使用OllyDbg从零开始Cracking 第三十二章-OEP寻踪

OllyDbg完全教程目录第一章概述 (1)第二章组件 (5)一、一般原理［General prnciples］ (5)二、反汇编器［Disassembler］ (8)三、分析器［Analysis］ (9)四、Object扫描器［Object scanner］ (12)五、Implib扫描器［Implib scanner］ (12)第三章 OllyDbg的使用 (13)一、如何开始调试［How to start debugging session］ (13)二、CPU 窗口［CPU window］ (14)三、断点［Breakpoints］ (14)四、数据窗口［Dump］ (15)五、可执行模块窗口［Executable modules window］ (16)六、内存映射窗口［Memory map window］ (17)七、监视与监察器［Watches and inspectors］ (19)八、线程［Threads］ (19)九、调用栈［Call stack］ (20)十、调用树［Call tree］ (21)十一、选项［Options］ (21)十二、搜索［Search］ (22)十三、自解压文件［Self—extracting (SFX) files］ (22)十四、单步执行与自动执行［Step—by—step execution and animation］ (23)十五、Hit跟踪［Hit trace］ (23)十六、Run 跟踪［Run trace］ (24)十七、快捷键 (26)十八、插件［Plugins］ (29)十九、技巧提示［Tips and tricks］ (29)第四章其他功能 (30)一、调试独立的DLL［Debugging of stand—alone DLLs］ (30)二、解码提示［Decoding hints］ (32)三、表达式赋值［Evaluation of expressions］ (32)四、自定义函数描述［Custom function descriptions］ (34)第一章概述OllyDbg 是一种具有可视化界面的32 位汇编—分析调试器。

OllyDBG完美教程(超强入门级)关键词：OD、OllyDBG、破解入门、调试专用工具、反汇编一、OllyDBG 的安装与配置OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。

汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：OllyDBG 中各个窗口的功能如上图。

简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单界面选项->隐藏标题或显示标题来进行切换是否显示。

用鼠标左键点击注释标签可以切换注释显示的方式。

寄存器窗口：显示当前所选线程的 CPU 寄存器内容。

同样点击标签寄存器 (FPU) 可以切换显示寄存器的方式。

信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。

数据窗口：显示内存或文件的内容。

右键菜单可用于切换显示方式。

堆栈窗口：显示当前线程的堆栈。

要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。

启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。

还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。

上图中其它的选项可以保留为默认，若有需要也可以自己修改。

修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。

在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。

ollydbg的使⽤教程教程四：OllyDbg的使⽤（下）⼀、简介此次教程我们继续学习Olly的使⽤。

我们将继续使⽤上⼀章的程序（我也会将它包含在下载⾥）。

你可以在tutorials中下载⽂件和PDF版的教程。

⼆、DLLS就像我前⾯说的，当你启动程序时，DLL被系统载⼊器载⼊。

这回我会细致的讲解。

DLL （Dynamic Link Libraries）是函数的集合，通常由Windows提供（当任何⼈都可以提供），其中含有很多Windows程序要⽤的函数。

这些函数可以让程序员更容易的完成⼀些乏味的重复性的任务。

例如，将字符串全部转换成⼤写是许多程序要实现的功能。

如果你的程序要多次使⽤该功能的话，你有三个选择：⼀是在你的程序中⾃⼰编码实现；问题是，你不知道你的下⼀个程序是不是也会⽤到该功能很多次。

你可能需要在你使⽤到的程序⾥复制粘贴很多次相同的代码。

⼆是创建⼀个⾃⼰的库，这样任何程序都可以调⽤。

这种情况下，你可以创建⼀个DLL，然后包含在程序中。

该DLL可能有像convertToUpper这样的通⽤函数以便于程序调⽤，因此你只需要写⼀次代码就⾏了。

这样做的另⼀个好处是，你可以说你为字符串转⼤写想到了⼀个很好的优化⽅案。

第⼀个例⼦中，你需要将代码拷贝到所有要⽤到该代码的程序中，但是在那个通⽤DLL例⼦中，你只需要修改DLL的代码，然后所有使⽤该DLL的程序都可以以最快的速度获益。

爽吧！这就是DLL产⽣的真正原因。

最后⼀个选择是，使⽤Windows提供的⼀堆DLL中包含的数千个函数中的⼀个。

这样做有很多好处。

第⼀个是，Microsoft的程序员已经花了多年时间来优化他们的函数，他们在很⼤程度上要⽐你⽜逼。

第⼆，你不需要将你的DLL包含在应⽤中，因为Windows操作系统已经内建了这些DLL。

最后，如果Windows决定修改他们的操作系统，你⾃⼰的DLL有可能和新系统不兼容。

同时，如果你使⽤Windows的DLL，它们肯定是兼容的。

OllyDbg的基本使⽤注：内容整理⾃《逆向⼯程核⼼原理》，结合我的OllyDbg版本修改了⼀些内容1. OllyDbg常⽤命令及其快捷键指令快捷键含义Restart Ctrl+F2重新开始调试Step Into F7执⾏⼀句OP code，若遇到CALL，进⼊函数代码内部Step Over F8执⾏⼀句OP code，若遇到CALL，仅执⾏函数⾃⾝，不跟随进⼊Run F9运⾏（遇到断点时暂停）Execute till return Ctrl+F9 执⾏函数代码内的命令，直到遇到RETN命令，⽤于跳出函数体Execute till cursor F4 执⾏到光标所在位置Comment; 添加注释User-defined comment⿏标右键菜单Search for-User defined comment查看⽤户输⼊的注释⽬录Label:添加标签User-defined label⿏标右键菜单Search for-User defined Label查看⽤户输⼊的标签⽬录Breakpoint F2设置或取消断点All referenced text strings ⿏标右键菜单Search for-All referenced textstrings查看代码中引⽤的字符串All intermodular calls⿏标右键菜单Search for-All intermodular calls查看代码中调⽤的所有API函数Name in all modules⿏标右键菜单Search for-Name in all modules查看所有API函数Edit data Ctrl+E编辑数据Assemble空格键编写汇编代码Copy to executable file⿏标右键菜单Copy to executable file创建⽂本副本（修改的项⽬被保留）2. 设置点的⽅法（这⾥我们假设⼤本营的地址为004010ED）①Goto命令执⾏Goto命令（Ctrl+G），在打开的对话框中输⼊004010ED，然后单击OK按钮，这样光标就会⾃动定位到004010ED处然后执⾏Execute till cursor（F4）命令，让调试流运⾏到该处②设置断点选中004010ED这⼀⾏（可以⼿动找，也可以使⽤上述Goto命令中的第⼀步），设置BreakPoint（F2），调试运⾏到断点处会暂停然后执⾏Run debugged application（F9）即可让调试直接运⾏到断点处暂停注：在OllyDbg菜单栏中选择View-Breakpoints（Alt+B），可以打开Breakpoints对话框，列出代码中设置的断点。

OllyDBG破解工具入门教程一、OllyDBG 的安装与配置OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。

汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：OllyDBG 中各个窗口的功能如上图。

简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标或显示标题 来进行切换是否显示。

用鼠标左键点击注释标签可以切换注释显示的方式。

寄存器窗口：显示当前所选线程的 CPU 寄存器内容。

同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。

信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。

数据窗口：显示内存或文件的内容。

右键菜单可用于切换显示方式。

堆栈窗口：显示当前线程的堆栈。

要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。

启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的 选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。

还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。

上图中其它的选项可以保留为默认，若有需要也可以自己修改。

修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。

在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。

有人可能知道插件的作用，但对那个 UDD 目录不清楚。

OllyDBG⼊门系列（三）－函数参考现在进⼊第三篇，这⼀篇我们重点讲解怎样使⽤ OllyDBG 中的函数参考（即名称参考）功能。

仍然选择 镜像打包中的⼀个名称为 CrackHead 的crackme。

⽼规矩，先运⾏⼀下这个程序看看：呵，竟然没找到输⼊注册码的地⽅！别急，我们点⼀下程序上的那个菜单“Shit”（真是 Shit 啊，呵呵），在下拉菜单中选“Try It”，会来到如下界⾯：我们点⼀下那个“Check It”按钮试⼀下，哦，竟然没反应！我再输个“78787878”试试，还是没反应。

再试试输⼊字母或其它字符，输不进去。

由此判断注册码应该都是数字，只有输⼊正确的注册码才有动静。

⽤ PEiD 检测⼀下，结果为 MASM32 / TASM32，怪不得程序⽐较⼩。

信息收集的差不多了，现在关掉这个程序，我们⽤ OllyDBG 载⼊，按 F9 键直接让它运⾏起来，依次点击上⾯图中所说的菜单，使被调试程序显⽰如上⾯的第⼆个图。

先不要点那个“Check It”按钮，保留上图的状态。

现在我们没有什么字串好参考了，我们就在API 函数上下断点，来让被调试程序中断在我们希望的地⽅。

我们在 OllyDBG 的反汇编窗⼝中右击⿏标，在弹出菜单中选择 查找->当前模块中的名称 (标签)，或者我们通过按 CTR+N 组合键也可以达到同样的效果（注意在进⾏此操作时要在 OllyDBG 中保证是在当前被调试程序的领空，我在第⼀篇中已经介绍了领空的概念，如我这⾥调试这个程序时 OllyDBG 的标题栏显⽰的就是“[CPU - 主线程, 模块 -CrackHea]”，这表明我们当前在被调试程序的领空）。

通过上⾯的操作后会弹出⼀个对话框，如图：对于这样的编辑框中输注册码的程序我们要设断点⾸选的 API 函数就是 GetDlgItemText 及 GetWindowText。

每个函数都有两个版本，⼀个是 ASCII 版，在函数后添加⼀个 A 表⽰，如 GetDlgItemTextA，另⼀个是 UNICODE 版，在函数后添加⼀个 W 表⽰。

第4章-汇编指令之前的章节主要是理论知识,现在我们要在OllyDbg中实践一下,为后面打开基础。

OllyDbg中几乎所有的标志我都有考虑,如果你遇到了我没有给出的指令,你可以查阅更加全面的汇编指南。

NOP（无操作)运行这条指令不会对寄存器,内存以及堆栈造成任何影响,英文单词的意思是”无操作”，也就是说,它没有特殊的用途。

例如，你用一个短指令来替换一个长指令的话，如果处理器没有错误,多余的空间将会被NOP填充。

适当数目的nop指令可以将其他指令完全替换掉。

下面使用OllyDbg重新载入CrueHead'а(CrackMe的作者)的CrackMe。

我们可以看到反汇编的源代码,如上图第一条指令是PUSH 0,占两个字节,在这条指令上面单击鼠标右键选择Assemble.或者直接使用快捷键-空格键,在弹出窗口的编辑框中输入NOP。

写入NOP指令后单击Assemble按钮。

这里我们可以看到OD设计的非常智能,考虑到PUSH指令占两个字节,OD会使用两条NOP 指令进行替换,而不是使用一条NOP进行替换。

现在,在原来PUSH 0的地方显示的两条NOP指令,单击F7,指令一条NOP指令,可以看到,这里只改变了EIP(保存了下一条要执行指令的地址)寄存器的值,并没有影响到其他寄存器,堆栈或者标志位。

现在我们需要在数据窗口查看这两个字节,它们的内存地址分别是401000和401001。

在数据窗口中,鼠标右键选择-“Go to”-“Expression”，输入你需要转到的地址。

这里我们需要输入401000。

红色突出显示的是刚刚修改过的字节。

前两个是90,然后E8，FF和04，00,00。

这是一个Call 指令的所有剩余字节。

OD可以撤销我们修改的指令吗?呵呵,当然啦。

在数据窗口或者反汇编窗口中,鼠标拖选中两个字节。

然后单击鼠标右键,选择“UNDO SELECTION”。

这样就恢复了原来的PUSH指令。

在数据窗口中的话,你就可以看到它原始的字节了。

OllyDBG破解⼊门教程图⽂⼀、OllyDBG 的安装与配置OllyDBG 版的发布版本是个 ZIP 压缩包，只要解压到⼀个⽬录下，运⾏ OllyDBG.exe 就可以了。

汉化版的发布版本是个 RAR 压缩包，同样只需解压到⼀个⽬录下运⾏ OllyDBG.exe下载地址：https:///softs/58565.html即可：OllyDBG 中各个窗⼝的功能如上图。

简单解释⼀下各个窗⼝的功能，更详细的内容可以参考 TT ⼩组翻译的中⽂帮助：反汇编窗⼝：显⽰被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗⼝中右击出现的菜单界⾯选项->隐藏标题或显⽰标题来进⾏切换是否显⽰。

⽤⿏标左键点击注释标签可以切换注释显⽰的⽅式。

寄存器窗⼝：显⽰当前所选线程的 CPU 寄存器内容。

同样点击标签寄存器 (FPU) 可以切换显⽰寄存器的⽅式。

信息窗⼝：显⽰反汇编窗⼝中选中的第⼀个命令的参数及⼀些跳转⽬标地址、字串等。

数据窗⼝：显⽰内存或⽂件的内容。

右键菜单可⽤于切换显⽰⽅式。

堆栈窗⼝：显⽰当前线程的堆栈。

要调整上⾯各个窗⼝的⼤⼩的话，只需左键按住边框拖动，等调整好了，重新启动⼀下 OllyDBG 就可以⽣效了。

启动后我们要把插件及 UDD 的⽬录配置为绝对路径，点击菜单上的选项->界⾯，将会出来⼀个界⾯选项的对话框，我们点击其中的⽬录标签：因为我这⾥是把 OllyDBG 解压在 F:\OllyDBG ⽬录下，所以相应的 UDD ⽬录及插件⽬录按图上配置。

还有⼀个常⽤到的标签就是上图后⾯那个字体，在这⾥你可以更改 OllyDBG 中显⽰的字体。

上图中其它的选项可以保留为默认，若有需要也可以⾃⼰修改。

修改完以后点击确定，弹出⼀个对话框，说我们更改了插件路径，要重新启动 OllyDBG。

在这个对话框上点确定，重新启动⼀下 OllyDBG，我们再到界⾯选项中看⼀下，会发现我们原先设置好的路径都已保存了。

OllyDBG新手使用说明书OLLYDBG完全教程（一）一、什么是 OllyDbg？OllyDbg 是一种具有可视化界面的 32 位汇编-分析调试器。

它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题。

Version 1.10 是最终的发布版本。

这个工程已经停止，我不再继续支持这个软件了。

但不用担心：全新打造的 OllyDbg 2.00 不久就会面世！运行环境： OllyDbg 可以以在任何采用奔腾处理器的 Windows 95、98、ME、NT 或是 XP（未经完全测试）操作系统中工作，但我们强烈建议您采用300-MHz以上的奔腾处理器以达到最佳效果。

还有，OllyDbg 是极占内存的，因此如果您需要使用诸如追踪调试［Trace］之类的扩展功能话，建议您最好使用128MB以上的内存。

支持的处理器： OllyD的数据格式，但是不支持SSE2指令集。

bg 支持所有80x86、奔腾、MMX、3DNOW！、Athlon 扩展指令集、SSE指令集以及相关配置：有多达百余个（天呀！）选项用来设置 OllyDbg 的外观和运行。

数据格式： OllyDbg 的数据窗口能够显示的所有数据格式：HEX、ASCII、UNICODE、16/32位有/无符号/HEX整数、32/64/80位浮点数、地址、反汇编（MASM、IDEAL 或是HLA）、PE文件头或线程数据块。

帮助：此文件中包含了关于理解和使用 OllyDbg 的必要的信息。

如果您还有Windows API 帮助文件的话（由于版权的问题 win32.hlp 没有包括在内），您可以将它挂在 OllyDbg 中，这样就可以快速获得系统函数的相关帮助。

启动：您可以采用命令行的形式指定可执行文件、也可以从菜单中选择，或直接拖放到OllyDbg中，或者重新启动上一个被调试程序，或是挂接［Attach］一个正在运行的程序。

OllyDbg支持即时调试。

OllyDBG入门教程OllyDBG 入门系列(一),认识OllyDBG一、OllyDBG 的安装与配置OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行OllyDBG.exe 就可以了。

汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可:OllyDBG 中各个窗口的功能如上图。

简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助:反汇编窗口:显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单界面选项->隐藏标题或显示标题来进行切换是否显示。

用鼠标左键点击注释标签可以切换注释显示的方式。

寄存器窗口:显示当前所选线程的 CPU 寄存器内容。

同样点击标签寄存器(FPU) 可以切换显示寄存器的方式。

信息窗口:显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。

数据窗口:显示内存或文件的内容。

右键菜单可用于切换显示方式。

堆栈窗口:显示当前线程的堆栈。

要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。

启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签:因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。

还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。

上图中其它的选项可以保留为默认，若有需要也可以自己修改。

修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。

在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。

从零开始的程序逆向之路基础篇第⼆章——⽤OllyDbg（OD）分析⼀个简单的软件作者：Crazyman_Army原⽂来⾃：0x00知识回顾 (由于笔者省事,没开XP虚拟机,⽽且没关闭ASLR,所以每次重载的内存地址会不⼀样)在第⼀章的内容中，笔者已经讲了OllyDbg(简称OD)的界⾯介绍以及基础的操作,普及了常⽤的汇编指令上次课在底下的附件中,我留下了⼀个演⽰样例,⼤家载⼊OD后搜索到字符串点击跟踪到反汇编窗⼝的时候会发现与第⼀章所讲的程序的框架不太⼀样.尤其可见多出了很多的call指令,call指令在汇编中就是调⽤⼦程序,下⾯放出代码,各位同学可以⽐对⼀下与上篇⽂件所贴出代码的不同代码如下:#include <windows.h>#include <tlhelp32.h>#include <stdio.h>BOOL getProcess(const char *procressName);BOOL getProcess(const char *procressName){char pName[MAX_PATH];strcpy(pName, procressName);CharLowerBuff(pName, MAX_PATH);PROCESSENTRY32 currentProcess;currentProcess.dwSize = sizeof(currentProcess);HANDLE hProcess = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);if (hProcess == INVALID_HANDLE_VALUE){printf("CreateToolhelp32Snapshot()调⽤失败!\n");return FALSE;}_asm NOP;BOOL bMore = Process32First(hProcess, ¤tProcess);while (bMore){CharLowerBuff(currentProcess.szExeFile, MAX_PATH);if (strcmp(currentProcess.szExeFile, pName) == 0){CloseHandle(hProcess);return TRUE;}bMore = Process32Next(hProcess, ¤tProcess);}CloseHandle(hProcess);return FALSE;}int main(){char* process = "explorer.exe";if (getProcess(process)){printf("发现explorer.exe\n");system("pause");exit(0);}else{printf("没有发现explorer.exe\n");printf("Cracke Success!");}getchar();return 0;}从代码⾓度来看,很明显,这次笔者讲判断进程封装成⼀个返回布尔值的函数,所以才会在核⼼判断部分出现如此多的调⽤，那这当然不能像上次⼀样改⼀步简单的跳转就解决问题，如果改得不对就会造成程序的崩溃。

OllyDebug工具的使用【摘要】OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。

同时还支持插件扩展功能，是目前最强大的调试工具。

【关键词】OLLYDBG 反汇编调试专用工具一、OllyDBG 的安装OllyDBG 2.01b版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行其中的OllyDBG.exe 就可以了。

汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可（如图1-1）。

在其文件夹中：Plugin目录为OllyDebug软件的插件的存放文档。

UDD 目录的作用是保存你调试的工作。

比如你调试一个软件，设置了断点，添加了注释，一次没做完，这时 OllyDBG 就会把你所做的工作保存到这个 UDD 目录，以便你下次调试时可以继续以前的工作。

如果不设置这个 UDD 目录，OllyDBG 默认是在其安装目录下保存这些后缀名为 udd 的文件，时间长了就会显的很乱，所以还是建议专门设置一个目录来保存这些文件。

图1-1（注：对于初学者本软件不需用额外进行设置，全部使用默认设置即可。

）二、OllyDBG的操作界面OllyDBG的操作界面主要如图1-2所示。

1 23 4图1-2整个操作界面分成四大部分：1.反汇编窗口：显示被调试程序的反汇编代码，具体的有：地址：本条汇编代码的内存地址。

HEX 数据：Intel HEX文件是记录文本行的ASCII文本文件，由十六进制数组成的机器码或者数据常量，Intel HEX文件经常被用于将程序或数据传输存储ROM、EPROM，大多数编程器和模拟器使用Intel HEX文件。

反汇编：由反汇编得到的代码。

注释2.寄存器窗口：显示当前所选线程的CPU 寄存器内容，可以实时查看所有寄存器的变化情况。

3.内存数据窗口：显示内存或文件的内容，并且可以用快捷键Ctrl+G方便的查看和修改内存中的任意位置的数据，就像是一个小型的“内存编辑器”。

Ollydbgx32dbgx64dbg贴⼼伴侣Version6.48使⽤详解Ollydbg/x32dbg/x64dbg贴⼼伴侣 Version 6.48使⽤详解和开发历程：2020.7.24号是个不幸的⽇⼦，我⼈⽣当中第⼀次体验到了⼼碎的感觉。

这天晚上，我正在继续忙着整理汇编破解总结资料时，我的⼀块希捷硬盘（2000G）突然间硬盘分区不显⽰了（实际上是两个分区）⾥边有⼤量⾃制的软件，破解资料总结，破解流程图，⼤⽩使⽤视频总结与思维导图，各种⽹上优秀的共享软件，各种视频学习笔记总结资料等。

有太多太多的回忆的东西和情感在⾥边，⼀下⼦全都没有了，那种撕⼼裂肺，那种希望⼀下⼦被磨灭了。

我⾟苦汉化的IDE for python也有其中，⽽我⾃编的《信⼿拈来按键帮你来》Delphi源码也在虚拟机⽂件中。

还好我最近⾃编的《Ollydbg/x32dbg/x64dbg贴⼼伴侣》不在其中，费了好⼤劲汉化的RegexBuddy不在⾥边。

DDMS汉化也没有了，⾟苦汉化的wind ide for python也没有了，开发了两年多的《信⼿拈来按键帮你来AHK》也没有了（⽽且程序的源码在VMDK虚拟机⾥。

还有太多太多的东西也没能幸免。

在⽹上创业是⾮常不容易的，尤其在中国。

我也在想，这些年都⼲了什么？对得起逝去的时间么？为什么没给硬盘多⼀份备份？为什么这东西突然就挂了？好容易最近编的软件，做的视频取得了⼀些⼩收⼊。

⼜有不幸传来，真是欲哭⽆泪啊。

所以眼下最重要的是把⼿⾥的这个《Ollydbg/x32dbg/x64dbg贴⼼伴侣》卖出去，好买块⼤硬盘（没有⼤硬盘的⽇⼦是极其悲催的，没有更多的地⽅下载，安装⼀个Delphi10.3原来的两块硬盘剩余空间就没有多少了）接下来还要攒⾜很多钱去维修这块硬盘。

因为这⾥边有很多有意义，费了⼤劲整理出来的资料。

《Ollydbg/x32dbg/x64dbg贴⼼伴侣》是⼀款汇编破解辅助⼯具，易在让逆向过程变得轻松简单，让x32dbg中⼤量的命令⾏变得简单化操作；同时也是部海量整理的汇编总结数据库。

OLLYDBG完全教程（一）一，什么是 OllyDbg？OllyDbg 是一种具有可视化界面的 32 位汇编-分析调试器。

它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题。

Version 1.10 是最终的发布版本。

这个工程已经停止，我不再继续支持这个软件了。

但不用担心：全新打造的 OllyDbg 2.00 不久就会面世！运行环境： OllyDbg 可以以在任何采用奔腾处理器的 Windows 95、98、ME、NT 或是 XP（未经完全测试）操作系统中工作，但我们强烈建议您采用300-MHz以上的奔腾处理器以达到最佳效果。

还有，OllyDbg 是极占内存的，因此如果您需要使用诸如追踪调试［Trace］之类的扩展功能话，建议您最好使用128MB以上的内存。

支持的处理器： OllyD的数据格式，但是不支持SSE2指令集。

bg 支持所有80x86、奔腾、MMX、3DNOW！、Athlon 扩展指令集、SSE指令集以及相关配置：有多达百余个（天呀！）选项用来设置 OllyDbg 的外观和运行。

数据格式： OllyDbg 的数据窗口能够显示的所有数据格式：HEX、ASCII、UNICODE、16/32位有/无符号/HEX整数、32/64/80位浮点数、地址、反汇编（MASM、IDEAL或是HLA）、PE文件头或线程数据块。

帮助：此文件中包含了关于理解和使用 OllyDbg 的必要的信息。

如果您还有Windows API 帮助文件的话（由于版权的问题 win32.hlp 没有包括在内），您可以将它挂在 OllyDbg 中，这样就可以快速获得系统函数的相关帮助。

启动：您可以采用命令行的形式指定可执行文件、也可以从菜单中选择，或直接拖放到OllyDbg中，或者重新启动上一个被调试程序，或是挂接［Attach］一个正在运行的程序。

OllyDbg支持即时调试。

OllyDbg根本不需要安装，可直接在软盘中运行！调试DLLs：您可以利用OllyDbg调试标准动态链接库 (DLLs)。

菜鸟脱壳之脱壳的基础知识：如何寻找OEP本文摘要这节我们来讲讲如何寻找一个程序的OEP，即Original Entry Point。

一些PE加壳程序在被加密的程序上面加了一个区段(有的壳也会合并区段)，当外壳代码执行完毕以后，会跳到程序的本身的代码来执行，所以我们可以依靠跨区段的转移指令来寻找程序的入口点。

这节我们来讲讲如何寻找一个程序的OEP，即Original Entry Point。

一些PE加壳程序在被加密的程序上面加了一个区段(有的壳也会合并区段)，当外壳代码执行完毕以后，会跳到程序的本身的代码来执行，所以我们可以依靠跨区段的转移指令来寻找程序的入口点。

我们来看看加壳之前的Delphi7.0的程序，用LordPE来打开Delphi7.0程序，我们看到程序的入口点是004C498：看区段，没有任何的新加的区块：我们来看看加了壳的程序的入口点，加过壳的入口点为000629D0：区段变为三个了，很明显，壳将原程序的区段给合并了：加了壳后，首先，各个区段都要被系统映射到内存中，因为现在的入口点是000629D0，是指向外壳部分的，外壳拿到了控制权以后，通过LoadLibrary、GetProcaddresss、GetModuleHandle等函数来获得自身所需要的API的地址，来解密各个区段的信息，填充好IAT后，就要跳到程序的OEP了(Entry Point)，此例是004C498，我们用Ollydbg载入，设置好各个选项（我是把暂停点停在了WinMain处了）。

Ollydbg暂停以后，加壳程序停在了004629D0处：004629D0 > 60 pushad //保存现场(pushad 相当于push 所有的寄存器)004629D1 BE 00F04300 mov esi, 0043F000 //把代码段放到esi寄存器004629D6 8DBE 0020FCFF lea edi, dword ptr [esi+FFFC2000] //得到基址004629DC C787 9CC00400 7>mov dword ptr [edi+4C09C], 46CD167B//将第一个函数的地址放到[edi+ 4C09C]004629E6 57 push edi //将基址压栈004629E7 83CD FF or ebp, FFFFFFFF //将0012FFC0与FFFFFFFF或004629EA EB 0E jmp short 004629FA004629EC 90 nop004629ED 90 nop004629EE 90 nop004629EF 90 nop004629F0 8A06 mov al, byte ptr [esi] //取出0043F004的一个字节004629F2 46 inc esi //指向下一个字节004629F3 8807 mov byte ptr [edi], al //从00401000开始，开始还原代码004629F5 47 inc edi //指向下一个地址004629F6 01DB add ebx, ebx //ebx + ebx，当ebx不等于零的时候跳转，下面的adc 如果为，就取出下一个地址，并放到ebx中004629F8 75 07 jnz short 00462A01004629FA 8B1E mov ebx, dword ptr [esi] //将0043F000放到ebx中004629FC 83EE FC sub esi, -4 //0043F000加4004629FF 11DB adc ebx, ebx //进位加法器00462A01 ^ 72 ED jb short 004629F0 // 向上跳转，ebx做为是否回跳的标志，循环处理代码00462A03 B8 01000000 mov eax, 1 // eax = 100462A08 01DB add ebx, ebx // ebx依然作为循环的标志00462A0A 75 07 jnz short 00462A1300462A0C 8B1E mov ebx, dword ptr [esi] //esi指向的地址放到ebx里面00462A0E 83EE FC sub esi, -4 //esi + 4 00462A11 11DB adc ebx, ebx//进位加法00462A13 11C0 adc eax, eax //进位加法00462A15 01DB add ebx, ebx //ebx + ebx 00462A17 73 0B jnb short 00462A2400462A19 75 28 jnz short 00462A43 //跳到下面00462A1B 8B1E mov ebx, dword ptr [esi] 00462A1D 83EE FC sub esi, -400462A20 11DB adc ebx, ebx00462A22 72 1F jb short 00462A4300462A24 48 dec eax00462A25 01DB add ebx, ebx00462A27 75 07 jnz short 00462A3000462A29 8B1E mov ebx, dword ptr [esi] 00462A2B 83EE FC sub esi, -400462A2E 11DB adc ebx, ebx00462A30 11C0 adc eax, eax00462A32 ^ EB D4 jmp short 00462A08 00462A34 01DB add ebx, ebx00462A36 75 07 jnz short 00462A3F00462A38 8B1E mov ebx, dword ptr [esi]00462A3A 83EE FC sub esi, -400462A3D 11DB adc ebx, ebx00462A3F 11C9 adc ecx, ecx00462A41 EB 52 jmp short 00462A95 00462A43 31C9 xor ecx, ecx // 清零ecx 00462A45 83E8 03 sub eax, 3 // eax - 3 00462A48 72 11 jb short 00462A5B 00462A4A C1E0 08 shl eax, 800462A4D 8A06 mov al, byte ptr [esi] 00462A4F 46 inc esi00462A50 83F0 FF xor eax, FFFFFFFF 00462A53 74 75 je short 00462ACA 00462A55 D1F8 sar eax, 100462A57 89C5 mov ebp, eax00462A59 EB 0B jmp short 00462A66 00462A5B 01DB add ebx, ebx00462A5D 75 07 jnz short 00462A66 00462A5F 8B1E mov ebx, dword ptr [esi] 00462A61 83EE FC sub esi, -400462A64 11DB adc ebx, ebx00462A66 ^ 72 CC jb short 00462A3400462A68 41 inc ecx00462A69 01DB add ebx, ebx00462A6B 75 07 jnz short 00462A74 00462A6D 8B1E mov ebx, dword ptr [esi] 00462A6F 83EE FC sub esi, -400462A72 11DB adc ebx, ebx00462A74 ^ 72 BE jb short 00462A34 00462A76 01DB add ebx, ebx00462A78 75 07 jnz short 00462A81 00462A7A 8B1E mov ebx, dword ptr [esi] 00462A7C 83EE FC sub esi, -400462A7F 11DB adc ebx, ebx00462A81 11C9 adc ecx, ecx00462A83 01DB add ebx, ebx00462A85 ^ 73 EF jnb short 00462A76 00462A87 75 09 jnz short 00462A92 00462A89 8B1E mov ebx, dword ptr [esi] 00462A8B 83EE FC sub esi, -400462A8E 11DB adc ebx, ebx00462A90 ^ 73 E4 jnb short 00462A76 00462A92 83C1 02 add ecx, 200462A95 81FD 00FBFFFF cmp ebp, -500 //迷惑指令00462A9B 83D1 02 adc ecx, 2// 进位加法00462A9E 8D142F lea edx, dword ptr [edi+ebp] // edi + ebp的地址装载到edx，即原来的代码段的地址00462AA1 83FD FC cmp ebp, -4 // 判断跳转标志，EBP小于等于-4就跳00462AA4 76 0E jbe short 00462AB400462AA6 8A02 mov al, byte ptr [edx] //取出代码段的一字节00462AA8 42 inc edx //指向下一个地址00462AA9 8807 mov byte ptr [edi], al //取出的代码放到edi里面00462AAB 47 inc edi //指向下一个代码00462AAC 49 dec ecx //计数器00462AAD ^ 75 F7 jnz short 00462AA6 //关于计数器(ecx)的跳转00462AAF ^ E9 42FFFFFF jmp 004629F6 //向上面跳，跳到add ebx，ebx00462AB4 8B02 mov eax, dword ptr [edx] // 处理输入表00462AB6 83C2 04 add edx, 4 // edx + 4，指向下一个地址00462AB9 8907 mov dword ptr [edi], eax //将代码放到edi00462ABB 83C7 04 add edi, 4// edi + 4，存放代码的地址00462ABE 83E9 04 sub ecx, 4//ecx - 400462AC1 ^ 77 F1 ja short 00462AB400462AC3 01CF add edi, ecx // edi + ecx，指向接收代码的地址的最后一个字节00462AC5 ^ E9 2CFFFFFF jmp 004629F6 //跳到add ebx，ebx00462ACA 5E pop esi00462ACB 89F7 mov edi, esi00462ACD B9 81260000 mov ecx, 268100462AD2 8A07 mov al, byte ptr [edi] //指向我们原来代码段的代码，取出到AL里面00462AD4 47 inc edi //指向下一个字节00462AD5 2C E8 sub al, 0E8 //处理CALL00462AD7 3C 01 cmp al, 1 //判断al是否大于100462AD9 ^ 77 F7 ja short 00462AD2 //循环，到下一个CALL的第一个字节为止00462ADB 803F 14 cmp byte ptr [edi], 1400462ADE ^ 75 F2 jnz short 00462AD200462AE0 8B07 mov eax, dword ptr [edi] //取出里面的地址，里面的地址是定位CALL 的绝对地址要用到的00462AE2 8A5F 04 mov bl, byte ptr [edi+4] //得到下条地址的开始字节放到AL里面，CALL绝对地址就是下条指令开始+刚才上面取出的那个数字00462AE5 66:C1E8 08 shr ax, 8 // ax右移8位00462AE9 C1C0 10 rol eax, 10 //eax算术左移8位00462AEC 86C4 xchg ah, al //交换内容00462AEE 29F8 sub eax, edi //eax - edi00462AF0 80EB E8 sub bl, 0E8 //再减去E800462AF3 01F0 add eax, esi //eax + esi，其中esi是代码段开始的地方00462AF5 8907 mov dword ptr [edi], eax //这里处理CALL的地址，算出CALL的偏移到EDI里面00462AF7 83C7 05 add edi, 5 //edi + 5，指向call的后面00462AFA 88D8 mov al, bl //bl的内容放到al中00462AFC ^ E2 D9 loopd short 00462AD7 //循环处理CALL，其中ecx作为计数器00462AFE 8DBE 00F00500 lea edi, dword ptr [esi+5F000] //代码段的起始地址+5F00000462B04 8B07 mov eax, dword ptr [edi] //现在EDI指向我们的代码的输入表00462B06 09C0 or eax, eax //eax 或eax ，判断eax是否为零00462B08 74 3C je short 00462B4600462B0A 8B5F 04 mov ebx, dword ptr [edi+4] //取得这个地址的数据放到ebx00462B0D 8D8430 AC2D0600 lea eax, dword ptr [eax+esi+62DAC] // 取得外壳段的KERNEL32.DLL的地址放eax00462B14 01F3 add ebx, esi //我们代码段的起始地址加上刚才取出的那个数据00462B16 50 push eax //kernel32.dll的地址00462B17 83C7 08 add edi, 8 //edi + 800462B1A FF96 4C2E0600 call dword ptr [esi+62E4C] //装载kernel32.dll00462B20 95 xchg eax, ebp //交换数据，即eax指向kernel32.dll的地址00462B21 8A07 mov al, byte ptr [edi] //取得现在的EDI的地址指向的数据放到AL 00462B23 47 inc edi //指向下一个函00462B24 08C0 or al, al //al 或al，判断al是否为零00462B26 ^ 74 DC je short 00462B0400462B28 89F9 mov ecx, edi //取出的函数的名字放到ecx里面00462B2A 57 push edi //函数名字压栈00462B2B 48 dec eax //eax - 100462B2C F2:AE repne scas byte ptr es:[edi]00462B2E 55 push ebp //kernel32.dll的基址00462B2F FF96 502E0600 call dword ptr [esi+62E50] //外壳的GetProcaddress00462B35 09C0 or eax, eax //eax或eax，得到函数的地址00462B37 74 07 je short 00462B4000462B39 8903 mov dword ptr [ebx], eax //处理输入表00462B3B 83C3 04 add ebx, 4 //ebx + 4，指向下一个输入表的地址00462B3E ^ EB E1 jmp short 00462B2100462B40 FF96 602E0600 call dword ptr [esi+62E60]00462B46 8BAE 542E0600 mov ebp, dword ptr [esi+62E54] //VirtualProtect的地址放到ebp00462B4C 8DBE 00F0FFFF lea edi, dword ptr [esi-1000] //指向PE头，即映像基址00462B52 BB 00100000 mov ebx, 1000 //把1000放到ebx，即ebx = 100000462B57 50 push eax00462B58 54 push esp00462B59 6A 04 push 400462B5B 53 push ebx00462B5C 57 push edi00462B5D FFD5 call ebp //改变属性00462B5F 8D87 1F020000 lea eax, dword ptr [edi+21F] //现在eax指向PE头中区段的偏移起始位置00462B65 8020 7F and byte ptr [eax], 7F //改写区段名字00462B68 8060 28 7F and byte ptr [eax+28], 7F //改写区块属性第一个区块的属性00462B6C 58 pop eax00462B6D 50 push eax00462B6E 54 push esp00462B6F 50 push eax00462B70 53 push ebx00462B71 57 push edi00462B72 FFD5 call ebp00462B74 58 pop eax00462B75 61 popad //恢复现场00462B76 8D4424 80 lea eax, dword ptr [esp-80]00462B7A 6A 00 push 000462B7C 39C4 cmp esp, eax00462B7E ^ 75 FA jnz short 00462B7A00462B80 83EC 80 sub esp, -8000462B83 ^ E9 109FFEFF jmp 0044CA98 //跨区段的转移，跳到OEP 00462B88 A0 2B4600B0 mov al, byte ptr [B000462B]00462B8D 2B46 00 sub eax, dword ptr [esi]00462B90 9C pushfdDelphi7.0的OEP：0044CA98 55 push ebp0044CA99 8BEC mov ebp, esp0044CA9B 83C4 F0 add esp, -100044CA9E B8 B8C84400 mov eax, 0044C8B80044CAA3 E8 2091FBFF call 00405BC80044CAA8 A1 B8DF4400 mov eax, dword ptr [44DFB8]0044CAAD 8B00 mov eax, dword ptr [eax]0044CAAF E8 9CE6FFFF call 0044B150这个方法很简单，就是从壳的开始一直跟踪，直到来到OEP，没有什么技巧！大家应该熟悉各个程序的OEP，并且熟练的掌握这种方法！。