建站
咨詢
售后
建站咨詢
新聞中心
在逆向分析中，調(diào)試工具可以說是非常重要的。調(diào)試器能夠跟蹤一個進(jìn)程的運(yùn)行時狀態(tài)，在逆向中稱為動態(tài)分析工具。動態(tài)調(diào)試會用在很多方面，比如漏洞的挖掘、游戲外掛的分析、軟件加密解密等方面。本文介紹應(yīng)用層下最流行的調(diào)試工具OllyDbg。
創(chuàng)新互聯(lián)建站自2013年起，公司自成立以來始終致力于為企業(yè)提供官網(wǎng)建設(shè)、移動互聯(lián)網(wǎng)業(yè)務(wù)開發(fā)（小程序設(shè)計、手機(jī)網(wǎng)站建設(shè)、app軟件定制開發(fā)等），并且包含互聯(lián)網(wǎng)基礎(chǔ)服務(wù)（域名、主機(jī)服務(wù)、企業(yè)郵箱、網(wǎng)絡(luò)營銷等）應(yīng)用服務(wù)；以先進(jìn)完善的建站體系及不斷開拓創(chuàng)新的精神理念，幫助企業(yè)客戶實(shí)現(xiàn)互聯(lián)網(wǎng)業(yè)務(wù)，嚴(yán)格把控項(xiàng)目進(jìn)度與質(zhì)量監(jiān)控加上過硬的技術(shù)實(shí)力獲得客戶的一致贊譽(yù)。
OllyDbg縮寫為OD，是由一款具有可視化界面的運(yùn)行在應(yīng)用層（或者R3）的一款32位的反匯編逆向調(diào)試分析工具。OD是所有做逆向分析者都離不開的工具。它的流行，究其原因，是操作簡單、參考文檔相當(dāng)豐富、支持插件功能。
1. OD的版本
OD的主流版本是1.10，但是它存在很多修改版。OD 雖然是動態(tài)調(diào)試工具，但是由于其強(qiáng)大的功能經(jīng)常被很多人用在軟件破解等方面，很多軟件作者的心血被付諸東流。軟件的作者為了防止軟件被OD調(diào)試，加入了很多防止OD進(jìn)行調(diào)試的反調(diào)試功能來保護(hù)自己的軟件不被破解；而破解者為了能夠繼續(xù)使用OD來破解軟件，則不得不對OD進(jìn)行修改，從而達(dá)到反反調(diào)試的效果。
調(diào)試、反調(diào)試、反反調(diào)試，對于新接觸調(diào)試的愛好者來說容易混淆。簡單來說，反調(diào)試是阻止使用OD進(jìn)行調(diào)試，而反反調(diào)試是突破反調(diào)試?yán)^續(xù)進(jìn)行調(diào)試。而OD的修改版本之所以很多，就是為了能夠更好地突破軟件的反調(diào)試。從OD存在著眾多的修改版本可以看出，軟件的保護(hù)與軟件的破解一直在進(jìn)行著“攻”和“防”的突破當(dāng)中。
因此，如果從學(xué)習(xí)的角度來講，建議選擇原版的OD進(jìn)行使用。在使用的過程中，除了會掌握很多調(diào)試的技巧，也會學(xué)到很多反調(diào)試的技巧，從而掌握反反調(diào)試的技巧。而如果在實(shí)際的應(yīng)用中，則可以直接使用修改版的OD，避免OD被軟件反調(diào)試，從而提高逆向調(diào)試分析的速度。
2. OD主界面
OD的發(fā)行是一個壓縮包，解壓即可運(yùn)行使用。運(yùn)行OD解壓目錄中的ollydbg.exe程序，會出現(xiàn)一個分布恰當(dāng)、有菜單有版面和能輸入命令的一個看似強(qiáng)大的軟件窗口，如圖1所示。
圖1 OD調(diào)試主界面
在圖1中，工作區(qū)可以分為6部分，從左往右、從上往下，這6部分分別是反匯編窗口、信息窗口、數(shù)據(jù)窗口、寄存器窗口、棧窗口和命令窗口。下面分別介紹各個窗口的用法。
反匯編窗口：該窗口用于顯示反匯編代碼，調(diào)試分析程序主要就是在這個窗口中進(jìn)行，這也是進(jìn)行調(diào)試分析的主要工作窗口。
信息窗口：該窗口用于顯示與反匯編窗口上下文相關(guān)的內(nèi)存或寄存器信息。
數(shù)據(jù)窗口：該窗口用于以多種格式顯示內(nèi)存中的內(nèi)容，可以使用的格式有Hex、文本、短型、長型、浮點(diǎn)和反匯編等。
寄存器窗口：該窗口用于顯示各個寄存器的內(nèi)容，包括前面介紹的通用寄存器、段寄存器、標(biāo)志寄存器、浮點(diǎn)寄存器，另外，還可以在寄存器窗口中的右鍵菜單選擇顯示MMX寄存器、3DNow!寄存器和調(diào)試寄存器。
棧窗口：該窗口用于顯示堆棧內(nèi)容，即ESP寄存器和EBP寄存器指向的地址部分。
命令窗口：該窗口用于輸入命令來簡化調(diào)試分析的工作，該窗口并非基本窗口，而是由OD的插件提供的功能，幾乎所有的OD使用者都會使用該控件，因此必須掌握該窗口的使用。
3. OD功能窗口
OD中的主窗口是OD眾多窗口中的一個，主要是用來顯示CPU相關(guān)內(nèi)容的窗口，主窗口也被稱為CPU窗口。除了CPU窗口外，OD還有功能非常多的其他窗口?？梢酝ㄟ^菜單欄的“查看(V)”項(xiàng)目打開這些窗口進(jìn)行使用，或者通過工具欄上的“窗口切換”工具來選擇使用不同的功能窗口。工具欄的“窗口切換”如圖2所示。
圖2 “窗口切換”選項(xiàng)工具欄
（1）“內(nèi)存”窗口
“內(nèi)存”窗口顯示了程序各個模塊節(jié)區(qū)在內(nèi)存中的地址，如圖3所示。
圖3 “內(nèi)存”窗口
在內(nèi)存窗口中，可以用鼠標(biāo)選中某個模塊的節(jié)區(qū)，然后按下F2鍵來下斷點(diǎn)。一旦代碼訪問到這個段，OD就會相應(yīng)斷點(diǎn)斷下。
（2）“調(diào)用堆棧”窗口
“調(diào)用堆?！庇脕盹@示當(dāng)前代碼所屬函數(shù)的調(diào)用關(guān)系。“調(diào)用堆?！贝翱谌鐖D4所示。
圖4 “調(diào)用堆棧”窗口
從圖4中第1行信息可以看出，當(dāng)前代碼所在的函數(shù)首地址是NOTEPAD模塊中的010040BA地址處，調(diào)用該函數(shù)的位置來自于NOTEPAD.010045CA，而NOTEPAD.010045CA函數(shù)所在的函數(shù)首地址需要從第3行中查看，該函數(shù)的首地址是NOTEPAD.01004565。其調(diào)用關(guān)系模擬如下：
- Func 01004565()
- {
- ……
- 010045CA: call 010040BA
- }
- Func 010040BA()
- {
- }
各個調(diào)用關(guān)系之間的Arg1、Arg2是由調(diào)用方函數(shù)傳遞給被調(diào)用方的函數(shù)參數(shù)。調(diào)用棧的結(jié)構(gòu)類似于棧的結(jié)構(gòu)，都是由高往低方向延伸。在調(diào)用棧窗口中越靠下的函數(shù)，其棧地址越高，函數(shù)之間的調(diào)用關(guān)系也是由下往上的。
（3）“斷點(diǎn)”窗口
“斷點(diǎn)”窗口顯示了設(shè)置的所有的軟斷點(diǎn)，如圖5所示。
圖5 “斷點(diǎn)”窗口
從圖5中可以看出，設(shè)定了3條軟斷點(diǎn)，設(shè)置斷點(diǎn)的地址從圖5的第1列可以查看。如果在API函數(shù)的首地址上設(shè)定斷點(diǎn)，那么在地址后會給出API函數(shù)的名稱。設(shè)置好的斷點(diǎn)如果不想使用，可以進(jìn)行刪除；如果暫時不想使用，則可以通過使用空格鍵來切換其是否激活的狀態(tài)。
4. 常用斷點(diǎn)的設(shè)置方法
在OD中，常用的設(shè)置斷點(diǎn)的方法有命令法、菜單法和快捷鍵法。無論通過哪種方法設(shè)置斷點(diǎn)，其實(shí)斷點(diǎn)的類型不外乎有3種，分別是INT3斷點(diǎn)、內(nèi)存斷點(diǎn)和硬件斷點(diǎn)。
（1）通過命令設(shè)置斷點(diǎn)
通過命令可以設(shè)置硬件斷點(diǎn)和INT3斷點(diǎn)。設(shè)置INT3斷點(diǎn)的方法較為簡單，直接在命令窗口輸入“bp斷點(diǎn)地址”或“bp API函數(shù)名稱”即可。設(shè)置好以后，可以通過斷點(diǎn)窗口查看設(shè)置好的斷點(diǎn)。
關(guān)于硬件斷點(diǎn)，這里介紹4條命令，具體如下。
① hr：硬件讀斷點(diǎn)，如hr 斷點(diǎn)地址。
② hw：硬件寫斷點(diǎn)，如hw 斷點(diǎn)地址。
③ he：硬件執(zhí)行斷點(diǎn)，如he 斷點(diǎn)地址。
④ hd：刪除硬件斷點(diǎn)，如hd 斷點(diǎn)地址。
硬件斷點(diǎn)最多只能設(shè)置4個，這是跟CPU相關(guān)的?？梢杂糜谠O(shè)置斷點(diǎn)的調(diào)試寄存器只有4個，分別是DR0、DR1、DR2和DR3。通過命令設(shè)置好硬件斷點(diǎn)后，可以在菜單的“調(diào)試(D)”項(xiàng)中打開“硬件斷點(diǎn)(H)”，查看設(shè)置好的硬件斷點(diǎn)，如圖6所示。
6 硬件斷點(diǎn)圖
（2）通過快捷鍵設(shè)置斷點(diǎn)
通過快捷鍵設(shè)置斷點(diǎn)的方法非常簡單，在需要設(shè)置斷點(diǎn)的代碼行處按下F2鍵即可設(shè)置一個INT3斷點(diǎn)，在設(shè)置好的INT3斷點(diǎn)處再次按下F2鍵即可取消設(shè)置好的斷點(diǎn)。
除了可以在代碼處通過F2鍵設(shè)置斷點(diǎn)外，還可以在內(nèi)存窗口中，在指定的節(jié)上按下F2鍵來設(shè)置斷點(diǎn)。這里設(shè)置的斷點(diǎn)是一次性斷點(diǎn)，即斷點(diǎn)被觸發(fā)后設(shè)置的斷點(diǎn)自動被刪除。
（3）通過菜單設(shè)置斷點(diǎn)
通過菜單設(shè)置斷點(diǎn)的方法比較簡單，如圖7所示。
圖7 通過菜單設(shè)置斷點(diǎn)
在菜單中可以看到設(shè)置內(nèi)存斷點(diǎn)的選項(xiàng)，分別是“內(nèi)存訪問”和“內(nèi)存寫入”。內(nèi)存斷點(diǎn)通常對數(shù)據(jù)部分設(shè)置斷點(diǎn)，如果要找到某塊內(nèi)存中數(shù)據(jù)是由哪塊代碼進(jìn)行處理的，通過設(shè)置內(nèi)存斷點(diǎn)可以很容易找到。
對于動態(tài)調(diào)試分析來說，合理設(shè)置斷點(diǎn)非常重要。在OD中，有很多設(shè)置斷點(diǎn)的方法和技巧，請大家在使用和學(xué)習(xí)的過程中慢慢學(xué)習(xí)和摸索。
5. OD調(diào)試快捷鍵
① F8鍵：單步步過，依次執(zhí)行每一條代碼，遇到CALL不進(jìn)入，遇到REP不重復(fù)。
② F7鍵：單步步入，依次執(zhí)行每一條代碼，遇到CALL則進(jìn)入，遇到REP則重復(fù)。
③ F4 鍵：執(zhí)行到功能的代碼處（前提條件是選中的代碼在程序的流程中一定會被執(zhí)行到）。
④ F9鍵：運(yùn)行程序，直到遇到斷點(diǎn)才停止。
⑤ Ctrl+F9組合鍵：返回調(diào)用處（在Win7及更高的版本的操作系統(tǒng)下，該快捷鍵失靈了）。
⑥ Alt+F9組合鍵：執(zhí)行到函數(shù)的結(jié)尾處。
本文標(biāo)題：網(wǎng)絡(luò)安全編程：逆向調(diào)試分析工具之OllyDbg
當(dāng)前鏈接：http://www.5511xx.com/article/cdojgip.html
