OllyDBG

OllyDBG中文版是一款专业优秀的od反汇编工具。OllyDBG官方版功能强大，支持多线程进行处理，可以用更短的时间去完成任务处理，极大程度提升了效率。OllyDBG软件还内置了脱壳脚本和各种插件，用户可以自定义标签、注释和功能描述，适用于很多程序的编译操作。

OllyDBG使用说明

      一、基础知识

      1.1、基础使用

      该软件是Windows平台下Ring3级的程序调试利器。程序调试有静态调试和动态调试两种。静态调试是指将程序源代码编译成可执行程序之前，用手工或编译程序等方法对程序源代码进行测试，来查找和修正程序中的语法错误和逻辑错误。动态调试则是在可执行程序的运行过程中，来查找和修正程序中的语法错误和逻辑错误。随着系统安全与逆向工程的不断发展，程序调试已经成为信息安全爱好者所必备的一种技术。OD结合了静态调试和动态调试的方法，功能强大，已经成为了Windows平台下普通应用程序的调试利器。

      1.2、PE文件

      PE文件的全称是Portable Executable，意为可移植的可执行的文件，常见的EXE、DLL、OCX、SYS、COM都是PE文件

      1.3、寄存器

      EAX 是”累加器”(accumulator), 它是很多加法乘法指令的缺省寄存器。

      EBX 是”基地址”(base)寄存器, 在内存寻址时存放基地址。

      ECX 是计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器。

      EDX 则总是被用来放整数除法产生的余数。

      ESI/EDI分别叫做”源/目标索引寄存器”(source/destination index),因为在很多字符串操作指令中, DS:ESI指向源串,而ES:EDI指向目标串。

      EBP是”基址指针”(BASE POINTER), 它最经常被用作高级语言函数调用的”框架指针”(frame pointer)。

      二、OD的各个窗口

      2.1、反汇编窗口

      2.2、信息窗口

      2.3、数据窗口

      用于显示内存或文件的内容。可以从以下预处理格式中选择一种显示方式：字节[byte]、文本[text]、整数[integer]、浮点数[float]、地址[address],反汇编[disassembly]、PE头[PE Header]。

      2.4、寄存器窗口

      用于显示和解释当前所选线程的CPU寄存器中的内容。该窗口同样允许修改寄存器，并可以跟进地址到其它CPU窗口。

      2.5、堆栈窗口

      用于显示当前线程的堆栈。当被调试程序暂停运行时，堆栈窗口一般会自动滚动将当前ESP指向的地址放在窗口的第一条。并且这个地址被高亮显示。在某些情况下禁止滚动会更方便一些，可以通过在堆栈窗口右键单击[锁定堆栈]来禁止堆栈自动滚动。

      2.6、其他窗口

      L -> 日志窗口

      E -> 显示程序运行使用的模块

      M -> 显示我们程序映射到内存的信息

      T -> 显示程序的线程窗口

      W -> Windows显示程序窗口

      H -> 句柄窗口

      C -> 回到主窗口，CPU窗口

      P -> 如果程序经过了修改，这里显示修改的信息

      K -> 显示调用堆栈的窗口信息

      B -> 显示程序普通断点的列表窗口

      R -> Reference 参考窗口，显示我们在软件中搜索的结果。

      … -> 显示 RUN TRACE(RUN 跟踪)命令的结果

OllyDBG软件功能

      1、多语言图形用户界面

      2、支持AVS指令

      3、调用堆栈窗口

      4、SEH和VEH链条

      5、多字节字符转储

      6、在转储中搜索整数和浮点数

      7、使用int1、hlt、cli、sti或insb而不是int3的软件断点

      8、对ntfs流的有限支持

      9、支持重复计数

      10、立即数据语句的汇编(db xx等)

      11、突出显示运行中跟踪

      12、更复杂的代码序列

      13、显示可用内存。

OllyDBG软件特色

      配置：有多达百余个选项用来设置 OllyDbg 的外观和运行。

      完全支持Unicode：几乎所有支持 ASCⅡ 的操作同时也支持 UNICODE，反之亦然。

      调试DLLs：您可以利用OllyDbg调试标准动态链接库(DLLs)。OllyDbg 会自动运行一个可执行程序。这个程序会加载链接库，并允许您调用链接库的输出函数。

      源码级调试：OllyDbg 可以识别所有 Borland 和 Microsoft 格式的调试信息。这些信息包括源代码、函数名、标签、全局变量、静态变量。有限度的支持动态(栈)变量和结构。

      数据格式：OllyDbg 的数据窗口能够显示的所有数据格式：HEX、ASCII、UNICODE、 16/32位有/无符号/HEX整数、32/64/80位浮点数、地址、反汇编(MASM、IDEAL或是HLA)、PE文件头或线程数据块。

      启动：您可以采用命令行的形式指定可执行文件、也可以从菜单中选择，或直接拖放到OllyDbg中，或者重新启动上一个被调试程序，或是挂接[Attach]一个正在运行的程序。OllyDbg支持即时调试。OllyDbg根本不需要安装，可直接在软盘中运行。

OllyDBG更新日志

      1.修复部分bug

      2.优化了部分功能