OD脚本编写资料与示例.docx

OD脚本编写资料与示例.docx

《OD脚本编写资料与示例.docx》由会员分享，可在线阅读，更多相关《OD脚本编写资料与示例.docx（38页珍藏版）》请在冰豆网上搜索。

OD脚本编写资料与示例

OD脚本编写资料与示例.txt我们用一只眼睛看见现实的灰墙，却用另一只眼睛勇敢飞翔，接近梦想。

男人喜欢听话的女人，但男人若是喜欢一个女人，就会不知不觉听她的话。

OD脚本编写资料与示例

OllyScript脚本语言是一个种类汇编的语言。

你使用它来控制ODbgScript和脚本运算.

在后面的文档中,“源操作数”和“目的操作数”表示以下含义:

-十六进制常数，既没有前缀也没有后缀。

（例如：

是00FF,而不是0x00FF和00FFh的形式）

十进制常数,在后缀中加点.（例如:

100.128.也可以是浮点数128.56,浮点数只能保留小数点后2位）

-变量，这个变量必须在使用前用Var进行定义

-32位寄存器（EAX,EBX,ECX,EDX,ESI,EDI,EBP,ESP,EIP）。

16位寄存器（AX,BX,CX,DX,SI,DI,BP,SP）

8位的寄存器（AL,AH,...DL,DH）

-被中括号括起来的内存地址（例如：

[401000]指向内存地址为401000里存放分数据,

[ecx]指向内存地址为寄存器ecx里存放分数据）.

-一个标志位，带有感叹号前缀（!

CF,!

PF,!

AF,!

ZF,!

SF,!

DF,!

OF）

-字符串，也可叫数据序列。

其格式为：

#6A0000#（数值在两个“#”号之间），两个“#”号之间必须包含至少有一个数值。

"1234567ABCDEF"

-包含“?

”通配符的字符串。

比如#6A?

?

00#或者#6?

0000#

3.1.1保留变量

------------------------

$RESULT

-------

保存某些函数的返回值，比如FIND函数，等等。

在ODbgScript的脚本调试窗口,你能观察到它的变换,并且可以修改它.

$VERSION

--------

ODBGScript的版本信息,整个是系统保留变量名.

例：

cmp$VERSION,"1.47"//比较是否大于1.47版

javersion_above_147

3.1.2指令

--------------

#INC"文件名"

---------

一个脚本文件包含另外一个脚本.就像调用子程序一样.两个脚本中的变量名不能相同.

例:

#inc"test.txt"

#LOG

----

开始记录运行指令

指令会显示在OllyDbg的log窗口中，每条记录前都会加上“-->”的前缀

例：

#log

ADD目的操作数,源操作数

-------------

源操作数与目的操作数相加，并把相加的结果保存到目的操作数中,支持字符串相加.

例：

addx,0F//x=x+F

addeax,x//eax=eax+x

add[401000],5//[401000]=[401000]+5

浮点数相加

addx,16.50//x=x+16.50

（字符串相加）

addy,"times"//如果在次之前y="1000"，则在执行完此指令之后y="1000times"

AI

--

在OllyDbg中执行“自动步入”[Animateinto]操作。

相当于在OllyDbg中按下CTRL+F7

例：

ai

ALLOC大小

----------

申请内存,你能读/写/执行.

例：

alloc1000//新申请内存,大小为1000,返回结果$RESULT放着申请的内存开始地址.

free$RESULT,1000

AN地址

-------

从指定地址处，对代码进行分析。

例：

aneip//相当于在OllyDbg中按Ctrl+A键

AND目的操作数,源操作数

-------------

源操作数与目的操作数进行逻辑与操作，并将结果保存到到目的操作数中。

例：

andx,0F//x=x&&f

andeax,x//eax=eax&&x

and[401000],5//[401000]=[401000]&&5

AO

--

在OllyDbg中执行“自动步过”[Animateover]操作。

相当于在OllyDbg中按下CTRL+F8

例：

ao

ASK问题

------------

显示一个提示输入框，让用户输入，结果保存变量$RESULT中（如果用户按了取消键，则$RESULT=0）。

$RESULT_1中放着输入的长度.

（注:

程序将判读你输入的是字符,$RESULT_1的结果是输入字符数的数目,整型/2,中文数*2）

例:

ask"EnternewEIP"

cmp$RESULT,0

jecancel_pressed

moveip,$RESULT

ASM地址,指令

-----------------

修改指定地址的指令。

并将修改后的汇编指令长度保存到保留变量$RESULT中

例：

asmeip,"moveax,ecx"//将当前指令修改为moveax,ecx

ASMTXT文件

-----------------

汇编指定文件中的指令。

将汇编指令保存到保留变量$RESULT中

并将汇编指令长度保存到保留变量$RESULT_1中

例：

asmtxtEIP,"myasm.txt"//将myasm.txt文件中的asm转成opcode后写入EIP.

ATOIstr[,base=16.]

-----------------

转换字符串到16进制整型,[可以将任何进制转成16进制整型]

返回结果放到$RESULT

例：

itoa"F"//字符串"F"转成了整型,结果会等于F

itoa"10",10.//字符串"10"代表十进制,结果会等于A

BC地址

-------

清除指定地址的断点。

例：

bc401000//清除401000处的断点

bcx//清除X（变量值）处的断点

bceip//清除当前EIP处的断点

BPaddr

--------

在指定地址设断点

例：

bp401000//在401000处下断点

bpx//在X（变量值）处下断点

bpeip//在当前EIP处下断点

BPCND地址,条件

----------------

在指定地址处，设置条件断点。

例：

bpcnd401000,"ECX==1"//当代码执行到401000且ecx等于1时，程序暂停

BPD函数字符串

---------------

清除调用函数断点,函数为字符串表示.

例:

bpd"GetVersion"//取消呼叫GetVersion的断点

BPHWC地址

----------

删除指定地址处的硬件断点。

例：

bphwc401000//清除401000处的断点

BPHWCALL

-----------

清除所有的硬件断点

例：

BPHWCALL//清除所有的硬件断点

BPHWS地址,模式

----------------

在指定地址，设置硬件断点。

有三种模式：

"r"-读取,"w"-写入或者"x"-执行.

此断点只支持1个字节的动作.

例：

bphws401000,"x"//当执行到此地址时发生中断.

Bphws401000,"r"//当读取401000的时候,发送中断

BPL地址,表达式

--------------

在指定地址处设置记录断点，将表达式的结果记录到记录窗口中。

例：

bpl401000,"eax"//每次执行到401000时，都将eax寄存器的结果记录

BPLCND地址,表达式,条件

-----------------------

在指定地址处设置记录断点，如果条件为真时，将表达式的结果记录到记录窗口中。

例：

bplcnd401000,"eax","eax>1"//如果执行到401000时，满足eax>1，则将eax寄存器的结果记录

BPMC

----

清除内存断点。

例：

bpmc

BPRM地址,大小

---------------

在指定地址处，设置一个内存读取断点。

“大小”是指内存中的字节大小。

例：

bprm401000,FF//在401000中设置内存读断点,内存中的大小为FF

BPWM地址,大小

---------------

在指定地址处，设置一个内存写入断点。

“大小”是指内存中的字节大小。

例：

bpwm401000,FF//在401000中设置内存写断点,内存中的大小为FF

BPX函数字符串

---------------

设置调用函数断点,函数为字符串表示.

返回下了断点的地址数量,结果保存在保留变量$RESULT中.

例:

bpx"GetVersion"//下呼叫GetVersion断点,断下的语句为call[xxxxx]

CMP目的操作数,源操作数

-------------

比较目的操作数与源操作数的大小，和其对应的汇编指令作用相同。

可以是各种数值,甚至可以是字符串（对大小不敏感）.

例：

cmpy,x//比较两个变量（Y和X）的大小,

cmpeip,401000//比较EIP和401000的大小

CMT地址,字符串

--------------

在指定地址处，加入注释。

例：

cmteip,"这是入口"//当前地址处加上“这是入口”的注释

COB

---

发生中断后，让脚本继续执行（移除EOB指令）

例：

COB

COE

---

（移除EOE指令）

发生异常后，让脚本继续执行

例：

COE

DBH

---

隐藏调试器

例：

dbh

DBS

---

对隐藏的调试器操作进行恢复，不再隐藏。

例：

dbs

DEC变量

-------

对变量进行减一操作

例：

decv//V=V-1

DIV目的操作数,源操作数

-------------

文档加载中……请稍候！
如果长时间未打开，您也可以点击刷新试试。

下载文档到电脑，查找使用更方便

下载	加入VIP,免费下载

还剩页未读，继续阅读

举报
版权申诉 word格式文档无特别注明外均可编辑修改；预览文档经过压缩，下载后原文更清晰！ 立即下载

配套讲稿：

如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。

特殊限制：

部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。

关 键  词：

OD 脚本 编写 资料 示例

  冰豆网所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。