答案：菜单文件-------界面语言-----------英文&中文
Embest IDE 当前版本中，断点设置为“自动“，即：不需要用户指定硬件断点/软件断点，IDE根据当前断点的位置（Flash/RAM）自动判断。 JTAG方式下，不论软件断点，还是硬件断点，都需要目标CPU的硬件支持，实现方式基本相同。 ARM7/9内部硬件设计，最多支持两个硬件断点。这与调试器无关。 Ollydbg是一个新的32位的汇编层调试软件。适应于windows98、me、2000、xp和2003 *** 作 系统。由于他具有图形窗口界面，所以 *** 作方便、直观，是cracker的好工具。 由于Ollydbg没有了TRW2000的万能断点，所以许多的新手感觉到用Ollydbg断点不好找。现 在我来的说说Ollydbg下中断的几种方法。本人是个菜鸟，水平有限，可能不能完整的写出 来，也可能存在错误。请大家指正。 我所表述的是Ollydbg v1.09d中文版，其他版本和英文版下自己参考。 第一 寻常断点 Ollydbg中一般下中断的方法，就是在程序的地址处用鼠标选择这一行。然后按F2键，这时 被选择的那一行的地址会变成别的颜色，就表示这个地址处下了中断。然后运行程序时只 有到这个地址处就会被Ollydbg中断。 这个方法用的比较多，所以把他称作寻常断点。 如果有命令行插件，就可以在命令窗口中输入BPX xxxxxxxx 下断点。 优点：只要自己怀疑是重要的代码处都可以下这种下断点，不受条件的限制，所以方便实 用。 缺点：如果不知道代码功能下断点具有盲目性。 第二 API断点 Ollydbg中一般下API中断的方法，有二种。 1. 在代码窗口中点鼠标右键，出现功能菜单。在[搜索]选择项下有〔当前模块的名称〕 和〔全部模块的名称〕俩项，选择其中的一项就打开了程序调用API的窗口，在这个窗口中 选择你要跟踪的API函数名。双击这个函数就能到程序的调用地址处。然后用F2下中断。也 可以在API窗口中选择需要跟踪的函数点鼠标右键出现功能菜单，选择〔在每个参考设置断 点〕。同样下了断点。 快捷方式：Ctrl+N 2. 在命令行窗口中输入BPX API函数名或者BP API函数名 后回车。这时出现了所有调 用这个函数的地址的窗口，在这个窗口中可以看到调用这个API函数的地址已改变了颜色。 说明下好了断点。 说明一下：BPX一般中断在程序调用API的地址处。BP会中断在API的写入地址处。二这有所 不同，根据需要选择。 优点：这种方法下的断点是针对每一个API函数的，所以具有明确的目的。 缺点：关键的API函数不容易找到。所以有时下的断点没有作用。 第三 内存断点（跟踪关键数据的断点） Ollydbg中的内存断点相当于TRW中的bpm 断点。 下断点的方法是：在程序运行中断时选择界面中的转存窗口，用光标选择内存中的一段关 键数据（颜色会改变），然后右击鼠标出现功能菜单。选择〔断点〕项，其中有二个选择 〔内存访问〕和〔内存写入〕。 〔内存访问〕断点是程序运行时要调用被选择的内存数据时就会被Ollydbg中断，根据这个 特点在破解跟踪时只要在关键数据内存中下中断就可以知道程序在什么地方和什么时候用 到了跟踪的数据。对于一些复杂算法和流程变态的算法跟踪有很大的帮助。从破解上讲， 一个注册码的生成一定是由一些关键数据或者原始数据计算来的。所以在内存中一定要用 到这些关键数据。那么〔内存访问〕断点就是最好的中断方法。 〔内存写入〕断点是程序运行时向被选择的内存地址写入数据时就会被Ollydbg中断。根据 这个特点在破解时可以跟踪一个关键数据是什么时候生成的，生成的代码段在那个地方。 所以一个关键的数据如果不知道他的由来就可以用〔内存访问〕断点查找计算的核心。 内存中断的下断点还有另外的一种方法：程序运行时如果知道关键的数据，比如我们输入 的试验码、程序生成的序列号等。这时在内存中一定存在这些数据。用Alt+M打开内存窗口 ，在这个窗口中搜索知道的关键数据。用光标选择这些数据同样下内存中断，这种方法更 容易找的关键的数据。 优点：断点是直接面向关键数据的，所以比较容易到核心部分。 缺点：内存断点重新运行后会消失，干扰比较多。 第四 硬件断点（跟踪关键标志的断点） 硬件断点是Olldbg所特有的断点，他不会因为重新运行就销毁，只要不删除。跟踪这个程 序时就有效。但他在98系统下会不起作用。 硬件断点是根据关键标志回逆到关键代码的好方法。下中断的方法和内存断点的方法相同 ，有三个方式〔硬件访问〕、〔硬件写入〕、〔硬件执行〕。一般用前2个。他也同样有内 存断点的特性，所以可以用内存断点的地方也可以用硬件断点。这里介绍利用他来跟踪注 册标志的使用方法，一般软件的注册都用到了标志比较。即在内存地址中有一个标志，在 判断是不是注册时比较标志的值。不同的值表示不同的注册状态。这个标志的地址一般比 较固定。根据这个特点可以下硬件断点来跟踪标志位是什么地方被标志的。 方法：在转存窗口中选择到标志存放的内存地址处，然后选择标志值。下〔硬件写入〕中 断（根据标志的字节下不同的长度）。重新运行程序你会发现Ollydbg会不断的中断在这个 标志的内存地址处。在功能菜单的〔调试〕选项下选择〔硬件断点〕就打开了硬件断点的 窗口，在这个窗口中选择〔跟踪〕，这时转存窗口就会来到被下中断的内存地址处。运行 程序跟踪内存地址中的值就会知道被赋标志的代码，跟踪到计算的核心。〔硬件访问〕的 使用可以知道程序在运行时多少地方用到了这个注册标志。对于破解复杂效验的程序十分 的有效。 直接在命令栏里下bh ****硬件断点最简单的方法是启动OllyDbg，点击File|Open，然后选择你想调试的程序。程序需要命令行参数输入对话框下方的文本栏。重新开始调试最后一个程序的快捷键是Ctrl+F2，并且OllyDbg使用相同的参数。
你也可以点选历史记录。把程序拖入OllyDbg也可以开始调试。
当然，当启动OllyDbg时，你在命令行中也能指定被调试的程序名和参数。比如：
你可以创建桌面快捷方式指向OllyDbg，选择属性，到快捷方式，把程序名加入目
标栏。每次你双击这个快捷图标，OllyDbg自动装载被调试程序。
你可以attach OllyDbg到某个正在运行的进程。点击File|Attach，从列表中选择
该进程。注意：当你关闭OllyDbg，这个进程也会终止。不要试图attach系统进程
，这很可能使系统完全死机。（事实上，大多数情况下，OS不允许attach敏感进
程）
OllyDbg能作为just-in-time debugger。这需要在注册表中登记。点击
Options|Just-in-time debugging，在对话框中按“Make OllyDbg just-in-time
debugger”。现在，当一些程序崩溃，你会被询问是否调试它。这样， *** 作系统
可以启动OllyDbg并直接停在异常发生处。如果你选择attaching without
confirmation，OllyDbg不会询问直接启动。要恢复原来的just-in-time
debugger，在出现的对话框中按相应的按纽就行了。
其它方法还有，把OllyDbg加入可执行文件的d出式菜单。点击Options|Add to
Explorer，按“Add OllyDbg to menu in Windows Explorer”。以后你可以右击
可执行文件点选OllyDbg。这个选项创建注册表键
HKEY_CLASSES_ROOT/exefile/shell/Open with OllyDbg and
HKEY_CLASSES_ROOT/exefile/shell/Open with OllyDbg/command
OllyDbg可以调试控制台（基于文本）程序。
注意：WindowsNT或Windows2000下，你必须有管理员权限
OllyDbg的help-通用快捷键（翻译）
Golbal shortcuts（通用快捷键）
这些快捷键在OllyDbg中通用，不依赖于当前活动窗口。
Ctrl+F2---OllyDbg重置，重新开始调试。如果没有活动程序，OllyDbg装入历史列表中的第一个程序。OllyDbg重置会释放内存移除硬断点。
Alt+F2－－关闭被调试的程序。如果程序还在活动状态，你会被询问是否执行该 *** 作。
F3－－显示“Open 32-bit .exe file”对话框，这里可以选择可执行文件和指定参数
Alt+F5－－使OllyDbg显示在屏幕最前方。如果被调试程序中断时显示窗口遮住OllyDbg的一些区域，不继续运行又不能移动或最小化它。激活OllyDbg按Alt+F5可以解决。如果你再次按Alt+F5，OllyDbg会恢复为普通窗口。OllyDbg的当前状态显示在状态栏。
F7－－step into，执行下一条简单命令。如果该命令是一个函数调用，进入调用函数内部。如果命令有REP前缀，执行该命令的一步 *** 作。
Shift+F7－－与F7相同，除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。
Ctrl＋F7－－animate into，一步一步执行程序，也进入函数调用（就象你一直按着F7，不过更快）。当你执行一些单步或继续命令，程序到达有效断点，一些异常发生时，Animation终止。每步执行，OllyDbg重画所有窗口。要加速animation，关闭所有窗口而不要只改变现有窗口的大小。终止animation，也可按Esc。
F8－step over，执行下一条简单命令。如果该命令是一个函数调用，立刻执行完该函数（除非函数内部有断点或产生异常）如果命令有REP前缀，执行所有重复 *** 作，并停于下一条命令。
Shift+F8－－与F8相同，除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。
Ctrl+F8－－animate over，一步一步执行程序，但不进入函数调用（就象你一直按着F8，不过更快）。当你执行一些单步或继续命令，程序Animation到达有效断点或异常发生时，Animation终止。每步执行，OllyDbg重画所有窗口。要加速animation，关闭所有窗口而不要只改变现有窗口的大小。终止animation也可按Esc。
F9－－继续执行程序。
Shift+F9－－与F9相同。除了当被调试程序遇到某些异常时，首先尝试调用程序自己的异常处理过程。
Ctrl+F11－－run trace into，一步一步执行程序，要进入函数调用，记录寄存器内容。Run trace 不重绘CPU窗口.
F12-悬挂所有线程以停止程序执行。最好用继续键和菜单命令（像F9）恢复执行线程，而不要用其它手动方法恢复。
Ctrl+F12－－run trace over，一步一步执行程序，不进入函数调用，记录寄存器内容。Run trace不重绘CPU窗口。
ESC－－如果animation或跟踪正在进行，将被终止。如果CPU窗口显示跟踪时的数据，此时转为显示实际数据。
Alt+B－－打开或恢复Breakpoint窗口。这里可以编辑，删除和观察断点。
Alt+C－－打开或恢复CPU窗口。
Alt+E－－打开或恢复模块列表
Alt+E－－打开或恢复Call stack窗口。
Alt+L－－打开或恢复Log窗口。
Alt+M－－打开或恢复Memory窗口。
Alt+O－－打开Option对话框
Ctrl+P－－打开Patch窗口。
Ctrl+T－－打开Pause run trace对话框
Alt＋X－中断OllyDbg。
多数窗口可以使用下列快捷键：
Alt+F3－－关闭活动窗口。
Ctrl+F4－－关闭活动窗口。
F5－－最大化或恢复活动窗口。
F6－－激活下一个窗口。
Shift+F6－－激活前一个窗口。
F10－－打开激活窗口或面板的右键菜单。
LeftArrow－－左移一个字符。
Ctrl+LeftArrow－－左移一行。
RightArrow－－右移一个字符。
Ctrl+RightArrow－－右移一行。
OllyDbg的help－分析模块介绍（翻译）
分析
OllyDbg集成了快速超强的代码分析器。装载它，可以用d出式菜单或者CPU窗口
的反汇编栏按Ctrl+A或者在执行模块选“Analyze all modules”。
分析器非常有用。它在数据中分辨代码，标记入口点和jump的目标，辨认switch
tables，ASCII和UNICODE字符串，定位过程、循环、高级switch语句和解码标准
API函数参数（看范例）。OllyDbg的其它部分也广泛用于数据分析。
这怎么可能呢？我稍微介绍一下原理。首先，OllyDbg反汇编代码区所有可能的地
址，记下所有发现的调用及指向的目标。当然，许多这样的调用不正确，但是未
必会有两个错误的调用指向同一条命令，并且三个或三个以上更不可能。这样，
三个或更多调用指向同一地址，我就确信该地址是经常使用的子过程入口。从这
个入口开始，我跟踪所有的跳转和调用，反复 *** 作。这种方法使我99.9％确定所
有命令。然而，某些字节不在这条链中，我采用大约20个更高效的方法（最简单
的如：“MOV [RA],Ra"是无效命令).
过程检测也简单。过程，从分析器的角度看，就是从入口开始的代码的连续区域
，（理论上）可以到达其它命令（除NOP或对齐填充外）。你可以指定三种识别级
。Strict级严格确认一个入口和至少一个出口。heuristical级，分析器尝试确认
入口。如果你选择fuzzy级，或多或少相容的代码区被分离为过程。现代编译器把
过程分成几个部分作公用代码优化。这种情况下，fuzzy级特别有用！然而，误解
的概率也相当高。
类似的，loop是一个封闭的连续命令序列，这里最后的命令跳到开头、一个入口
几个出口。Loop相当于高级 *** 作语言中的do,while和for。OllyDbg能认识任何复
杂的嵌套循环。在反汇编区，他们用长长的大括号标记。如果入口不是循环的第
一条命令，OllyDbg用个小三角形作标记。
实现switch语句，多数编译器把switch变量装入寄存器，然后减去一部分，像下
面代码序列一样：
MOV EDX,<switch variable>
SUB EDX,100
JB DEFAULTCASE
JE CASE100 Case 100
DEC EDX
JNE DEFAULTCASE
... Case 101
这些序列也可能包含一级或两级switch表，直接比较，优化，填充等等。如果你
深入研究比较和跳转树，很难说哪一条命令是某个case语句。OllyDbg为你代劳。
它标记所有的case语句，包括default，甚至尝试猜测case的意思，如'A',
WM_PAINT 或者 EXCEPTION_ACCESS_VIOLATION。如果命令序列不修改寄存器（只
由比较命令构成），那么不大可能是switch语句，但可能是if嵌套：
if (i==0) {...}
else if (i==5) {...}
else if (i==10) {...}
让OllyDbg解码if嵌套为switch，选择Analysis1中相应的选项。
OllyDbg预置超过1900个常用API函数的描述。包括KERNEL32, GDI32, USER32,
ADVAPI32, COMDLG32, SHELL32, VERSION, SHLWAPI, COMCTL32, WINSOCK,
WS2_32 和 MSVCRT。你也可以加入自己的描述。如果分析器遇到已知函数名的调
用（或跳转到该函数），它尝试解码调用跟前的PUSH命令。因此，你可以粗略翻
译该调用的功能。OllyDbg也内置大约400个标准C函数的描述。如果你利用新库，
我建议你分析前先扫描对象文件。这种情况下，OllyDbg也会解码已知的C函数参
数。
如果选项“Guess number of arguments of unknown functions”被设置，分析
器尝试确认调用过程进栈的双字数目，并标记他们为参数Arg1,Arg2等等。注意：
如果有寄存器参数，OllyDbg还是不认识也不包括在上面的统计中。分析器采用了
一个安全的方法。例如，它不分辨无参数过程和返回前用POP恢复寄存器代替舍弃
参数的case语句。然而，能分辨出的函数数目相当多，并非常有助于提高代码的
可读性。
分析器能跟踪寄存器的值。现代优化编译器，特别是面向Pentium的，经常把常量
和地址装入寄存器便于重复使用或减小内存占用空间。如果一些常量装入寄存器
，分析器会注意它，并用于解码函数及其参数。还能执行简单的算术计算跟踪
push和pop命令。
分析器不能区别不同类型的名字。如果你用已有的名字命名一些函数，OllyDbg会
解码所有该地址的调用为原过程。WinMain，DllEntryPoint和WinProc是特殊的预
定义名。你可以使用这些标号标记主程序入口，DLL入口指针和window过程（注意
：OllyDbg不会检查用户定义标号的唯一性）。当然，最好的方法是显示已定义的
参数。
非常不幸，没有一般的规则用于100％的准确分析。有些情况下，例如当模块包含
p-代码或者代码区嵌入大量数据，分析器可能认为部分数据是代码。如果统计分
析显示代码可能被打包或加密，分析器会警告你。如果你想用hit跟踪方式，我建
议你不要用fuzzy分析方式，否则断点被设置在被误认为代码的数据上的几率很高。
自解压文件通常在主体代码外有解压代码。如果你选择SFX选项“Extend code
section to include self-extractor”，OllyDbg会扩大代码区，形式上允许分
析它并跟踪。
OllDbg的一般原理（翻译）部分
我希望你熟悉80x86兼容CPU的内部结构，并且有汇编写程序的经历。我也希望你
熟悉Microsoft Windows.
OllyDbg是一个单进程多线程的“机器代码级”debugger，用于Windows环境下的32位程序。它允许你debug和patch PE格式的可执行程序。OllDbg仅仅使用列入文档的Win32 API调用，所以可用于下一代32位Windows系统。OllDbg看来也可工作于Windows XP，但是我没有详尽的测试，因此不能保证功能完整。
OllyDbg不是面向编译器。它不含特别的规则显示某些情况下特定的编译程序生成哪些代码序列。因此，你可以一样对待任何编译器编译的，或者汇编书写的任何代码。
OllyDbg与被调试的程序同时工作。你可以浏览代码和数据、设置断点、停止或继续线程，甚至运行期修改内存（有时这叫作软调试方式）。当然，如果被请求的 *** 作不是最基本的，OllyDbg就会短时暂停程序，但这对用户透明。有时不在调试状态运行的程序会意外崩溃。OllyDbg，这个“及时”debugger，会指出异常发生的位置。
OllyDbg强烈面向模块。模块这里指启动时加载的或动态加载的主执行文件或动态连接库。在调试区，你可以设置断点，定义新标号和注释汇编语句。当一些模块从内存卸载后，OllyDbg保存这些信息到扩展名为.UDD名字同被调试模块的文件中。下次当装载这些模块时，OllyDbg自动复原所有调试信息，不论程序是否使用这些模块。比如：你调试使用Mydll的程序Myprog1，并且在Mydll中设置一些断点。那么当你调试Myprog2时，也使用Mydll，你会发现所有在Mydll中的断点还在那里，不管Mydll是否装载在不同的位置。
一些调试器把被调试进程的内存视为单个2**32字节区域。OllyDbg做了别的处理方法。内存由几个独立的块组成。任何内存 *** 作都限制于块内。在大多数案例中，这工作优良并且容易调试。但是模块包含几个执行部分等等，你将不能立刻看到整个代码。然而这些例外不常见。
OllyDbg是内存消耗大户。启动时就要分配3MB内存，甚至更多。每次分析，备份，跟踪或文件转储另外再分配。所以当你调试大工程时消耗40或60M内存很正常。
要有效的调试一些无源代码的程序，你首先必须理解它是如何工作的。OllyDbg提供了大量的手段使理解更容易
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）