ollyice是一款Windows平臺(tái)下知名的反匯編軟件，目前已經(jīng)代替SoftICE成為當(dāng)今最為流行的調(diào)試解密工具之一，同時(shí)，ollyice還支持插件擴(kuò)展功能，最擅長(zhǎng)分析函數(shù)過程、循環(huán)語(yǔ)句、選擇語(yǔ)句、表、常量、代碼中的字符串、欺騙性指令、API調(diào)用、函數(shù)中參數(shù)的數(shù)目和import表等等，這些分析增加了二進(jìn)制代碼的可讀性，減少了出錯(cuò)的可能性，使得我們的調(diào)試工作更加容易。需要的朋友們可以下載試試！

需要說(shuō)明的是，由于OllyDBG 1.1官方以不再更新，故一些愛好者對(duì)OllyDBG修改，以新增一些功能或修正一些bug，OllyICE就是其中的一個(gè)修改版，取名OllyICE只是便于區(qū)分，其實(shí)質(zhì)還是OllyDBG,本站為大家提供的就是ollyice v1.10綠色中文版，軟件已經(jīng)綠色漢化，確保無(wú)毒，對(duì)中文的支持比較好。

一、OllyDBG 的安裝與配置

 OllyDBG 1.10 版的發(fā)布版本是個(gè) ZIP 壓縮包，只要解壓到一個(gè)目錄下，運(yùn)行 OllyDBG.exe 就可以了。漢化版的發(fā)布版本是個(gè) RAR 壓縮包，同樣只需解壓到一個(gè)目錄下運(yùn)行 OllyDBG.exe 即可：

OllyDBG 中各個(gè)窗口的功能如上圖。簡(jiǎn)單解釋一下各個(gè)窗口的功能，更詳細(xì)的內(nèi)容可以參考 TT 小組翻譯的中文幫助：

反匯編窗口：顯示被調(diào)試程序的反匯編代碼，標(biāo)題欄上的地址、HEX 數(shù)據(jù)、反匯編、注釋可以通過在窗口中右擊出現(xiàn)的菜單 界面選項(xiàng)->隱藏標(biāo)題 或 顯示標(biāo)題 來(lái)進(jìn)行切換是否顯示。用鼠標(biāo)左鍵點(diǎn)擊注釋標(biāo)簽可以切換注釋顯示的方式。

寄存器窗口：顯示當(dāng)前所選線程的 CPU 寄存器內(nèi)容。同樣點(diǎn)擊標(biāo)簽 寄存器 (FPU) 可以切換顯示寄存器的方式。

信息窗口：顯示反匯編窗口中選中的第一個(gè)命令的參數(shù)及一些跳轉(zhuǎn)目標(biāo)地址、字串等。

數(shù)據(jù)窗口：顯示內(nèi)存或文件的內(nèi)容。右鍵菜單可用于切換顯示方式。

堆棧窗口：顯示當(dāng)前線程的堆棧。

要調(diào)整上面各個(gè)窗口的大小的話，只需左鍵按住邊框拖動(dòng)，等調(diào)整好了，重新啟動(dòng)一下 OllyDBG 就可以生效了。

啟動(dòng)后我們要把插件及 UDD 的目錄配置為絕對(duì)路徑，點(diǎn)擊菜單上的 選項(xiàng)->界面，將會(huì)出來(lái)一個(gè)界面選項(xiàng)的對(duì)話框，我們點(diǎn)擊其中的目錄標(biāo)簽：

因?yàn)槲疫@里是把 OllyDBG 解壓在 F:\OllyDBG 目錄下，所以相應(yīng)的 UDD 目錄及插件目錄按圖上配置。還有一個(gè)常用到的標(biāo)簽就是上圖后面那個(gè)字體，在這里你可以更改 OllyDBG 中顯示的字體。上圖中其它的選項(xiàng)可以保留為默認(rèn)，若有需要也可以自己修改。修改完以后點(diǎn)擊確定，彈出一個(gè)對(duì)話框，說(shuō)我們更改了插件路徑，要重新啟動(dòng) OllyDBG。在這個(gè)對(duì)話框上點(diǎn)確定，重新啟動(dòng)一下 OllyDBG，我們?cè)俚浇缑孢x項(xiàng)中看一下，會(huì)發(fā)現(xiàn)我們?cè)仍O(shè)置好的路徑都已保存了。有人可能知道插件的作用，但對(duì)那個(gè) UDD 目錄不清楚。我這簡(jiǎn)單解釋一下：這個(gè) UDD 目錄的作用是保存你調(diào)試的工作。比如你調(diào)試一個(gè)軟件，設(shè)置了斷點(diǎn)，添加了注釋，一次沒做完，這時(shí) OllyDBG 就會(huì)把你所做的工作保存到這個(gè) UDD 目錄，以便你下次調(diào)試時(shí)可以繼續(xù)以前的工作。如果不設(shè)置這個(gè) UDD 目錄，OllyDBG 默認(rèn)是在其安裝目錄下保存這些后綴名為 udd 的文件，時(shí)間長(zhǎng)了就會(huì)顯的很亂，所以還是建議專門設(shè)置一個(gè)目錄來(lái)保存這些文件。

另外一個(gè)重要的選項(xiàng)就是調(diào)試選項(xiàng)，可通過菜單 選項(xiàng)->調(diào)試設(shè)置 來(lái)配置：

新手一般不需更改這里的選項(xiàng)，默認(rèn)已配置好，可以直接使用。建議在對(duì) OllyDBG 已比較熟的情況下再來(lái)進(jìn)行配置。上面那個(gè)異常標(biāo)簽中的選項(xiàng)經(jīng)常會(huì)在脫殼中用到，建議在有一定調(diào)試基礎(chǔ)后學(xué)脫殼時(shí)再配置這里。

除了直接啟動(dòng) OllyDBG 來(lái)調(diào)試外，我們還可以把 OllyDBG 添加到資源管理器右鍵菜單，這樣我們就可以直接在 .exe 及 .dll 文件上點(diǎn)右鍵選擇“用Ollydbg打開”菜單來(lái)進(jìn)行調(diào)試。要把 OllyDBG 添加到資源管理器右鍵菜單，只需點(diǎn)菜單 選項(xiàng)->添加到瀏覽器，將會(huì)出現(xiàn)一個(gè)對(duì)話框，先點(diǎn)擊“添加 Ollydbg 到系統(tǒng)資源管理器菜單”，再點(diǎn)擊“完成”按鈕即可。要從右鍵菜單中刪除也很簡(jiǎn)單，還是這個(gè)對(duì)話框，點(diǎn)擊 “從系統(tǒng)資源管理器菜單刪除 Ollydbg”，再點(diǎn)擊“完成”就行了。

OllyDBG 支持插件功能，插件的安裝也很簡(jiǎn)單，只要把下載的插件（一般是個(gè) DLL 文件）復(fù)制到 OllyDBG 安裝目錄下的 PLUGIN 目錄中就可以了，OllyDBG 啟動(dòng)時(shí)會(huì)自動(dòng)識(shí)別。要注意的是 OllyDBG 1.10 對(duì)插件的個(gè)數(shù)有限制，最多不能超過 32 個(gè)，否則會(huì)出錯(cuò)。建議插件不要添加的太多。

到這里基本配置就完成了，OllyDBG 把所有配置都放在安裝目錄下的 ollydbg.ini 文件中。

二、基本調(diào)試方法

OllyDBG 有三種方式來(lái)載入程序進(jìn)行調(diào)試，一種是點(diǎn)擊菜單 文件->打開 （快捷鍵是 F3）來(lái)打開一個(gè)可執(zhí)行文件進(jìn)行調(diào)試，另一種是點(diǎn)擊菜單 文件- >附加 來(lái)附加到一個(gè)已運(yùn)行的進(jìn)程上進(jìn)行調(diào)試。注意這里要附加的程序必須已運(yùn)行。第三種就是用右鍵菜單來(lái)載入程序（不知這種算不算）。一般情況下我們選第一種方 式。比如我們選擇一個(gè) test.exe 來(lái)調(diào)試，通過菜單 文件->打開 來(lái)載入這個(gè)程序，OllyDBG 中顯示的內(nèi)容將會(huì)是這樣：

調(diào)試中我們經(jīng)常要用到的快捷鍵有這些：

F2：設(shè)置斷點(diǎn)，只要在光標(biāo)定位的位置（上圖中灰色條）按F2鍵即可，再按一次F2鍵則會(huì)刪除斷點(diǎn)。（相當(dāng)于 SoftICE 中的 F9）

F8：?jiǎn)尾讲竭^。每按一次這個(gè)鍵執(zhí)行一條反匯編窗口中的一條指令，遇到 CALL 等子程序不進(jìn)入其代碼。（相當(dāng)于 SoftICE 中的 F10）

F7：?jiǎn)尾讲饺搿９δ芡瑔尾讲竭^(F8)類似，區(qū)別是遇到 CALL 等子程序時(shí)會(huì)進(jìn)入其中，進(jìn)入后首先會(huì)停留在子程序的第一條指令上。（相當(dāng)于 SoftICE 中的 F8）

F4：運(yùn)行到選定位置。作用就是直接運(yùn)行到光標(biāo)所在位置處暫停。（相當(dāng)于 SoftICE 中的 F7）

F9：運(yùn)行。按下這個(gè)鍵如果沒有設(shè)置相應(yīng)斷點(diǎn)的話，被調(diào)試的程序?qū)⒅苯娱_始運(yùn)行。（相當(dāng)于 SoftICE 中的 F5）

CTR+F9：執(zhí)行到返回。此命令在執(zhí)行到一個(gè) ret (返回指令)指令時(shí)暫停，常用于從系統(tǒng)領(lǐng)空返回到我們調(diào)試的程序領(lǐng)空。（相當(dāng)于 SoftICE 中的 F12）

ALT+F9：執(zhí)行到用戶代碼?？捎糜趶南到y(tǒng)領(lǐng)空快速返回到我們調(diào)試的程序領(lǐng)空。（相當(dāng)于 SoftICE 中的 F11）

現(xiàn)在我們開始正式進(jìn)入破解。今天的目標(biāo)程序是看雪兄《加密與解 密》第一版附帶光盤中的 crackmes.cjb.net 鏡像打包中的 CFF Crackme #3，采用用戶名/序列號(hào)保護(hù)方式。原版加了個(gè) UPX 的殼。剛開始學(xué)破解先不涉及殼的問題，我們主要是熟悉用 OllyDBG 來(lái)破解的一般方法。我這里把殼脫掉來(lái)分析，附件是脫殼后的文件，直接就可以拿來(lái)用。先說(shuō)一下一般軟件破解的流程：拿到一個(gè)軟件先別接著馬上用 OllyDBG 調(diào)試，先運(yùn)行一下，有幫助文檔的最好先看一下幫助，熟悉一下軟件的使用方法，再看看注冊(cè)的方式。如果是序列號(hào)方式可以先輸個(gè)假的來(lái)試一下，看看有什么反 應(yīng)，也給我們破解留下一些有用的線索。如果沒有輸入注冊(cè)碼的地方，要考慮一下是不是讀取注冊(cè)表或 Key 文件（一般稱 keyfile，就是程序讀取一個(gè)文件中的內(nèi)容來(lái)判斷是否注冊(cè)），這些可以用其它工具來(lái)輔助分析。如果這些都不是，原程序只是一個(gè)功能不全的試用版，那要 注冊(cè)為正式版本就要自己來(lái)寫代碼完善了。有點(diǎn)跑題了，呵呵。獲得程序的一些基本信息后，還要用查殼的工具來(lái)查一下程序是否加了殼，若沒殼的話看看程序是什 么編譯器編的，如 VC、Delphi、VB 等。這樣的查殼工具有 PEiD 和 FI。有殼的話我們要盡量脫了殼后再來(lái)用 OllyDBG 調(diào)試，特殊情況下也可帶殼調(diào)試。下面進(jìn)入正題：

我們先來(lái)運(yùn)行一下這個(gè) crackme（用 PEiD 檢測(cè)顯示是 Delphi 編的），界面如圖：

這個(gè) crackme 已經(jīng)把用戶名和注冊(cè)碼都輸好了，省得我們動(dòng)手^_^。我們?cè)谀莻€(gè)“Register now !”按鈕上點(diǎn)擊一下，將會(huì)跳出一個(gè)對(duì)話框：

好了，今天我們就從這個(gè)錯(cuò)誤對(duì)話框中顯示的“Wrong Serial, try again!”來(lái)入手。啟動(dòng) OllyDBG，選擇菜單 文件->打開 載入 CrackMe3.exe 文件，我們會(huì)停在這里：

我們?cè)诜磪R編窗口中右擊，出來(lái)一個(gè)菜單，我們?cè)?nbsp;查找->所有參考文本字串 上左鍵點(diǎn)擊：

當(dāng)然如果用上面那個(gè) 超級(jí)字串參考＋ 插件會(huì)更方便。但我們的目標(biāo)是熟悉 OllyDBG 的一些操作，我就盡量使用 OllyDBG 自帶的功能，少用插件。好了，現(xiàn)在出來(lái)另一個(gè)對(duì)話框，我們?cè)谶@個(gè)對(duì)話框里右擊，選擇“查找文本”菜單項(xiàng)，輸入“Wrong Serial, try again!”的開頭單詞“Wrong”（注意這里查找內(nèi)容要區(qū)分大小寫）來(lái)查找，找到一處：

在我們找到的字串上右擊，再在出來(lái)的菜單上點(diǎn)擊“反匯編窗口中跟隨”，我們來(lái)到這里：

見上圖，為了看看是否還有其他的參考，可以通過選擇右鍵菜單查找參考->立即數(shù)，會(huì)出來(lái)一個(gè)對(duì)話框：

分別雙擊上面標(biāo)出的兩個(gè)地址，我們會(huì)來(lái)到對(duì)應(yīng)的位置：

00440F79 |. BA 8C104400      MOV EDX,CrackMe3.0044108C              ; ASCII "Wrong Serial,try again!"

00440F7E |. A1 442C4400      MOV EAX,DWORD PTR DS:[442C44]

00440F83 |. 8B00             MOV EAX,DWORD PTR DS:[EAX]

00440F85 |. E8 DEC0FFFF      CALL CrackMe3.0043D068

00440F8A |. EB 18            JMP SHORT CrackMe3.00440FA4

00440F8C |> 6A 00            PUSH 0

00440F8E |. B9 80104400      MOV ECX,CrackMe3.00441080              ; ASCII "Beggar off!"

00440F93 |. BA 8C104400      MOV EDX,CrackMe3.0044108C              ; ASCII "Wrong Serial,try again!"

00440F98 |. A1 442C4400      MOV EAX,DWORD PTR DS:[442C44]

00440F9D |. 8B00             MOV EAX,DWORD PTR DS:[EAX]

00440F9F |. E8 C4C0FFFF      CALL CrackMe3.0043D068

我們?cè)诜磪R編窗口中向上滾動(dòng)一下再看看：

00440F2C |. 8B45 FC          MOV EAX,DWORD PTR SS:[EBP-4]

00440F2F |. BA 14104400      MOV EDX,CrackMe3.00441014              ; ASCII "Registered User"

00440F34 |. E8 F32BFCFF      CALL CrackMe3.00403B2C                 ; 關(guān)鍵，要用F7跟進(jìn)去

00440F39 |. 75 51            JNZ SHORT CrackMe3.00440F8C            ; 這里跳走就完蛋

00440F3B |. 8D55 FC          LEA EDX,DWORD PTR SS:[EBP-4]

00440F3E |. 8B83 C8020000    MOV EAX,DWORD PTR DS:[EBX+2C8]

00440F44 |. E8 D7FEFDFF      CALL CrackMe3.00420E20

00440F49 |. 8B45 FC          MOV EAX,DWORD PTR SS:[EBP-4]

00440F4C |. BA 2C104400      MOV EDX,CrackMe3.0044102C              ; ASCII "GFX-754-IER-954"

00440F51 |. E8 D62BFCFF      CALL CrackMe3.00403B2C                 ; 關(guān)鍵，要用F7跟進(jìn)去

00440F56 |. 75 1A            JNZ SHORT CrackMe3.00440F72            ; 這里跳走就完蛋

00440F58 |. 6A 00 PUSH 0

00440F5A |. B9 3C104400      MOV ECX,CrackMe3.0044103C              ; ASCII "CrackMe cracked successfully"

00440F5F |. BA 5C104400      MOV EDX,CrackMe3.0044105C              ; ASCII "Congrats! You cracked this CrackMe!"

00440F64 |. A1 442C4400      MOV EAX,DWORD PTR DS:[442C44]

00440F69 |. 8B00             MOV EAX,DWORD PTR DS:[EAX]

00440F6B |. E8 F8C0FFFF      CALL CrackMe3.0043D068

00440F70 |. EB 32            JMP SHORT CrackMe3.00440FA4

00440F72 |> 6A 00            PUSH 0

00440F74 |. B9 80104400      MOV ECX,CrackMe3.00441080              ; ASCII "Beggar off!"

00440F79 |. BA 8C104400      MOV EDX,CrackMe3.0044108C              ; ASCII "Wrong Serial,try again!"

00440F7E |. A1 442C4400      MOV EAX,DWORD PTR DS:[442C44]

00440F83 |. 8B00             MOV EAX,DWORD PTR DS:[EAX]

00440F85 |. E8 DEC0FFFF      CALL CrackMe3.0043D068

00440F8A |. EB 18            JMP SHORT CrackMe3.00440FA4

00440F8C |> 6A 00            PUSH 0

00440F8E |. B9 80104400      MOV ECX,CrackMe3.00441080              ; ASCII "Beggar off!"

00440F93 |. BA 8C104400      MOV EDX,CrackMe3.0044108C              ; ASCII "Wrong Serial,try again!"

00440F98 |. A1 442C4400      MOV EAX,DWORD PTR DS:[442C44]

00440F9D |. 8B00             MOV EAX,DWORD PTR DS:[EAX]

00440F9F |. E8 C4C0FFFF      CALL CrackMe3.0043D068

大家注意看一下上面的注釋，我在上面標(biāo)了兩個(gè)關(guān)鍵點(diǎn)。有人可能要問，你怎么知道那兩個(gè)地方是關(guān)鍵點(diǎn)？其實(shí)很簡(jiǎn)單，我是根據(jù)查看是哪條指令跳到 “wrong serial,try again”這條字串對(duì)應(yīng)的指令來(lái)決定的。如果你在 調(diào)試選項(xiàng)->CPU 標(biāo)簽中把“顯示跳轉(zhuǎn)路徑”及其下面的兩個(gè)“如跳轉(zhuǎn)未實(shí)現(xiàn)則顯示灰色路徑”、“顯示跳轉(zhuǎn)到選定命令的路徑”都選上的話，就會(huì)看到是從什么地方跳到出錯(cuò)字串處 的：

我們?cè)谏蠄D中地址 00440F2C 處按 F2 鍵設(shè)個(gè)斷點(diǎn)，現(xiàn)在我們按 F9 鍵，程序已運(yùn)行起來(lái)了。我在上面那個(gè)編輯框中隨便輸入一下，如 CCDebuger，下面那個(gè)編輯框我還保留為原來(lái)的“754-GFX-IER-954”，我們點(diǎn)一下那個(gè)“Register now !”按鈕，呵， OllyDBG 跳了出來(lái)，暫停在我們下的斷點(diǎn)處。我們看一下信息窗口，你應(yīng)該發(fā)現(xiàn)了你剛才輸入的內(nèi)容了吧？我這里顯示是這樣：

堆棧 SS:[0012F9AC]=00D44DB4, (ASCII "CCDebuger")

EAX=00000009

上面的內(nèi)存地址 00D44DB4 中就是我們剛才輸入的內(nèi)容，我這里是 CCDebuger。你可以在 堆棧 SS:[0012F9AC]= 00D44DB4, (ASCII "CCDebuger") 這條內(nèi)容上左擊選擇一下，再點(diǎn)右鍵，在彈出菜單中選擇“數(shù)據(jù)窗口中跟隨數(shù)值”，你就會(huì)在下面的數(shù)據(jù)窗口中看到你剛才輸入的內(nèi)容。而 EAX=00000009 指的是你輸入內(nèi)容的長(zhǎng)度。如我輸入的 CCDebuger 是9個(gè)字符。如下圖所示：

現(xiàn)在我們來(lái)按 F8 鍵一步步分析一下：

00440F2C |. 8B45 FC          MOV EAX,DWORD PTR SS:[EBP-4]           ; 把我們輸入的內(nèi)容送到EAX，我這里是“CCDebuger”

00440F2F |. BA 14104400      MOV EDX,CrackMe3.00441014              ; ASCII "Registered User"

00440F34 |. E8 F32BFCFF      CALL CrackMe3.00403B2C                 ; 關(guān)鍵，要用F7跟進(jìn)去

00440F39 |. 75 51            JNZ SHORT CrackMe3.00440F8C            ; 這里跳走就完蛋

當(dāng)我們按 F8 鍵走到 00440F34 |. E8 F32BFCFF      CALL CrackMe3.00403B2C 這一句時(shí)，我們按一下 F7 鍵，進(jìn)入這個(gè) CALL，進(jìn)去后光標(biāo)停在這一句：

我們所看到的那些 PUSH EBX、 PUSH ESI 等都是調(diào)用子程序保存堆棧時(shí)用的指令，不用管它，按 F8 鍵一步步過來(lái)，我們只關(guān)心關(guān)鍵部分：

00403B2C /$ 53               PUSH EBX

00403B2D |. 56               PUSH ESI

00403B2E |. 57               PUSH EDI

00403B2F |. 89C6             MOV ESI,EAX                          ; 把EAX內(nèi)我們輸入的用戶名送到 ESI

00403B31 |. 89D7             MOV EDI,EDX                          ; 把EDX內(nèi)的數(shù)據(jù)“Registered User”送到EDI

00403B33 |. 39D0             CMP EAX,EDX                          ; 用“Registered User”和我們輸入的用戶名作比較

00403B35 |. 0F84 8F000000    JE CrackMe3.00403BCA                 ; 相同則跳

00403B3B |. 85F6             TEST ESI,ESI                         ; 看看ESI中是否有數(shù)據(jù)，主要是看看我們有沒有輸入用戶名

00403B3D |. 74 68            JE SHORT CrackMe3.00403BA7           ; 用戶名為空則跳

00403B3F |. 85FF             TEST EDI,EDI

00403B41 |. 74 6B            JE SHORT CrackMe3.00403BAE

00403B43 |. 8B46 FC          MOV EAX,DWORD PTR DS:[ESI-4]         ; 用戶名長(zhǎng)度送EAX

00403B46 |. 8B57 FC          MOV EDX,DWORD PTR DS:[EDI-4]         ; “Registered User”字串的長(zhǎng)度送EDX

00403B49 |. 29D0             SUB EAX,EDX                          ; 把用戶名長(zhǎng)度和“Registered User”字串長(zhǎng)度相減

00403B4B |. 77 02            JA SHORT CrackMe3.00403B4F           ; 用戶名長(zhǎng)度大于“Registered User”長(zhǎng)度則跳

00403B4D |. 01C2             ADD EDX,EAX                          ; 把減后值與“Registered User”長(zhǎng)度相加，即用戶名長(zhǎng)度

00403B4F |> 52               PUSH EDX

00403B50 |. C1EA 02          SHR EDX,2                            ; 用戶名長(zhǎng)度值右移2位，這里相當(dāng)于長(zhǎng)度除以4

00403B53 |. 74 26            JE SHORT CrackMe3.00403B7B           ; 上面的指令及這條指令就是判斷用戶名長(zhǎng)度最少不能低于4

00403B55 |> 8B0E             MOV ECX,DWORD PTR DS:[ESI]           ; 把我們輸入的用戶名送到ECX

00403B57 |. 8B1F             MOV EBX,DWORD PTR DS:[EDI]           ; 把“Registered User”送到EBX

00403B59 |. 39D9             CMP ECX,EBX                          ; 比較

00403B5B |. 75 58            JNZ SHORT CrackMe3.00403BB5          ; 不等則完蛋

根據(jù)上面的分析，我們知道用戶名必須是“Registered User”。我們按 F9 鍵讓程序運(yùn)行，出現(xiàn)錯(cuò)誤對(duì)話框，點(diǎn)確定，重新在第一個(gè)編輯框中輸入“Registered User”，再次點(diǎn)擊那個(gè)“Register now !”按鈕，被 OllyDBG 攔下。因?yàn)榈刂?nbsp;00440F34 處的那個(gè) CALL 我們已經(jīng)分析清楚了，這次就不用再按 F7 鍵跟進(jìn)去了，直接按 F8 鍵通過。我們一路按 F8 鍵，來(lái)到第二個(gè)關(guān)鍵代碼處：

00440F49 |. 8B45 FC          MOV EAX,DWORD PTR SS:[EBP-4]          ; 取輸入的注冊(cè)碼

00440F4C |. BA 2C104400      MOV EDX,CrackMe3.0044102C             ; ASCII "GFX-754-IER-954"

00440F51 |. E8 D62BFCFF      CALL CrackMe3.00403B2C                ; 關(guān)鍵，要用F7跟進(jìn)去

00440F56 |. 75 1A            JNZ SHORT CrackMe3.00440F72           ; 這里跳走就完蛋

大家注意看一下，地址 00440F51 處的 CALL CrackMe3.00403B2C 和上面我們分析的地址 00440F34 處的 CALL CrackMe3.00403B2C 是不是匯編指令都一樣??？這說(shuō)明檢測(cè)用戶名和注冊(cè)碼是用的同一個(gè)子程序。而這個(gè)子程序 CALL 我們?cè)谏厦嬉呀?jīng)分析過了。我們執(zhí)行到現(xiàn)在可以很容易得出結(jié)論，這個(gè) CALL 也就是把我們輸入的注冊(cè)碼與 00440F4C 地址處指令后的“GFX- 754-IER-954”作比較，相等則 OK。好了，我們已經(jīng)得到足夠的信息了?，F(xiàn)在我們?cè)诓藛?nbsp;查看->斷點(diǎn) 上點(diǎn)擊一下，打開斷點(diǎn)窗口（也可以通過組合鍵 ALT+B 或點(diǎn)擊工具欄上那個(gè)“B”圖標(biāo)打開斷點(diǎn)窗口）：

為什么要做這一步，而不是把這個(gè)斷點(diǎn)刪除呢？這里主要是為了保險(xiǎn)一點(diǎn)，萬(wàn)一分析錯(cuò)誤，我們還要接著分析，要是把斷點(diǎn)刪除了就要做一些重復(fù)工作了。還是先禁 用一下，如果經(jīng)過實(shí)際驗(yàn)證證明我們的分析是正確的，再刪不遲?，F(xiàn)在我們把斷點(diǎn)禁用，在 OllyDBG 中按 F9 鍵讓程序運(yùn)行。輸入我們經(jīng)分析得出的內(nèi)容：

用戶名：Registered User

注冊(cè)碼：GFX-754-IER-954

點(diǎn)擊“Register now !”按鈕，呵呵，終于成功了：

快捷鍵命令

這些快捷鍵命令原版OllyDBG中沒有，是OllyICE后加上去的，相信會(huì)大大提高操作的方便性。

1).二進(jìn)制復(fù)制/粘貼快捷鍵
反匯編窗口：Shift+C/Shift+V
數(shù)據(jù)窗口：Shift+C/Shift+V
注意：數(shù)據(jù)窗口中，Shift+V時(shí)，不必選擇塊大小，會(huì)將剪粘板的數(shù)據(jù)全部粘貼上去。

2).查看數(shù)據(jù)
push A480033 //如果按回車鍵，則數(shù)據(jù)窗口中顯示A480033數(shù)據(jù),此行按Shift+回車鍵，即可跳到A480033地址;
mov eax,401000 //此行按回車，則數(shù)據(jù)窗口中顯示401000 數(shù)據(jù)
mov eax,[401000] //此行按回車，則數(shù)據(jù)窗口中顯示401000 數(shù)據(jù)
mov [ebp-4], esp //此行按回車，則數(shù)據(jù)窗口中顯示ebp-4的值（注意EIP必須指向當(dāng)前行）
mov eax, [esp+10]//此行按回車，則數(shù)據(jù)窗口中顯示esp+10的值（注意EIP必須指向當(dāng)前行）

3).數(shù)據(jù)窗口查看數(shù)據(jù) （來(lái)源于heXer）
數(shù)據(jù)窗口：
00406000 00 10 40 00 00 00 00 00 00 00 00 00 CA 2E 40 00 .@.........?@.
^
光標(biāo)移到“00 10 40 00”第一字節(jié)00處，按回車，反匯編窗口顯示401000；Shift+回車，數(shù)據(jù)窗口顯示401000

4).堆棧窗口 （來(lái)源于heXer）
0012FF44 00401D8A //按回車，反匯編窗口顯示0401D8A；Shift+回車，數(shù)據(jù)窗口顯示0401D8A
0012FF48 00000000

5).數(shù)據(jù)窗口選擇數(shù)據(jù)顯示
當(dāng)光標(biāo)在數(shù)據(jù)窗口移動(dòng)時(shí)，會(huì)顯示出光標(biāo)起始地址、結(jié)束地址，以及選中的塊大小。

6).數(shù)據(jù)窗口切換到代碼窗口
00406000 00 12 40 00 00 00 00 00 00 00 00 00 CA 2E 40 00 .@.........?@.
^
光標(biāo)移到“00 12 40 00”第一字節(jié)00處，按Ctrl＋雙擊鼠標(biāo)，則反匯編窗口顯示光標(biāo)所在地址，即00406000開始的代碼

7).反匯編窗口或數(shù)據(jù)窗口取當(dāng)前地址
快捷鍵：ctrl+X
例如：
004091C0 push ebp
004091C1 mov ebp, esp
004091C3 push -1 //此行按快捷鍵ctrl+X ，則將地址004091C3復(fù)制到剪粘板里
數(shù)據(jù)窗口同樣操作。
0040DD40 55 8B EC 83 EC 08 53 56 57 55 FC 8B 5D 0C 8B 45 U

快捷鍵命令增加：kanxue
感謝heXer,CoDe_Inject給與的幫助與提示！

OllyDBG技巧

下文中OD是OllyDBG的簡(jiǎn)稱。

Q: OD中如何運(yùn)行到光標(biāo)所在處？
A: 將光標(biāo)移到目標(biāo)位置，按F4.

Q: 如何用OD修改可執(zhí)行程序？
A：直接在反匯編代碼區(qū)更改,這時(shí)可以使用匯編代碼更改,然后選中修改后的匯編代碼，右擊-->復(fù)制到可執(zhí)行文件-->保存文件.

Q:OD中的代碼亂碼，如：
004365E0 >db 68 ; CHAR 'h'
004365E1 >db A4
004365E2 >db 7A ; CHAR 'z'
004365E3 >db E5
004365E4 >db B8
004365E5 >db E8
004365E6 >db BB

A:OD右鍵，"分析/從模板中刪除分析"，如不行，按Ctrl+A重新分析


Q:OD為什么刪除了斷點(diǎn)，重新加載的時(shí)候，這些斷點(diǎn)都會(huì)重新出現(xiàn)
A:設(shè)置ollydbg.ini，將配制文件里改成如下：Backup UDD files=1 (by kanxue)

Q：如何還原到OD到分析前的狀態(tài)?
A：右鍵 分析/從模塊中刪除掃描

Q：什么是UDD？
A：OllyDbg 把所有程序或模塊相關(guān)的信息保存至單獨(dú)的文件中，并在模塊重新加載時(shí)繼續(xù)使用。這些信息包括了標(biāo)簽、注釋、斷點(diǎn)、監(jiān)視、分析數(shù)據(jù)、條件等等

Q:OD的數(shù)據(jù)窗口顯示一個(gè)下劃線，是什么意思？
A:重定位加下劃線［Underline fixups］，幾乎所有的DLL和一部分程序都包含重定位，這樣就可以在內(nèi)存中的不同基地址加載模塊了。當(dāng)該項(xiàng)開啟時(shí)，CPU反匯編窗口或CPU數(shù)據(jù)窗口中的重定位地址都將添加下劃線。（xing_xsz）

Q：如果已經(jīng)知道某一CALL的具體作用,能否把后面所有相同的CALL都改成函數(shù)名形式?
A：比如 CALL 110000 此中已經(jīng)知道110000是一個(gè)核心計(jì)算
則如下操作,讓光標(biāo)停在CALL 110000 這個(gè)語(yǔ)句上,按回車鍵
會(huì)跳到110000的地址上去顯示,之后讓光標(biāo)停在110000上,按
shift 和; (分號(hào)) 其實(shí)就是完成一個(gè):(冒號(hào))的動(dòng)作,輸入
名稱,這回所有的調(diào)用110000處,都會(huì)顯示CALL 你剛才輸入的
名稱了.(nig回答)

Q：用OD調(diào)試一些加殼程序，如Themida等，可能你會(huì)發(fā)現(xiàn)下斷后（包括硬件斷點(diǎn)），程序跑到斷點(diǎn)時(shí)，OD會(huì)出現(xiàn)假死現(xiàn)像。
A：打開OD配置文件ollydbg.ini，你會(huì)發(fā)現(xiàn)：Restore windows= 123346 //這個(gè)Restore windows可能會(huì)是一個(gè)**的值
現(xiàn)在只需要將Restore windows＝0，重新用OD調(diào)試程序，假死問題就消失了。 (kanxue)

Q:ollydbg中如何調(diào)用pdb文件？
A:
pdb文件是VC++調(diào)試編譯生成的文件。由編譯器直接生成。
pdb文件要配合源文件使用。不同的源文件pdb文件不同。
用OD裝入可執(zhí)行文件后，點(diǎn)擊CPU窗口中的注釋段可出現(xiàn)源碼。
不過不是所有的源碼都可以顯示的。VC++6.0以下都可以顯示。
還有一種不顯示的原因是缺少路徑。點(diǎn)擊OD主菜單的[查看]->[源文件]
如果[源碼]段出現(xiàn)(缺少)字樣的話，說(shuō)明此路徑的源碼是看不了的。設(shè)置正確的路徑就可以了。
（nantz回答）

Q：運(yùn)行A.exe，其會(huì)調(diào)用B.exe，如果用OD再附加B.exe，OD會(huì)死掉
A：
1.OD菜單，設(shè)置OD為即時(shí)調(diào)試器；
2.將B.exe的入口改成CC，即INT 3指令，同時(shí)記下原指令
3.運(yùn)行A.exe，其調(diào)用B.exe，會(huì)導(dǎo)致異常，OD會(huì)自動(dòng)啟動(dòng)加載B.exe，此時(shí)你將INT 3指令恢復(fù)原指令。
4.到這步，你己可以任意調(diào)試B.exe了(kanxue)

Q:用ollydbg調(diào)試的時(shí)候，斷住kernel32.dll系統(tǒng)函數(shù)，然后”執(zhí)行到用戶代碼“，就可以回到被調(diào)程序的代碼。但有時(shí)候卻回不來(lái)，不知道這又是為什么？
A:
多半是殺毒軟件（如卡巴對(duì)LoadLibraryA）Hook API入口代碼進(jìn)入ring 0了，OllyDbg不能單步跟蹤，這種情況下只要看堆棧返回地址，在返回地址上下端點(diǎn)，F(xiàn)9執(zhí)行就可以了。（cyclotron回答）