转OD工具使用经验.docx
- 文档编号:25201631
- 上传时间:2023-06-06
- 格式:DOCX
- 页数:20
- 大小:27.94KB
转OD工具使用经验.docx
《转OD工具使用经验.docx》由会员分享,可在线阅读,更多相关《转OD工具使用经验.docx(20页珍藏版)》请在冰豆网上搜索。
转OD工具使用经验
1.我的os是winXP,无法使用trw2000,而softice装了多次均未成功,还蓝屏死机多次.郁闷.
2.友好的gui界面,不像softice.可以边干活边听歌,不像softice,把整个os都挂起了.多用两次,连时间都不知道了.
3.强大的内存查看功能,再不用什么-d了,而且跳转方便,爽!
一目了然.
4.强大的右键菜单功能
菜单:
文件:
1.其中包括该菜单的下部有上次打开的纪录,该纪录保存有上次未清除的断点.
2.附加.对付那些Anti-Debug程序.先运行程序,再运行od,文件-->附加.
查看:
1.执行模块(Alt+E),查看程序使用的动态链接库
2.查看断点.Alt+B
调试:
1.运行(F9)加载程序后,运行!
2.暂停(F12)
3.单步进入(F7)遇见CALL进入!
进入该子程序.
4.单步跳过(F8)遇见CALL不进去!
5.执行到返回(ALT+F9)就是执行到该子程的返回语句
ollydbg的16进制编辑功能.类似与hiew,hexworkshop
查看-->文件
二进制文件编辑功能.查看-->文件,打开的文件是二进制显示.选中要改变的机器指令,空格,修改,右击-->保存.
ollydbg的四个区域
左上角是cpu窗口,分别是地址,机器码,汇编代码,注释;注释添加方便,而且还能即时显示函数的调用结果,返回值.
右上角是寄存器窗口,但不仅仅反映寄存器的状况,还有好多东东;双击即可改变Eflag的值,对于寄存器,指令执行后发生改变的寄存器会用红色显示.
cpu窗口下面还有一个小窗口,显示当前操作改变的寄存器状态.不错;
左下角是内存窗口.可以ascii或者unicode两种方式显示内存信息;
右下角的是当前堆栈情况,还有注释啊.
F3选择打开程序.
使用
F9执行程序.
下断点:
1.对函数下下断点
在代码区右击-->搜索-->当前模块中的名称(ctrl+N),在跳出来的对话框中选择需要下的断点函数.->右击->查找导入参考(enter),按F2下断点.如果有多个地方调用了该函数就这样操作。
2.在需要的地方下断点F2
添加注释:
在代码区第四列,右击-->注释
查看内存地址
右击内存地址列-->前往-->输入要查看的内存地址
在函数lstrlen的注释的上方,有一个变量string,当执行到该函数的时候,string后面会出现lstrlen函数的参数字符串.在实际使用中一般是输入的字符串.(很好用哦)
类似的还有lstrcmp,上面有string1,string2能够显示将要比较的两个字符串.
另外,一般在执行getwindowtext等函数后,右边寄存器列,eax会显示函数的返回值,即取到的内容.同时内存中也会有显示.
在反汇编中选中一条命令,如果其中有用到内存中的地址,右击-->在转存中跟随-->直接常数
此时内存地址会显示指令中引用到的内存字符
拷贝功能十分强大.直接选择要拷贝的内容.右击-->复制-->文件or剪贴板
ollydbg的条件断点可以按寄存器,存储器,消息(必须是消息的数字,如wm_command就是111)等等设断,非常强大,一旦设了之后记录到文件中,下次restart程序还能用,不用拿笔记,很方便。
显示跳转路进:
选项-->调试设置-->cpu页-->显示跳转的方向,显示跳转的路径,如果跳转没有实现则显示灰色路径。
在cpu窗口中,机器码的前面显示">"符号.同时,在cpu窗口下的小缝中会显示跳转路径,从何跳转而来.右击-->前往...一般都是条件跳转,上面的内容就是比较的地方啦。
:
)
跟踪功能:
选项-->调试跟踪-->跟踪:
设置运行跟踪的缓存大小.越大越好.
调试-->打开或清除运行跟踪
然后我们就可以用CTRL+F11或CTRL+F12开启“跟踪进入”和“跟踪跳过”了。
当我们暂停程序的时候,可以用小键盘上的“+”,“-”,“*”来控制跟踪功能了。
其中,“跟踪进入”和运行类似,但是记录所有指令以及寄存器变化。
并且会自动进入所有的CALL中。
“跟踪跳过”和“跟踪进入”类似,但是不进入CALL
“+”用来显示跟踪缓冲区中的下一条指令
“-”用来显示跟踪缓冲区中的上一条指令
“*”用来发返回当前指令
让OD显示MFC42.DLL中的函数
打开调试-->选择导入库-->添加-->选择MFC43.LIB加入.重新载入MFC程序,就可以看到call后面的api函数了.
动态暂停以messagebox为例)
先运行目标程序,再运行od,选择文件-->附加.在目标程序运行出现对话框时,切换至od,F12暂停.
字符串参考:
在汇编代码区,右击-->搜索-->字符参考
更改二进制文件:
方法1.查看-->文件,打开文件,找到欲修改的偏移,使用机器码修改,然后右击保存文件.缺点是需要使用其他软件来获取偏移地址.
方法2.直接在反汇编代码区更改,这时可以使用汇编代码更改,不用记机器码.完了.右击-->复制到可执行文件-->保存文件.很是方便哪!
关于虚拟地址和偏移地址:
ollydbg果然强大,太强大了,在欲修改的指令处右击-->复制到可执行文件,弹出窗口中光标所在行即是欲修改的指令所在的偏移地址,右击-->汇编,直接修改汇编指令,不用记机器码,又不用虚拟地址到偏移地址的转换.改完后保存文件.爽丫!
olldbg下怎么下消息断点?
如在softice中下BMSG0084WM_DESTROY,在olldbg下该怎么做?
不如下断SendMessage,PostMessage,程序中的消息不一定都经过消息循环。
Ollydbg下消息断点的一个方法
翻译:
SoftIce能够跟踪应用程序的消息,那么OllyDbg呢?
byFuZzYBiT
OllyDbg也是可以的,那是一个非常"隐蔽的功能"。
它是如此的有用。
1.打开程序
2.名字窗口[在CPU窗口中按CTRL+N]
3.查找User32.TranslateMessageAPI
4.右击/FindReferences(查找参考)
5.下条件断点[SHIFT+F4]
6.表达式:
MSG
7.记录函数参数:
永远
如果你不能找到它,试试右击鼠标,然后搜索全部模块中的名称。
但是如果我想要捕捉一个特定的消息如WM_COMMAND呢?
只对WM_COMMAND记录
用这个方法做:
1.打开一个程序
2.名字窗口[在CPU窗口中按CTRL+N]
3.查找User32.TranslateMessageAPI
4.右击/FindReferences(查找参考)
5.下条件断点[SHIFT+F4]
6.条件框:
MSG==WM_COMMAND
7.记录函数参数:
条件满足时
如果你不能找到User32.TranslateMessageAPI,象上面那样做。
以下命令适用于OllyDbg的命令行插件Cmdline.dll(显示于程序的插件菜单中)
命令行插件支持的命令
CALC判断表达式
WATCH添加监视表达式
AT在指定地址进行反汇编
FOLLOW跟随命令
orIG反汇编于EIP
DUMP在指定地址进行转存
DA转存为反汇编代码
DB使用十六进制字节格式转存
DC使用ASCII格式转存
DD转存在堆栈格式
DU转存在UNICODE格式
DW使用十六进制字词格式转存
STK前往堆栈中的地址
AS
(AS+地址+字符串)
在指定地址进行汇编
BP进行条件中断(有条件的断点)
BPX中断在全部调用(Call)
BPD清除全部调用中的断点
BC清除断点
MR内存断点于访问时
MW内存断点于写入时
MD清除内存断点
HR访问时进行硬件中断
HW写入时进行硬件中断
HE执行时进行硬件中断
HD清除硬件断点
STOP停止运行程序调试
PAUSE暂停执行程序调试
RUN运行程序进行调试
GE运行和通过例外
SI单步进入Call中
SO步过Call
TI跟踪进入直到地址
TO跟踪步过直到地址
TC跟踪进入直到满足条件
TOC跟踪步过直到满足条件
TR运行直到返回
TU运行直到用户代码
LOG查看记录窗口
MOD查看模块窗口
MEM查看内存窗口
CPU查看CPU窗口
CS查看Call堆栈
BRK查看断点窗口
OPT打开选项设置窗口
EXIT退出OllyDbg
QUIT退出OllyDbg
OPEN打开一个可执行文件
CLOSE关闭可执行文件
RST重新运行当前程序
HELP查看API函数的帮助
Ollydbg中断方法
在od中怎么下断点呢?
?
现在有的程序一点注册就没反映了
这样的怎么下断点呢?
?
能介绍下什么情况下什么断点吗?
在转存中下硬件访问->Word"断点,下断之后,怎么取消!
alt+D按H然后删除
这个没有万能的方法,只能视具体情况而定,就我的经验而言:
第一步,反汇编找有用信息,有时候虽然点击注册按钮后,没有任何反映,但软件也许包含了可用的信息,比如“未注册”,“已注册”等等之类的,都可用做断点的。
第二步,如果反汇编也找不到有用信息,如果用OD可以下HMEMECPY断点,在每个调用的函数上下断,虽然这个法子太笨,但我试过,几乎有70%以上的机会可找到断点,找到断点后再慢慢跟吧!
这只是个人的看法,关键只要找到断点,有什么办法都无所谓。
在命令行下bpxhmemcpy断点,然后回车,在每个调用的函数上下断。
有的程序甚至无法用API中断,可以在OD载入程序后上下翻动反汇编窗口查看字符串参考下断,在反汇编窗口里直接找到的,右键查找那里找不到
Ollydbg中断方法浅探
Ollydbg是一个新的32位的汇编层调试软件。
适应于windows98、me、2000、xp和2003操作系统。
由于他具有图形窗口界面,所以操作方便、直观,是cracker的好工具。
由于Ollydbg没有了TRW2000的万能断点,所以许多的新手感觉到用Ollydbg断点不好找。
现在我来的说说Ollydbg下中断的几种方法。
本人是个菜鸟,水平有限,可能不能完整的写出来,也可能存在错误。
请大家指正。
我所表述的是Ollydbgv1.09d中文版,其他版本和英文版下自己参考。
第一寻常断点
Ollydbg中一般下中断的方法,就是在程序的地址处用鼠标选择这一行。
然后按F2键,这时被选择的那一行的地址会变成别的颜色,就表示这个地址处下了中断。
然后运行程序时只有到这个地址处就会被Ollydbg中断。
这个方法用的比较多,所以把他称作寻常断点。
如果有命令行插件,就可以在命令窗口中输入BPXxxxxxxxx下断
优点:
只要自己怀疑是重要的代码处都可以下这种下断点,不受条件的限制,所以方便实用。
缺点:
如果不知道代码功能下断点具有盲目性。
第二API断点
Ollydbg中一般下API中断的方法,有二种。
1.在代码窗口中点鼠标右键,出现功能菜单。
在[搜索]选择项下有〔当前模块的名称〕和〔全部模块的名称〕俩项,选择其中的一项就打开了程序调用API的窗口,在这个窗口中选择你要跟踪的API函数名。
双击这个函数就能到程序的调用地址处。
然后用F2下中断。
也可以在API窗口中选择需要跟踪的函数点鼠标右键出现功能菜单,选择〔在每个参考设置断点〕。
同样下了断点。
快捷方式:
Ctrl+N
2.在命令行窗口中输入BPXAPI函数名或者BPAPI函数名后回车。
这时出现了所有调用这个函数的地址的窗口,在这个窗口中可以看到调用这个API函数的地址已改变了颜色。
说明下好了断点。
说明一下:
BPX一般中断在程序调用API的地址处。
BP会中断在API的写入地址处。
二这有所不同,根据需要选择。
优点:
这种方法下的断点是针对每一个API函数的,所以具有明确的目的。
缺点:
关键的API函数不容易找到。
所以有时下的断点没有作用。
第三内存断点(跟踪关键数据的断点)
Ollydbg中的内存断点相当于TRW中的bpm断点。
下断点的方法是:
在程序运行中断时选择界面中的转存窗口,用光标选择内存中的一段关键数据(颜色会改变),然后右击鼠标出现功能菜单。
选择〔断点〕项,其中有二个选择〔内存访问〕和〔内存写入〕。
〔内存访问〕断点是程序运行时要调用被选择的内存数据时就会被Ollydbg中断,根据这个特点在破解跟踪时只要在关键数据内存中下中断就可以知道程序在什么地方和什么时候用到了跟踪的数据。
对于一些复杂算法和流程变态的算法跟踪有很大的帮助。
从破解上讲,一个注册码的生成一定是由一些关键数据或者原始数据计算来的。
所以在内存中一定要用到这些关键数据。
那么〔内存访问〕断点就是最好的中断方法。
〔内存写入〕断点是程序运行时向被选择的内存地址写入数据时就会被Ollydbg中断。
根据这个特点在破解时可以跟踪一个关键数据是什么时候生成的,生成的代码段在那个地方。
所以一个关键的数据如果不知道他的由来就可以用〔内存访问〕断点查找计算的核心。
内存中断的下断点还有另外的一种方法:
程序运行时如果知道关键的数据,比如我们输入的试验码、程序生成的序列号等。
这时在内存中一定存在这些数据。
用Alt+M打开内存窗口,在这个窗口中搜索知道的关键数据。
用光标选择这些数据同样下内存中断,这种方法更容易找的关键的数据。
优点:
断点是直接面向关键数据的,所以比较容易到核心部分。
缺点:
内存断点重新运行后会消失,干扰比较多。
第四硬件断点(跟踪关键标志的断点)
硬件断点是Olldbg所特有的断点,他不会因为重新运行就销毁,只要不删除。
跟踪这个程序时就有效。
但他在98系统下会不起作用。
硬件断点是根据关键标志回逆到关键代码的好方法。
下中断的方法和内存断点的方法相同,有三个方式〔硬件访问〕、〔硬件写入〕、〔硬件执行〕。
一般用前2个。
他也同样有内存断点的特性,所以可以用内存断点的地方也可以用硬件断点。
这里介绍利用他来跟踪注册标志的使用方法,一般软件的注册都用到了标志比较。
即在内存地址中有一个标志,在判断是不是注册时比较标志的值。
不同的值表示不同的注册状态。
这个标志的地址一般比较固定。
根据这个特点可以下硬件断点来跟踪标志位是什么地方被标志的。
方法:
在转存窗口中选择到标志存放的内存地址处,然后选择标志值。
下〔硬件写入〕中断(根据标志的字节下不同的长度)。
重新运行程序你会发现Ollydbg会不断的中断在这个标志的内存地址处。
在功能菜单的〔调试〕选项下选择〔硬件断点〕就打开了硬件断点的窗口,在这个窗口中选择〔跟踪〕,这时转存窗口就会来到被下中断的内存地址处。
运行程序跟踪内存地址中的值就会知道被赋标志的代码,跟踪到计算的核心。
〔硬件访问〕的使用可以知道程序在运行时多少地方用到了这个注册标志。
对于破解复杂效验的程序十分的有效。
直接在命令栏里下bh****硬件断点
欢迎!
我高兴地为你推出命令行插件的初始版本,功能很有限但非常适用。
它的源代码是自由的,因此你可以添加任意的命令和修改现存的功能。
插件所使用的OllyDbg新函数在PDK1.08中有详细的描述。
注意该插件不能工作在1.08及以前版本的OllyDbg中。
命令行插件的快捷组合键:
Alt+F1。
目前,它支持如下的命令:
表达式
CALC表达式计算表达式的值
?
表达式同上
表达式(第一个字符不能是字母)同上
WATCH表达式添加监视
W表达式同上
反汇编器
AT表达式在反汇编中跟随
FOLLOW表达式同上
orIG前往实际的EIP
*同上
转存和堆栈
D表达式在转存中跟随
DUMP表达式同上
DA[表达式]转存为汇编格式
DB[表达式]转存为十六进制(hex)字节格式
DC[表达式]作为ASCII文本转存
DD[表达式]作为地址(堆栈格式)转存
DU[表达式]作为UNICODE文本转存
DW[表达式]转存为十六进制(hex)字格式
STK表达式在堆栈中跟随
汇编
A表达式[,命令]在地址处汇编
标号和注释
L表达式,标号为地址指派符号标号
C表达式,注释在地址处作注释
断点命令
BP表达式[,条件]在地址处设置INT3断点
BPX标号在当前模块内部的每个调用外部'标号'处设置断点
BC表达式删除地址处的断点
MR表达式1[,表达式2]设置访问范围的内存断点
MW表达式1[,表达式2]设置写入范围的内存断点
MD移除内存断点
HR表达式在访问地址处设置一个字节的硬件断点
HW表达式在写入地址处设置一个字节的的硬件断点
HE表达式在执行地址处设置硬件断点
HD[表达式]移除地址处的硬件断点
跟踪命令
STOP暂停执行
PAUSE同上
RUN运行程序
G[表达式]运行到地址处
GE[表达式]跳过意外的句柄并运行到地址处
S单步进入
SI同上
SO单步跳过
T[表达式]跟踪进入到地址处
TI[表达式]同上
TO[表达式]跟踪跳过到地址处
TC条件跟踪进入到条件处
TOC条件跟踪跳过到条件处
TR执行到返回
TU执行到用户代码
OllyDbg窗口
LOG查看日志窗口
MOD查看可执行模块
MEM查看内存窗口
CPU查看CPU窗口
CS查看调用堆栈
BRK查看断点窗口
OPT编辑选项
杂项命令
EXIT关闭OllyDbg
QUIT同上
OPEN[文件名]打开待调试的可执行文件
CLOSE关闭调试的程序
RST重新载入当前程序
HELP显示本帮助
HELPOllyDbg显示OllyDbg帮助
HELPAPI函数帮助完整文件名显示API函数帮助
命令不区分大小写,中括号中的参数是可选的。
表达式可以包含常量,寄存器和内存参考并支持所有标准的算术和逻辑操作符。
默认情况下,所有常量都是十六进制的数。
要标记为十进制的常量,紧接着使用十进制标明。
例如:
?
2+2?
计算该表达式的值;
?
AT[EAX+10]?
在地址EAX+0x10处开始的双字长度内存的内容反汇编;
?
BPKERNEL32.GetProcAddress?
设置API函数断点。
注意:
你仅可以在基于NT系统的系统DLL上设置断点;
?
BPXGetProcAddress?
在当前所选模块中的每个调用外部函数GetProcAddress处设置断点;
?
BP412010,EAX==WM_CLOSE-在0x412010处设置条件断点。
当EAX的值等于WM_CLOSE时程序暂停。
你可以在OllyDbg帮助中找到OllyDbg支持的完整的表达式描述。
如何添加新命令:
要添加新命令,首先你必须在数组cmdlist[]里注册它。
数组的元素是结构类型的t_command.第一个元素是大写字母的命令,第二个元素描述它的操作数。
当前版本的插件只支持三种类型的操作数:
A?
在address中使用值的地址表达式address.插件检查为它已分配内存的指针。
a?
等同于A但可选。
如果未指定表达式,address被置为0。
V?
在value中任意类型的表达式。
如果你期望整数表达式,检查value.dtype是DEC_DWORD并使用value.u的内容。
v?
等同于V但可选。
如果未指定表达式,value.dtype是DEC_UNKNOWN并value.u为0。
S-在string中的ASCII串,可能为空。
第三个元素是将被跳过命令过程的常量,第四个是执行命令的过程地址:
typedefintt_exefunc(char*answer,ulongparm);
如果可识别命令的所有操作数被正确解析和评估,插件调用该过程。
首先是变元,answer,是长256个字节的串指针。
命令被执行后它的内容会被显示在命令行窗口中。
第二个变元是从cmdlsit[]取出的参数。
如果函数的返回值为0,说明命令正确执行并将其添加到历史列表中。
ollydbg1.10汉化版有些地方意思翻译得不准确
例如“调试选项”中的"sfx"中的“停止在自释放解释器的入口”这句话的翻译根本就是错的。
原文是Stopatentryofself-extractor,原文意思为“OllyDbgdoesn'tattempttotracerealentry.”就是“Ollydbg不试图跟踪真实入口”。
还有一些类似的翻译也是错的。
容易引起误解,建议大家还是用英文原版,不懂的看帮助文件。
请教:
怎么在OLLYDBG中保存当前正在调试的程序?
在代码区修改程序后,点右键-》复制到可执行文件-》选择部分,在弹出的窗口里点右键-》保存文件。
起个文件名吧。
OllyDbg常用快捷热键
打开一个新的可执行程序(F3)
重新运行当前调试的程序(Ctrl+F2)
当前调试的程序(Alt+F2)
运行选定的程序进行调试(F9)
暂时停止被调试程序的执行(F12)
单步进入被调试程序的Call中(F7)
步过被调试程序的Call(F8)
跟入被调试程序的Call中(Ctrl+F11)
跟踪时跳过被调试程序的Call(Ctrl+F12)
执行直到返回(Ctrl+F9)
显示记录窗口(Alt+L)
显示模块窗口(Alt+E)
显示内存窗口(Alt+M)
显示CPU窗口(Alt+C)
显示补丁窗口(Ctrl+P)
显示呼叫堆栈(Alt+K)
显示断点窗口(Alt+B)
打开调试选项窗口(Alt+O)
我想知道在OD中如何下地址断点
比如bpx5022e2
是不是在命令行中?
有其他办法没?
命令行在98下不能用
ctrl+g输入地址,F2下断
请问用ollydbg如何跟踪被跟踪进程的子进程
我在跟踪一个程序的时候,它用CreatProgressA产生了一个子进程,然后关闭父进程,请问我如何在子进程的入口处下断?
请高手指教!
指令为:
0045447650PUSHEAX
004544776A00PUSH0
00454479E8C218FBFFCALLkernel32.CreateProcessA
00454479处堆栈内容如下:
0012FD4000000000|ModuleFileName=NULL
0012FD4400956B94|CommandLine="C:
\QXJDGL\QXJDGL.DLL2"
0012FD4800000000|pProcessSecurity=NULL
0012FD4C00000000|pThreadSecurity=NULL
0012FD5000000000|InheritHandles=FALSE
0012FD5400000020|Creati
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- OD 工具 使用 经验
![提示](https://static.bdocx.com/images/bang_tan.gif)