第7课 ollydbg使用之 初体验
--------------------------------------------------------
第七课 ollydbg使用之初体验
用ollydbg载入k4n.exe
如图：
几个最重要的快捷键（牢牢记住）：
F9――运行程序
F2――光条当前行设置和取消断点，类似开关灯的灯绳 仔细体会
F8――单步步进，遇到call不进入 相当于trw中的F10
F7――单步步进，遇到call进入 相当于trw中的F8
Ctrl＋f9――一个循环圈一个循环圈地走，粗跟踪 相当于trw中的F12
ALT＋F9――执行到用户代码空间，程序自己的地方 相当于trw中的pmodule
Ctrl＋F7或F8则表示上面F7、F8的操作变为自动化了
F12――暂停
光标停在反汇编窗口，点右键，进行如图的操作
定位以下光条 可能的注册成功提示信息
双击，来到下面
有个call 有个条件跳转 明显call为关键call ，调用lstrcmpA这个api函数进行比较
使光条停在40114E处，下断，按F2，变为红色，表明下断成功。
F9，运行程序
填入姓名fpxfpx 注册码54321
点注册钮，被断，看右下方的堆栈窗口 假码和真码正在摔跤哪！
Ok 破解完成 15774就是fpxfpx正确的注册码
由于真假码放在eax和edx中
看寄存器窗口 嘿嘿 有好戏看了
OD使用完全教程
OD使用完全教程.txt如果不懂就说出来，如果懂了，就笑笑别说出来。贪婪是最真实的贫穷，满足是最真实的财富。幽默就是一个人想哭的时候还有笑的兴致。OllyDbg调试工具使用完全教程
一，什么是 OllyDbg？
OllyDbg 是一种具有可视化界面的 32 位汇编-分析调试器。它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题。
Version 1.10 是最终的发布版本。 这个工程已经停止，我不再继续支持这个软件了。但不用担心：全新打造的 OllyDbg 2.00 不久就会面世！
运行环境： OllyDbg 可以以在任何采用奔腾处理器的 Windows 95、98、ME、NT 或是 XP（未经完全测试）操作系统中工作，但我们强烈建议您采用300-MHz以上的奔腾处理器以达到最佳效果。还有，OllyDbg 是极占内存的，因此如果您需要使用诸如追踪调试［Trace］之类的扩展功能话，建议您最好使用128MB以上的内存。
支持的处理器： OllyDbg 支持所有 80x86、奔腾、MMX、3DNOW！、Athlon 扩展指令集、SSE指令集以及相关的数据格式，但是不支持SSE2指令集。
配置： 有多达百余个（天呀！）选项用来设置 OllyDbg 的外观和运行。
数据格式： OllyDbg 的数据窗口能够显示的所有数据格式：HEX、ASCII、UNICODE、 16/32位有/无符号/HEX整数、32/64/80位浮点数、地址、反汇编（MASM、IDEAL或是HLA）、PE文件头或线程数据块。
帮助： 此文件中包含了关于理解和使用 OllyDbg 的必要的信息。如果您还有 Windows API
帮助文件的话（由于版权的问题 win32.hlp 没有包括在内），您可以将它挂在 OllyDbg 中，这样就可以快速获得系统函数的相关帮助。
启动： 您可以采用命令行的形式指定可执行文件、也可以从菜单中选择，或直接拖放到OllyDbg中，或者重新启动上一个被调试程序，或是挂接［Attach］一个正在运行的程序。OllyDbg支持即时调试。OllyDbg根本不需要安装，可直接在软盘中运行！
od教程
【原创】OllyDBG 入门系列（一）－认识OllyDBG
标 题: 【原创】OllyDBG 入门系列（一）－认识OllyDBG
作 者: CCDebuger
时 间: 2006-02-13,17:23
链 接: /showthread.php?t=21284
OllyDBG 入门系列（一）－认识OllyDBG
作者：CCDebuger
一、OllyDBG 的安装与配置
OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：
OllyDBG 中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标签可以切换注释显示的方式。
寄存器窗口：显示当前所选线程的 CPU 寄存器内容。同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。
信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。
启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的 选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：
因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。有人可能知道插件的作用，但对那个 UDD 目录不清楚。我这简单解释一下：这个 UDD 目录的作用是保存你调试的工作。比如你调试一个软件，设置了断点，添加了注释，一次没做完，这时 OllyDBG 就会把你所做的工作保存到这个 UDD 目录，以便你下次调试时可以继续以前的工作。如果不设置这个 UDD 目录，OllyDBG 默认是在其安装目录下保存这些后缀名为 udd 的文件，时间长了就会显的很乱，所以还是建议专门设置一个目录来保存这些文件。
OllyDBG破解工具入门教程
OllyDBG破解工具入门教程文章整理发布：黑客风云文章来源：更新时间：2007-2-6
一、OllyDBG的安装与配置
OllyDBG1.10版的发布版本是个ZIP压缩包，只要解压到一个目录下，运行OllyDBG.exe就
可以了。汉化版的发布版本是个RAR压缩包，同样只需解压到一个目录下运行OllyDBG.exe
即可：
OllyDBG中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考TT
小组翻译的中文帮助：
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX数据、反汇编、注释可以
通过在窗口中右击出现的菜单界面选项->隐藏标题或显示标题来进行切换是否显示。用鼠
标左键点击注释标签可以切换注释显示的方式。
寄存器窗口：显示当前所选线程的CPU寄存器内容。同样点击标签寄存器(FPU)可以切换
显示寄存器的方式。信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下OllyDBG
就可以生效了。
启动后我们要把插件及UDD的目录配置为绝对路径，点击菜单上的选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：
因为我这里是把OllyDBG解压在F:\OllyDBG目录下，所以相应的UDD目录及插件目录按
图上配置。还有一个常用到的标签就是上图后面那个字体，在这里你可以更改OllyDBG中显
示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确
定，弹出一个对话框，说我们更改了插件路径，要重新启动OllyDBG。在这个对话框上点确定，
重新启动一下OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存
了。有人可能知道插件的作用，但对那个UDD目录不清楚。我这简单解释一下：这个UDD目
使用OllyDbg快速脱壳
破解教程★★ 使用OllyDbg快速脱壳 ★★
使用OllyDbg快速脱壳
dOSKEY lEE
目标：采用ASPACK、UPX加壳的NOTEPAD.EXE
工具：OllyDbg 1.09英文版、DUMP插件、PEditor
系统：Win98SE
关键词： 脱壳、OllyDbg、OD、DUMP、PUSHAD、POPAD
预备知识
大多数壳都有一个共同的特点。在壳准备开始解压时都要执行PUSHAD，当壳解压
完时都要调用POPAD。到底PUSHAD和POPAD是什么干什么用的呢？其实PUSHAD是用来将
所有普通寄存器顺序进栈的指令，POPAD是所有普通寄存器顺序出栈指令。POPAD的出
栈顺序和PUSHAD相反。壳为了保护寄存器，便在解压前将所有寄存器进栈保护起来，
当解压完成后又将寄存器出栈，恢复其原貌，并将IP设置为原程序的OEP。这样我们就
可以通过这个特点快速脱掉多种软件的壳。
ASPACK篇
先用ASPACK将NOTEPAD.EXE加壳。用OllyDbg（以下简称OD）载入。看见光标停在
壳的入口处。
0040D001 > 60 PUSHAD ;壳的入口。准备开始解压，保护寄存器
0040D002 E8 03000000 CALL NOTEPAD.0040D00A
……
我们不管它，直接向下翻页找POPAD指令。在40D3AF处找到POPAD
……
0040D3AF 61 POPAD ;解压完成，恢复寄存器
OllyDBG完美教程
OllyDBG完美教程(超强入门级)
关键词：OD、OllyDBG、破解入门、调试专用工具、反汇编
一、OllyDBG 的安装与配置
OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：
OllyDBG 中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标签可以切换注释显示的方式。
寄存器窗口：显示当前所选线程的 CPU 寄存器内容。同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。
信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。
启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的 选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：
因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。有人可能知道插件的作用，但对那个 UDD 目录不清楚。我这简单解释一下：这个 UDD 目录的作用是保存你调试的工作。比如你调试一个软件，设置了断点，添加了注释，一次没做完，这时 OllyDBG 就会把你所做的工作保存到这个 UDD 目录，以便你下次调试时可以继续以前的工作。如果不设置这个 UDD 目录，OllyDBG 默认是在其安装目录下保存这些后缀名为 udd 的文件，时间长了就会显的很乱，所以还是建议专门设置一个目录来保存这些文件。
Ollydbg图解
Ollydbg强大的调试工具，简单的介绍一下，在以后的使用中再详细介绍每个功能是具体使用。如果不把常用到的软件先介绍一下，等使用的时候再介绍会很麻烦。所以前面的几篇文章就当作铺垫吧。虽然这几篇文章都很枯燥，但是有不能不提前介绍。前面的配置很简单，需要掌握。其余的窗口介绍，名词介绍，和后面的快捷键可以了解一下就算了，我们会在以后的实践当中慢慢去使用的。这篇文章主要是认识软件，了解快捷键，学会配置插件和UDD的绝对路径，学会添加到右键。
OllyDBG 的安装与配置
到OD的文件夹下面直接运行ollydbg.exe即可。
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标签可以切换注释显示的方式。 寄存器窗口：显示当前所选线程的 CPU 寄存器内容。同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。
信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
每个窗口以后都会用到。等具体使用的时候在具体讲解。
第一次使用OD首先要配置插件和UDD的目录为绝对路径，否则很多莫名其妙的错误会出现。
点击菜单上的 选项->界面，将会出来一个界面选项的对话框，点击其中的目录标签：
UDD 目录的作用是保存你调试的工作。比如你调试一个软件，设置了断点，添加了注释，一次没做完，这时 OllyDBG 就会把你所做的工作保存到这个 UDD 目录，以便你下次调试时可以继续以前的工作。如果不设置这个 UDD 目录，OllyDBG 默认是在其安装目录下保存这些后缀名为 udd 的文件，时间长了就会显的很乱，所以还是建议专门设置一个目录来保存这些文件。
另外一个重要的选项就是调试选项，可通过菜单 选项->调试设置 来配置：
ollydbg 句柄
1 / 2 ollydbg 句柄 OllyDbg是一个Windows平台上的调试器，用于分析和调试二进制程序。在编写或修改程序时，句柄（handle）是一个用于访问操作系统资源的引用，例如文件、内存、窗口等。在使用OllyDbg时，你可能会与句柄有关的操作和信息。 以下是一些与句柄相关的操作和信息，可能会在OllyDbg中遇到： 1. 句柄的分析： OllyDbg允许你分析程序在运行时如何使用句柄。你可以查看程序在打开、关闭、读取或写入句柄时的操作，了解程序如何与操作系统资源进行交互。 2. 查找句柄： OllyDbg可以帮助你在程序中查找特定类型的句柄。你可以搜索代码段或数据段，找到用于操作句柄的相关指令，以及句柄的使用情况。 3. 跟踪句柄的创建和释放： OllyDbg可以跟踪程序创建和释放句柄的过程，帮助你了解程序如何管理句柄资源。这对于检测资源泄漏和优化资源使用非常有帮助。 4. 修改句柄的值： 在调试过程中，你可以修改句柄的值，观察程序的行为如何变化。这可以帮助你理解程序如何依赖于不同的句柄值。 5. 窗口句柄： 如果程序涉及GUI窗口，你可以使用OllyDbg来查看和分析窗口句柄的使用情况。这对于理解程序的用户界面交互很有帮助。
2 / 2 需要注意的是，OllyDbg是一个强大的调试工具，可以在分析和调试过程中深入了解程序的内部运行情况，包括句柄的使用。然而，正确使用OllyDbg需要一定的经验和知识，特别是在处理低级编程概念和操作系统资源时。如果你不熟悉调试器的使用，建议在学习和使用之前查阅相关文档和教程。
OllyDbg的基本使用
OllyDbg的基本使⽤
注：内容整理⾃《逆向⼯程核⼼原理》，结合我的OllyDbg版本修改了⼀些内容
1. OllyDbg常⽤命令及其快捷键
指令快捷键含义RestartCtrl+F2重新开始调试Step IntoF7执⾏⼀句OP code，若遇到CALL，进⼊函数代码内部Step OverF8执⾏⼀句OP code，若遇到CALL，仅执⾏函数⾃⾝，不跟随进⼊RunF9运⾏（遇到断点时暂停） Execute till returnCtrl+F9 执⾏函数代码内的命令，直到遇到RETN命令，⽤于跳出函数体 Execute till cursorF4 执⾏到光标所在位置 Comment; 添加注释 User-defined comment⿏标右键菜单Search for-User defined comment查看⽤户输⼊的注释⽬录Label:添加标签User-defined label⿏标右键菜单Search for-User defined Label查看⽤户输⼊的标签⽬录BreakpointF2设置或取消断点All referenced textstrings⿏标右键菜单Search for-All referenced textstrings查看代码中引⽤的字符串All intermodular calls⿏标右键菜单Search for-All intermodular calls查看代码中调⽤的所有API函数Name in all modules⿏标右键菜单Search for-Name in all modules查看所有API函数Edit dataCtrl+E编辑数据Assemble空格键编写汇编代码Copy to executable file⿏标右键菜单Copy to executable file创建⽂本副本（修改的项⽬被保留）
2. 设置点的⽅法（这⾥我们假设⼤本营的地址为004010ED）
OllyDBG教程
1 OllyDBG教程
一、OllyDBG 的安装与配置
OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：
OllyDBG 中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标签可以切换注释显示的方式。
寄存器窗口：显示当前所选线程的 CPU 寄存器内容。同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。
信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。
启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的 选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：
2
因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD
目录及插件目录按图上配置。还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。在这个对话框上点确定，重新启动一下
OllyDBG破解入门
一、OllyDBG 的安装与配置
OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可
OllyDBG 中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助：
反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标签可以切换注释显示的方式。
寄存器窗口：显示当前所选线程的 CPU 寄存器内容。同样点击标签 寄存器 (FPU) 可以切换显示寄存器的方式。
信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。
数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。
堆栈窗口：显示当前线程的堆栈。
要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下 OllyDBG 就可以生效了。
启动后我们要把插件及 UDD 的目录配置为绝对路径，点击菜单上的 选项->界面，将会出来一个界面选项的对话框，我们点击其中的目录标签：
因为我这里是把 OllyDBG 解压在 F:\OllyDBG 目录下，所以相应的 UDD 目录及插件目录按图上配置。还有一个常用到的标签就是上图后面那个字体，在这里你可以更改 OllyDBG 中显示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确定，弹出一个对话框，说我们更改了插件路径，要重新启动 OllyDBG。在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面选项中看一下，会发现我们原先设置好的路径都已保存了。有人可能知道插件的作用，但对那个 UDD 目录不清楚。我这简单解释一下：这个 UDD 目录的作用是保存你调试的工作。比如你调试一个软件，设置了断点，添加了注释，一次没做完，这时 OllyDBG 就会把你所做的工作保存到这个 UDD