OllyDbg 操作菜单栏.工具栏.快捷键 C++调用加强 目录 OllyDbg 操作菜单栏.工具栏.快捷键    1 一.    载入观察    1 1.静态载入观察:    1 2.OD动态观察    1 二.    初步尝试下断查找目标    1 1.如何下断    1 2.接下来有两个选择:    1 2.1手动F9运行目标    1 2.2设条件断点    1 2.3 CALL调用时堆栈小解    1 3.初步断点目标 (条件触发情况)    1 三.调用栈回溯    1 1.回溯到无

还在为找内核未导出函数地址而苦恼嘛? 还在为硬编码通用性差而不爽吗? 还在为暴搜内核老蓝屏而痛苦吗? 请看这里: 最近老要用到内核未导出的函数及一些结构,不想再找特征码了,准备到网上找点符号文件解析的代码抄抄,也玩玩符号文件解析获取未导出函数,可惜资料寥寥无 几,下了一些代码,发觉编译后问题不断,有的编译通过了却取不到任何地址,弄了半天白弄了,于是静下心来看dbghelp的说明文件(中文的都木有),发 觉dbghelp用起来很不爽,由于版本太多,又是32位和64位什么的,最要命的是dbghelp

这段时间学习WEB方面的技术,遇到了木马免杀特征码定位的问题,这里做一下学习笔记. 这里对MyCCL的分块原理做一下探究 对指定文件生成10个切块 对指定的木马进行切块后,文件列表是这样的. 注意这里是从E0作为切块的偏移量.也就是说从E0的位置开始逐个切块,E0之前的内容是保留的.这样做的目的是保留一些PE必须的头文件信息. 我们来通过亲身的探究来解析一下MyCCL的切块区间定位法到底什么意思,之后再从理论角度入手解释这个原理. 我们打开第一个文件 0000_000000E0_000110B6

最近拿到了RockWorks15的安装包,可惜没有破解,试用也只能用14天.用PEiD工具察看了一下,Delphi编写的程序,竟然没加壳.本想用OllyDBG调试进去爆破一下,不意发现注册码很简单,如下: 1. OLLDBG载入,查找出错信息,直接进入 009957C5 |. B8 3C589900 mov eax, 0099583C ; ASCII "Invalid RockWorks unlocking code." 2.向上找两个CALL,F7跟入,不久就看到如下代码,即为加密过

Ollydbg是一个新的32位的汇编层调试软件.适应于windows98.me.2000.xp和2003操作系统.由于他具有图形窗口界面,所以操作方便.直观,是cracker的好工具. 由于Ollydbg没有了TRW2000的万能断点,所以许多的新手感觉到用Ollydbg断点不好找.现在我来的说说Ollydbg下中断的几种方法.本人是个菜鸟,水平有限,可能不能完整的写出来,也可能存在错误.请大家指正. 我所表述的是Ollydbg v1.09d中文版,其他版本和英文版下自己参考. 第一 寻常断点

OllyDbg 用笔记 (十) 參考 书:<加密与解密> 视频:小甲鱼 解密系列 视频 演示样例程序下载地址:http://pan.baidu.com/s/1kT1ce83 这个程序能够从标题栏的" unregistered"入手,查找全部參考文本字串,搜索 "unregistered" 能够找到这段代码: 004046DD 90 nop 004046DE 90 nop 004046DF 90 nop 004046E0 /$ 8A4424 04 mov

32位汇编第一讲x86和8086的区别,以及OllyDbg调试器的使用 一丶32位(x86也称为80386)与8086(16位)汇编的区别 1.寄存器的改变 AX 变为 EAX  可以这样想,16位通用寄存器前边都加个E开头 例如: EAX EBX ECX EDX ESI EDI ESP EDP ;八位寄存器 EIP EFLAGES ;特殊寄存器CS ES SS DS GS FS ;其中GS FS是新增加的寄存器,这些段寄存器,并不是4个字节(32位的)还是以前16位的 注意在32位下没有分段的

32位汇编第六讲,OllyDbg逆向植物大战僵尸,快速定位阳光基址 一丶基址,随机基址的理解 首先,全局变量的地址,我们都知道是固定的,是在PE文件中有保存的 但是高版本有了随机基址,那么要怎么解决这个问题,不解决这个问题,那么如果以后逆向分析的时候,找不到基址,那么就不能进行下一层的操作 首先看下固定基址,和随机基址 ①丶新建工程 (这里使用VS2013 ,VC++6.0不支持随机基址) 自己新建一个程序,添加个CPP文件 编写如下代码 #include <stdio.h> #include

一.OllyDBG 的安装与配置OllyDBG  版的发布版本是个 ZIP 压缩包,只要解压到一个目录下,运行 OllyDBG.exe 就可以了.汉化版的发布版本是个 RAR 压缩包,同样只需解压到一个目录下运行 OllyDBG.exe 即可:OllyDBG 中各个窗口的功能如上图.简单解释一下各个窗口的功能,更详细的内容可以参考 TT 小组翻译的中文帮助:反汇编窗口:显示被调试程序的反汇编代码,标题栏上的地址.HEX 数据.反汇编.注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标题 或 

#include <stdio.h> #include <stdlib.h> #include <windows.h> union Base { DWORD address; BYTE data[]; }; /************************************************************************/ /* 函数说明:根据特征码扫描基址 /* 参数一:process 要查找的进程 /* 参数二:markCode 特征

注:内容整理自<逆向工程核心原理>,结合我的OllyDbg版本修改了一些内容 1. OllyDbg常用命令及其快捷键 指令 快捷键 含义 Restart Ctrl+F2 重新开始调试 Step Into F7 执行一句OP code,若遇到CALL,进入函数代码内部 Step Over F8 执行一句OP code,若遇到CALL,仅执行函数自身,不跟随进入 Run F9 运行(遇到断点时暂停)  Execute till return Ctrl+F9   执行函数代码内的命令,直到遇到RET

想要进行缓冲区溢出的分析与利用,当然就要懂得程序运行的机制.今天我们就用动态分析神器ollydbg来了解一下在windows下程序是如何运行的. 戳这里看之前发布的文章: 缓冲区溢出实战教程系列(一):第一个缓冲区溢出小程序:https://www.freebuf.com/articles/system/195614.html 缓冲区溢出实战教程系列(二):dev c++编译汇编代码:https://www.freebuf.com/articles/system/197116.html 0×00

最近系统有点慢,就想优化一下,于是下了个XX大师.结果要注册才行,看来可以用来练练手了.OD一下,靠还加了壳,偶就是用一下,就不脱你了.开始在弹出窗口MessageBoxA下断,伊,结果不是用的这个函数,看来还有点麻烦.于是在折腾了半天后偶明白了(因为是新手,所以要折腾半天),要在“全部删除”按钮的处理函数下断,但是处理函数在哪里呢?自己又折腾了半天,愣是没找到,还是soso一下,找到一篇文章叫做<OllyDBG 入门系列(五)-消息断点及 RUN 跟踪>或者读下面这段 几种典型程序Butto

OllyDbg 使用笔记 (七) 參考 书:<加密与解密> 视频:小甲鱼 解密系列 视频 演示样例程序下载:http://pan.baidu.com/s/1gvwlS 暴力破解 观察这个程序.能够从程序标题的<unregistered  个跟 About 中的 <Unregistered Version>入手 用OD打开程序.右键-->查找-->全部參考文本字串 图片1 在打开的界面中.将滚动栏移到追上面(由于是从光标处開始搜索的),右键查找文本,先搜索<u

用OllyDbg爆破一个小程序 一.TraceMe小程序 TraceMe是对用户名.序列号判断是否合法的一个小程序.我们任意输入一组用户名.序列号进行check判断,结果如下: 二.用OllyDbg对编译后的exe文件进行分析 用OllyDbg软件载入TraceMe.exe文件:如下: 找到关键代码处: 其二进制代码和对应的汇编代码如下: 85C0  TEST EAX,EAX; eax=0表示注册失败,eax=1表示注册成功 74 37 JE SHORT TraceMe.004011F3;如果不

本章我们将学习特征码的提取与定位,特征码是软件中一段固定的具有标志性的代码片段,特征码的用途非常广泛,最常见的就是杀毒软件的查杀了,查杀就是根据特征码定位技术实现的,再比如木马的免杀也是修改了特征码的一些特征片段而躲避查杀的啦. 本章的内容对于软件破解非常的有用,比如你需要破解一个程序,但你无法定位到关键按钮的事件中去,此时你可以先查看待破解程序使用了那种编程语言来写的,然后自己用对应的编程语言编写一个简单的小程序,并放入容易搜索到的字串,然后提取针对特定语言特定版本的通杀特征,最后应用到需要破

在笔者上一篇文章<驱动开发:内核特征码搜索函数封装>中为了定位特征的方便我们封装实现了一个可以传入数组实现的SearchSpecialCode定位函数,该定位函数其实还不能算的上简单,本章LyShark将对特征码定位进行简化,让定位变得更简单,并运用定位代码实现扫描内核PE的.text代码段,并从代码段中得到某个特征所在内存位置. 老样子为了后续教程能够继续,先来定义一个lyshark.h头文件,该头文件中包含了我们本篇文章所必须要使用到的结构体定义,这些定义的函数如果不懂请去看LyShark

在学习springAOP时,出现如下异常: 无法访问org.springframework.core.NestedRuntimeException 找不到org.springframework.core.NestedRuntimeException的类文件 原因是:缺少spring-core.jar包

自从vs装了Resharper,看见提示总是手贱的想去改掉它.于是乎手一抖,把一个 可视web部件的命名空间给改了. 喏,从LibrarySharePoint.WebPart.LibraryAddEditFolder改为:LibrarySharePoint.WebPartOne.LibraryAddEditFolder 作为老司机,我知道我干了什么,直接用SPD打开目标页面,修正如下: <%@ Register tagprefix="LibraryAddEditFolder" n

在编译C语言的开源项目的时候,经常会出现头文件找不到的问题. 解决这类问题有一个特别好用的工具apt-file 1.在ubuntu下安装 sudo apt install apt-file 2.更新索引 apt-file update 3.更新以后就可以在源中查找未安装程序中的文件 apt-file search -x 'readline.h$'