ollydbg编译工具

ollydbg中文版是一款面向Windows平台的32位与64位调试工具，在反汇编工作中较为常见。它具备插件扩展能力，尤其擅长对函数过程、循环语句、选择语句、表、常量、代码中的字符串、欺骗性指令、API调用、函数参数数目以及import表等内容进行分析。该软件提供百余个选项，可用于调整OllyDbg的外观与运行方式，同时也支持多线程程序的调试，用户能够在多个线程之间切换，执行挂起、恢复、终止线程或修改线程优先级等操作，线程窗口还会显示各线程的错误信息。

更新日志

修改了Ollydbg的窗口特征标识，以此降低被定向识别的风险。

2.调整Ollydbg的菜单布局。

对部分可能触发检测的插件做了精简处理。

对部分可能触发检测的内容进行了调整。

将 ollydbg 的插件更新至较新的版本。

软件功能及特点

数据格式

OllyDbg 的数据窗口可呈现多种数据格式，涵盖 HEX、ASCII、UNICODE，16 位与 32 位的有符号、无符号及 HEX 整数，32/64/80 位浮点数，地址，反汇编视图（支持 MASM、IDEAL 或 HLA 风格），以及 PE 文件头或线程数据块。

这份文档汇集了使用 OllyDbg 所需掌握的关键说明。Windows API 帮助文件因版权原因未随附其中，若你手头已有该文件，可将其挂接进 OllyDbg，查阅系统函数时便能迅速获得对应参考。启动方式较为灵活：可通过命令行指定目标可执行文件，也可从菜单中选取，或将文件直接拖放至 OllyDbg 窗口，亦能重新载入上一次调试的程序，或者附加到某个正在运行的进程上。OllyDbg 具备即时调试能力，且完全免安装，放在软盘里就能直接使用。

调试DLLs

OllyDbg 支持对标准动态链接库（DLL）进行调试。它会自动启动一个可执行程序来加载目标链接库，您可以通过该程序调用库中导出的函数。

源码级调试

OllyDbg 能解析 Borland 与 Microsoft 两种格式的调试信息，涵盖源代码、函数名、标签、全局变量及静态变量，对动态（栈）变量和结构也提供有限度的支持。其反汇编器支持代码高亮，可区分不同类别的指令——跳转、条件跳转、入栈、出栈、调用、返回以及特殊或无效指令，同时也能区分各类操作数，包括常规操作数、FPU/SSE 操作数、段/系统寄存器操作数、栈或内存中的操作数以及常量；高亮方案可由用户自行定制。在多线程调试方面，OllyDbg 支持在多个线程间切换，执行挂起、恢复、终止线程或调整线程优先级等操作，线程窗口还会显示每个线程的错误信息（等同于调用 GETLASTERROR 所返回的内容）。

OllyDbg 较为突出的一项能力在于分析层面。函数过程、循环与选择语句、表、常量、代码内字符串、欺骗性指令、API 调用、函数参数数量以及 import 表等内容，都在它的分析范围之内。借助这些分析，二进制代码变得更易读，出错概率随之降低，调试工作也因此轻松不少。

Object扫描

OllyDbg 能对 Object 文件及库进行扫描，涵盖 OMF 与 COFF 两种格式，并可解压代码段，对其位置做定向的 Implib 扫描。某些 DLL 文件的输出函数采用索引号标识，这些编号对人而言并无直观意义；若手头有与该 DLL 对应的输入库，OllyDbg 便能把这些序号还原为符号名称。在字符处理方面，它完整支持 Unicode——几乎所有面向 ASCII 的操作同样适用于 UNICODE，反过来也一样。借助 Borland 与 Microsoft 格式的调试信息，OllyDbg 可显示输入/输出符号及其名称。Object 扫描器具备识别库函数的能力，其中的名称与注释可由使用者自由添加。当 DLL 内部分函数以索引号方式输出时，挂接相应的输入库即可恢复原本的函数名。OllyDbg 还能辨认大量常量符号名，例如窗口消息、错误代码、位域等，并将其解码为已知的函数调用。

已知函数

OllyDbg 能识别 C 与 Windows API 中超过 2300 个常用函数及其参数，用户可为函数补充说明文字、设定预定义解码方式，并在已知函数上布置 Log 断点来记录参数。即使缺少调试信息，或函数过程采用了非标准的 prolog 与 epilog，它依然能对递归调用进行回溯。回车键用于把选中命令加入命令历史；若当前命令属于跳转、函数或转换表的一部分，则直接进入目的地址。退格键可清除选中部分的自动分析信息，当分析器把代码误判为数据时尤为实用，可参阅解码提示。Alt+退格键撤销所选部分的改动，用备份数据中的对应内容替换，仅在备份存在且与所选部分不一致时可用。Ctrl+F1 在已选定 API 帮助文件的情况下，打开与首个选中行内符号名关联的帮助主题。F2 在首个选中命令上切换 INT3 断点，也可双击该行第二列完成同样操作。Shift+F2 在首个选中命令处设置条件断点，可参考忽略 Kernel32 中内存访问异常的相关说明。F4 执行到所选行：在首个选中命令上放置一次性断点后继续运行调试程序，直到 OllyDbg 捕获异常或停在该断点；该一次性断点在程序执行到该命令前始终有效，必要时可在断点窗口中将其删除。Shift+F4 设置记录断点，这是一种条件断点，条件满足时会记录若干表达式的值，详情见断点相关说明。Ctrl+F5 打开与首个选中命令对应的源文件。Alt+F7 跳转到上一个找到的参考。Alt+F8 跳转到下一个找到的参考。Ctrl+A 分析当前模块的代码段。Ctrl+B 启动二进制搜索。Ctrl+C 将所选内容复制到剪贴板，复制时按列宽简单截断不可见内容，若想排除某些列，可把它们的宽度调到最小。Ctrl+E 以二进制（十六进制）格式编辑所选内容。Ctrl+F 启动命令搜索。Ctrl+G 转到某地址，会弹出输入地址或表达式的窗口，该操作不会修改 EIP。Ctrl+J 列出所有涉及该位置的调用与跳转，使用前需先执行分析代码功能。Ctrl+K 查看与当前函数相关的调用树，使用前同样需先执行分析代码功能。Ctrl+L 搜索下一个，重复上一次的搜索内容。Ctrl+N 打开当前模块的名称（标签）列表。Ctrl+O 扫描 object 文件，会显示扫描 Object 文件对话框，可在其中选择 Object 文件或 lib 文件并扫描，尝试找出实际代码段中用到的目标模块。Ctrl+R 搜索所选命令的参考：扫描激活模块的全部可执行代码，找出涉及首个选中命令的所有相关参考（含常量、跳转及调用），可用 Alt+F7 与 Alt+F8 在参考间浏览，被参考的命令也列入该表。Ctrl+S 打开命令查找对话框，输入汇编命令后从当前命令开始搜索。星号（*）转到原始位置，即激活线程的 EIP 处。Ctrl+星号指定新的起始位置，把当前所选线程的 EIP 设为首个选中字节的地址，选择 EIP 后可撤销该操作。加号（+）在 run trace 未激活时，依据命令历史跳到下一条运行过的命令处；否则跳到 Run 跟踪的下一个记录。Ctrl+加号跳到前一个函数开始处（仅跳转，不执行）。减号（-）在 run trace 未激活时，依据命令历史跳到前一条运行过的命令处；否则跳到 Run 跟踪的前一个记录。Ctrl+减号跳到下一个函数开始处（仅跳转，不执行）。空格键修改命令，可在显示对话框中以汇编语言修改实际指令或输入新指令来替换实际代码，也可在要修改的指令处双击鼠标。冒号（:）添加标签，显示添加标签窗口或修改标签窗口，可在此输入与首个选中命令中第一个字节关联的标签（符号名）。

冒号在部分编程语言里可作为标签的组成部分；分号（;）则用于添加注释，会弹出“添加注释”或“修改注释”窗口，供你填写与首条所选命令第一个字节对应的注释内容，该注释串将呈现在最后一列。

请注意，分号在不少汇编语言中被用作注释的起始符号；若需为某条命令行添加注释，在注释列中双击对应行即可。

常见问题

1、如何将 OllyDbg 的调试信息留存下来，供后续再次调用？

调试菜单-选择符号路径 然后在弹出的对话框设置路径即可。注意调试文件为udd格式，，当被调试文件路径发生变化时调试信息不再可用，，比如：你在C盘有一个文件用ollydby调试并加入注视或断点后，，把这个文件移到别的路径下，再用ollydbg打开调试信息注视和断点不被显示。

PS：断点与注释窗口仅显示当前模块内的内容，并且只涵盖那些已被 OllyDbg 识别为代码的部分所对应的断点和注释。