(Log data)
关于od的表达式用法可参考
http://hi.baidu.com/hateme_xm/blog/item/3b6d8b81271329d3bc3e1e9c.html
(6)断点和步进
在C窗口双击即可添加断点,然后Debug->Run运行程序。
程序中断后执行Debug->Step into/Step over进行调试,观察堆栈和寄存器的数值变化。
(7)修改exe内容
在C窗口中某反汇编语句上按空格,然后输入新的汇编指令。
修改后右键->Copy to executable->All modifications
弹出D窗口(File)
然后右键->Save File
另存为新的文件。
(8)条件断点和Trace
条件断点与断点的不同在于它是针对数据而非指令。
条件断点在Trace下有效,而在Run下无效。
添加条件断点:
Debug->Set conditon(例如:Command is one of PUSHFD)
然后Debug->Trace into
或者Debug->Animate into(动画显示)
(9)Trace日志
当执行Trace操作(例如Debug->Trace into),
…窗口(Run trace)会保存所有执行过的指令。
右键->Log to file保存为txt文件
用于比较两次Trace的日志以发现代码覆盖的不同。
(10)文本搜索
有时需要知道用户界面的某条字符串在exe的哪个位置。
方法是C窗口Alt+F10(或右键)->Search for->All referenced text strings
弹出R窗口,双击跳到引用处。
如果文本太多,可以考虑复制到记事本中搜索,或者
R窗口右键->Search for text
(11) etc
F9运行
Ctrl+F2结束后重新加载
(Options->Debugging options对话框->
Warn when terminating active process)
F8步进
F2断点
F7步入
Alt+B:B窗口(断点)
C窗口右面的寄存器窗格虽然没有滚动条,但是可以拖动
双击修改汇编,如果按Ctrl+F2重新加载,会变成灰色,
??每次修改应保存
??可以用右键->Backup->Load backup from file重新应用修改过的地方
Copy to executable->All Modifications