ollydbg（怎么学习ollydbg原理是什么基本使用方法是什么）

本文目录

• 怎么学习ollydbg原理是什么基本使用方法是什么
• ollydbg怎么使用

怎么学习ollydbg原理是什么基本使用方法是什么

最简单的方法是启动OllyDbg，点击File|Open，然后选择你想调试的程序。程序需要命令行参数输入对话框下方的文本栏。重新开始调试最后一个程序的快捷键是Ctrl+F2，并且OllyDbg使用相同的参数。你也可以点选历史记录。把程序拖入OllyDbg也可以开始调试。当然，当启动OllyDbg时，你在命令行中也能指定被调试的程序名和参数。比如：你可以创建桌面快捷方式指向OllyDbg，选择属性，到快捷方式，把程序名加入目标栏。每次你双击这个快捷图标，OllyDbg自动装载被调试程序。你可以attach OllyDbg到某个正在运行的进程。点击File|Attach，从列表中选择该进程。注意：当你关闭OllyDbg，这个进程也会终止。不要试图attach系统进程，这很可能使系统完全死机。（事实上，大多数情况下，OS不允许attach敏感进程）OllyDbg能作为just-in-time debugger。这需要在注册表中登记。点击Options|Just-in-time debugging，在对话框中按“Make OllyDbg just-in-time debugger”。现在，当一些程序崩溃，你会被询问是否调试它。这样，操作系统可以启动OllyDbg并直接停在异常发生处。如果你选择attaching without confirmation，OllyDbg不会询问直接启动。要恢复原来的just-in-time debugger，在出现的对话框中按相应的按纽就行了。其它方法还有，把OllyDbg加入可执行文件的弹出式菜单。点击Options|Add to Explorer，按“Add OllyDbg to menu in Windows Explorer”。以后你可以右击可执行文件点选OllyDbg。这个选项创建注册表键HKEY_CLASSES_ROOT/exefile/shell/Open with OllyDbg andHKEY_CLASSES_ROOT/exefile/shell/Open with OllyDbg/commandOllyDbg可以调试控制台（基于文本）程序。注意：WindowsNT或Windows2000下，你必须有管理员权限OllyDbg的help-通用快捷键（翻译）Golbal shortcuts（通用快捷键）这些快捷键在OllyDbg中通用，不依赖于当前活动窗口。Ctrl+F2---OllyDbg重置，重新开始调试。如果没有活动程序，OllyDbg装入历史列表中的第一个程序。OllyDbg重置会释放内存移除硬断点。Alt+F2－－关闭被调试的程序。如果程序还在活动状态，你会被询问是否执行该操作。F3－－显示“Open 32-bit .exe file”对话框，这里可以选择可执行文件和指定参数Alt+F5－－使OllyDbg显示在屏幕最前方。如果被调试程序中断时显示窗口遮住OllyDbg的一些区域，不继续运行又不能移动或最小化它。激活OllyDbg按Alt+F5可以解决。如果你再次按Alt+F5，OllyDbg会恢复为普通窗口。OllyDbg的当前状态显示在状态栏。F7－－step into，执行下一条简单命令。如果该命令是一个函数调用，进入调用函数内部。如果命令有REP前缀，执行该命令的一步操作。Shift+F7－－与F7相同，除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。Ctrl＋F7－－animate into，一步一步执行程序，也进入函数调用（就象你一直按着F7，不过更快）。当你执行一些单步或继续命令，程序到达有效断点，一些异常发生时，Animation终止。每步执行，OllyDbg重画所有窗口。要加速animation，关闭所有窗口而不要只改变现有窗口的大小。终止animation，也可按Esc。F8－step over，执行下一条简单命令。如果该命令是一个函数调用，立刻执行完该函数（除非函数内部有断点或产生异常）如果命令有REP前缀，执行所有重复操作，并停于下一条命令。Shift+F8－－与F8相同，除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。Ctrl+F8－－animate over，一步一步执行程序，但不进入函数调用（就象你一直按着F8，不过更快）。当你执行一些单步或继续命令，程序Animation到达有效断点或异常发生时，Animation终止。每步执行，OllyDbg重画所有窗口。要加速animation，关闭所有窗口而不要只改变现有窗口的大小。终止animation也可按Esc。F9－－继续执行程序。Shift+F9－－与F9相同。除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。Ctrl+F11－－run trace into，一步一步执行程序，要进入函数调用，记录寄存器内容。Run trace 不重绘CPU窗口.F12-悬挂所有线程以停止程序执行。最好用继续键和菜单命令（像F9）恢复执行线程，而不要用其它手动方法恢复。Ctrl+F12－－run trace over，一步一步执行程序，不进入函数调用，记录寄存器内容。Run trace不重绘CPU窗口。ESC－－如果animation或跟踪正在进行，将被终止。如果CPU窗口显示跟踪时的数据，此时转为显示实际数据。Alt+B－－打开或恢复Breakpoint窗口。这里可以，删除和观察断点。Alt+C－－打开或恢复CPU窗口。Alt+E－－打开或恢复模块列表Alt+E－－打开或恢复Call stack窗口。Alt+L－－打开或恢复Log窗口。Alt+M－－打开或恢复Memory窗口。Alt+O－－打开Option对话框Ctrl+P－－打开Patch窗口。Ctrl+T－－打开Pause run trace对话框Alt＋X－中断OllyDbg。多数窗口可以使用下列快捷键：Alt+F3－－关闭活动窗口。Ctrl+F4－－关闭活动窗口。F5－－最大化或恢复活动窗口。F6－－激活下一个窗口。Shift+F6－－激活前一个窗口。F10－－打开激活窗口或面板的右键菜单。LeftArrow－－左移一个字符。Ctrl+LeftArrow－－左移一行。RightArrow－－右移一个字符。Ctrl+RightArrow－－右移一行。 OllyDbg的help－分析模块介绍（翻译）分析OllyDbg集成了快速超强的代码分析器。装载它，可以用弹出式菜单或者CPU窗口的反汇编栏按Ctrl+A或者在执行模块选“Analyze all modules”。分析器非常有用。它在数据中分辨代码，标记入口点和jump的目标，辨认switch tables，ASCII和UNICODE字符串，定位过程、循环、高级switch语句和解码标准API函数参数（看范例）。OllyDbg的其它部分也广泛用于数据分析。这怎么可能呢？我稍微介绍一下原理。首先，OllyDbg反汇编代码区所有可能的地址，记下所有发现的调用及指向的目标。当然，许多这样的调用不正确，但是未必会有两个错误的调用指向同一条命令，并且三个或三个以上更不可能。这样，三个或更多调用指向同一地址，我就确信该地址是经常使用的子过程入口。从这个入口开始，我跟踪所有的跳转和调用，反复操作。这种方法使我99.9％确定所有命令。然而，某些字节不在这条链中，我采用大约20个更高效的方法（最简单的如：“MOV ,Ra"是无效命令).过程检测也简单。过程，从分析器的角度看，就是从入口开始的代码的连续区域，（理论上）可以到达其它命令（除NOP或对齐填充外）。你可以指定三种识别级。Strict级严格确认一个入口和至少一个出口。heuristical级，分析器尝试确认入口。如果你选择fuzzy级，或多或少相容的代码区被分离为过程。现代编译器把过程分成几个部分作公用代码优化。这种情况下，fuzzy级特别有用！然而，误解的概率也相当高。类似的，loop是一个封闭的连续命令序列，这里最后的命令跳到开头、一个入口几个出口。Loop相当于高级操作语言中的do,while和for。OllyDbg能认识任何复杂的嵌套循环。在反汇编区，他们用长长的大括号标记。如果入口不是循环的第一条命令，OllyDbg用个小三角形作标记。实现switch语句，多数编译器把switch变量装入寄存器，然后减去一部分，像下面代码序列一样： MOV EDX,《switch variable》 SUB EDX,100 JB DEFAULTCASE JE CASE100 ; Case 100 DEC EDX JNE DEFAULTCASE ... ; Case 101这些序列也可能包含一级或两级switch表，直接比较，优化，填充等等。如果你深入研究比较和跳转树，很难说哪一条命令是某个case语句。OllyDbg为你代劳。它标记所有的case语句，包括default，甚至尝试猜测case的意思，如’A’, WM_PAINT 或者 EXCEPTION_ACCESS_VIOLATION。如果命令序列不修改寄存器（只由比较命令构成），那么不大可能是switch语句，但可能是if嵌套： if (i==0) {...} else if (i==5) {...} else if (i==10) {...}让OllyDbg解码if嵌套为switch，选择Analysis1中相应的选项。OllyDbg预置超过1900个常用API函数的描述。包括KERNEL32, GDI32, USER32, ADVAPI32, COMDLG32, SHELL32, VERSION, SHLWAPI, COMCTL32, WINSOCK, WS2_32 和 MSVCRT。你也可以加入自己的描述。如果分析器遇到已知函数名的调用（或跳转到该函数），它尝试解码调用跟前的PUSH命令。因此，你可以粗略翻译该调用的功能。OllyDbg也内置大约400个标准C函数的描述。如果你利用新库，我建议你分析前先扫描对象文件。这种情况下，OllyDbg也会解码已知的C函数参数。如果选项“Guess number of arguments of unknown functions”被设置，分析器尝试确认调用过程进栈的双字数目，并标记他们为参数Arg1,Arg2等等。注意：如果有寄存器参数，OllyDbg还是不认识也不包括在上面的统计中。分析器采用了一个安全的方法。例如，它不分辨无参数过程和返回前用POP恢复寄存器代替舍弃参数的case语句。然而，能分辨出的函数数目相当多，并非常有助于提高代码的可读性。分析器能跟踪寄存器的值。现代优化编译器，特别是面向Pentium的，经常把常量和地址装入寄存器便于重复使用或减小内存占用空间。如果一些常量装入寄存器，分析器会注意它，并用于解码函数及其参数。还能执行简单的算术计算跟踪push和pop命令。分析器不能区别不同类型的名字。如果你用已有的名字命名一些函数，OllyDbg会解码所有该地址的调用为原过程。WinMain，DllEntryPoint和WinProc是特殊的预定义名。你可以使用这些标号标记主程序入口，DLL入口指针和window过程（注意：OllyDbg不会检查用户定义标号的唯一性）。当然，最好的方法是显示已定义的参数。非常不幸，没有一般的规则用于100％的准确分析。有些情况下，例如当模块包含p-代码或者代码区嵌入大量数据，分析器可能认为部分数据是代码。如果统计分析显示代码可能被打包或加密，分析器会警告你。如果你想用hit跟踪方式，我建议你不要用fuzzy分析方式，否则断点被设置在被误认为代码的数据上的几率很高。自解压文件通常在主体代码外有解压代码。如果你选择SFX选项“Extend code section to include self-extractor”，OllyDbg会扩大代码区，形式上允许分析它并跟踪。 OllDbg的一般原理（翻译）部分我希望你熟悉80x86兼容CPU的内部结构，并且有汇编写程序的经历。我也希望你熟悉Microsoft Windows.OllyDbg是一个单进程多线程的“机器代码级”debugger，用于Windows环境下的32位程序。它允许你debug和patch PE格式的可执行程序。OllDbg仅仅使用列入文档的Win32 API调用，所以可用于下一代32位Windows系统。OllDbg看来也可工作于Windows XP，但是我没有详尽的测试，因此不能保证功能完整。OllyDbg不是面向编译器。它不含特别的规则显示某些情况下特定的编译程序生成哪些代码序列。因此，你可以一样对待任何编译器编译的，或者汇编书写的任何代码。OllyDbg与被调试的程序同时工作。你可以浏览代码和数据、设置断点、停止或继续线程，甚至运行期修改内存（有时这叫作软调试方式）。当然，如果被请求的操作不是最基本的，OllyDbg就会短时暂停程序，但这对用户透明。有时不在调试状态运行的程序会意外崩溃。OllyDbg，这个“及时”debugger，会指出异常发生的位置。OllyDbg强烈面向模块。模块这里指启动时加载的或动态加载的主执行文件或动态连接库。在调试区，你可以设置断点，定义新标号和注释汇编语句。当一些模块从内存卸载后，OllyDbg保存这些信息到扩展名为.UDD名字同被调试模块的文件中。下次当装载这些模块时，OllyDbg自动复原所有调试信息，不论程序是否使用这些模块。比如：你调试使用Mydll的程序Myprog1，并且在Mydll中设置一些断点。那么当你调试Myprog2时，也使用Mydll，你会发现所有在Mydll中的断点还在那里，不管Mydll是否装载在不同的位置。一些调试器把被调试进程的内存视为单个2**32字节区域。OllyDbg做了别的处理方法。内存由几个独立的块组成。任何内存操作都限制于块内。在大多数案例中，这工作优良并且容易调试。但是模块包含几个执行部分等等，你将不能立刻看到整个代码。然而这些例外不常见。OllyDbg是内存消耗大户。启动时就要分配3MB内存，甚至更多。每次分析，备份，跟踪或文件转储另外再分配。所以当你调试大工程时消耗40或60M内存很正常。要有效的调试一些无源代码的程序，你首先必须理解它是如何工作的。OllyDbg提供了大量的手段使理解更容易

ollydbg怎么使用

─────────────────────────────────────── 它们在存贮器和寄存器、寄存器和输入输出端口之间传送数据. 1. 通用数据传送指令. MOV 传送字或字节. MOVSX 先符号扩展,再传送. MOVZX 先零扩展,再传送. PUSH 把字压入堆栈. POP 把字弹出堆栈. PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压入堆栈. POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈. PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压入堆栈. POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈. BSWAP 交换32位寄存器里字节的顺序 XCHG 交换字或字节.( 至少有一个操作数为寄存器,段寄存器不可作为操作数) CMPXCHG 比较并交换操作数.( 第二个操作数必须为累加器AL/AX/EAX ) XADD 先交换再累加.( 结果在第一个操作数里 ) XLAT 字节查表转换. ── BX 指向一张 256 字节的表的起点, AL 为表的索引值 (0-255,即 0-FFH); 返回 AL 为查表结果. ( -》AL ) 2. 输入输出端口传送指令. IN I/O端口输入. ( 语法: IN 累加器, {端口号│DX} ) OUT I/O端口输出. ( 语法: OUT {端口号│DX},累加器 ) 输入输出端口由立即方式指定时, 其范围是 0-255; 由寄存器 DX 指定时, 其范围是 0-65535. 3. 目的地址传送指令. LEA 装入有效地址. 例: LEA DX,string ;把偏移地址存到DX. LDS 传送目标指针,把指针内容装入DS. 例: LDS SI,string ;把段地址:偏移地址存到DS:SI. LES 传送目标指针,把指针内容装入ES. 例: LES DI,string ;把段地址:偏移地址存到ES:DI. LFS 传送目标指针,把指针内容装入FS. 例: LFS DI,string ;把段地址:偏移地址存到FS:DI. LGS 传送目标指针,把指针内容装入GS. 例: LGS DI,string ;把段地址:偏移地址存到GS:DI. LSS 传送目标指针,把指针内容装入SS. 例: LSS DI,string ;把段地址:偏移地址存到SS:DI. 4. 标志传送指令. LAHF 标志寄存器传送,把标志装入AH. SAHF 标志寄存器传送,把AH内容装入标志寄存器. PUSHF 标志入栈. POPF 标志出栈. PUSHD 32位标志入栈. POPD 32位标志出栈. 二、算术运算指令 ─────────────────────────────────────── 　　ADD 加法. ADC 带进位加法. INC 加 1. AAA 加法的ASCII码调整. DAA 加法的十进制调整. SUB 减法. SBB 带借位减法. DEC 减 1. NEC 求反(以 0 减之). CMP 比较.(两操作数作减法,仅修改标志位,不回送结果). AAS 减法的ASCII码调整. DAS 减法的十进制调整. MUL 无符号乘法. IMUL 整数乘法. 以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算), AAM 乘法的ASCII码调整. DIV 无符号除法. IDIV 整数除法. 以上两条,结果回送: 商回送AL,余数回送AH, (字节运算); 或 商回送AX,余数回送DX, (字运算). AAD 除法的ASCII码调整. CBW 字节转换为字. (把AL中字节的符号扩展到AH中去) CWD 字转换为双字. (把AX中的字的符号扩展到DX中去) CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去) CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去) 三、逻辑运算指令 ─────────────────────────────────────── 　　AND 与运算. OR 或运算. XOR 异或运算. NOT 取反. TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果). SHL 逻辑左移. SAL 算术左移.(=SHL) SHR 逻辑右移. SAR 算术右移.(=SHR) ROL 循环左移. ROR 循环右移. RCL 通过进位的循环左移. RCR 通过进位的循环右移. 以上八种移位指令,其移位次数可达255次. 移位一次时, 可直接用操作码. 如 SHL AX,1. 移位》1次时, 则由寄存器CL给出移位次数. 如 MOV CL,04 SHL AX,CL 四、串指令 ─────────────────────────────────────── 　DS:SI 源串段寄存器 :源串变址. ES:DI 目标串段寄存器:目标串变址. CX 重复次数计数器. AL/AX 扫描值. D标志 0表示重复操作中SI和DI应自动增量; 1表示应自动减量. Z标志 用来控制扫描或比较操作的结束. MOVS 串传送. ( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. ) CMPS 串比较. ( CMPSB 比较字符. CMPSW 比较字. ) SCAS 串扫描. 把AL或AX的内容与目标串作比较,比较结果反映在标志位. LODS 装入串. 把源串中的元素(字或字节)逐一装入AL或AX中. ( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. ) STOS 保存串. 是LODS的逆过程. REP 当CX/ECX《》0时重复. REPE/REPZ 当ZF=1或比较结果相等,且CX/ECX《》0时重复. REPNE/REPNZ 当ZF=0或比较结果不相等,且CX/ECX《》0时重复. REPC 当CF=1且CX/ECX《》0时重复. REPNC 当CF=0且CX/ECX《》0时重复. 五、程序转移指令 ─────────────────────────────────────── 　1》无条件转移指令 (长转移) JMP 无条件转移指令 CALL 过程调用 RET/RETF过程返回. 2》条件转移指令 (短转移,-128到+127的距离内) ( 当且仅当(SF XOR OF)=1时,OP1《OP2 ) JA/JNBE 不小于或不等于时转移. JAE/JNB 大于或等于转移. JB/JNAE 小于转移. JBE/JNA 小于或等于转移. 以上四条,测试无符号整数运算的结果(标志C和Z). JG/JNLE 大于转移. JGE/JNL 大于或等于转移. JL/JNGE 小于转移. JLE/JNG 小于或等于转移. 以上四条,测试带符号整数运算的结果(标志S,O和Z). JE/JZ 等于转移. JNE/JNZ 不等于时转移. JC 有进位时转移. JNC 无进位时转移. JNO 不溢出时转移. JNP/JPO 奇偶性为奇数时转移. JNS 符号位为 "0" 时转移. JO 溢出转移. JP/JPE 奇偶性为偶数时转移. JS 符号位为 "1" 时转移. 3》循环控制指令(短转移) LOOP CX不为零时循环. LOOPE/LOOPZ CX不为零且标志Z=1时循环. LOOPNE/LOOPNZ CX不为零且标志Z=0时循环. JCXZ CX为零时转移. JECXZ ECX为零时转移. 4》中断指令 INT 中断指令 INTO 溢出中断 IRET 中断返回 5》处理器控制指令 HLT 处理器暂停, 直到出现中断或复位信号才继续. WAIT 当芯片引线TEST为高电平时使CPU进入等待状态. ESC 转换到外处理器. LOCK 封锁总线. NOP 空操作. STC 置进位标志位. CLC 清进位标志位. CMC 进位标志取反. STD 置方向标志位. CLD 清方向标志位. STI 置中断允许位. CLI 清中断允许位. 六、伪指令 ─────────────────────────────────────── 　　DW 定义字(2字节). PROC 定义过程. ENDP 过程结束. SEGMENT 定义段. ASSUME 建立段寄存器寻址. ENDS 段结束. END 程序结束. 具体你还是去看雪论坛查询 那里有你所需要的