程序员经验分享-hwhale

x64dbg 基本使用技巧

2023-05-16

x64dbg 基本使用技巧

最近使用 DBG 多了起来，所以查了一些资料来学习并整理成自适应的笔记。

本文摘抄自：x64dbg 使用技巧与实用插件合集

官方网站： https://x64dbg.com/

DBG 根目录内容

DBG 解压后根目录如下图，双击 x96dbg，出现三个弹窗，会生成 x96dbg.ini 文件，里面记录着 32 位和 64位 dbg 程序的路径。
当你需要把整个程序文件夹移动到其他路径时，最好把这个 ini 删除，重新双击让它再生成。当你需要把它加到发送到菜单中的时候，也推荐添加 x96dbg，它会自动选择用 x32 还是 x64dbg 打开。
在这里插入图片描述
在这里插入图片描述

选项设置

外观

  • 字体大小调整 选项——外观——字体——最右边那个数字（图右）（我个人用12）
  • 主题选择 选项——主题——选择你喜欢的（图左）。
    在这里插入图片描述

事件：
勾选入口断点则第一次暂停于主模块入口点，其它根据调试情况具体定之。
在这里插入图片描述

引擎：
保持默认即可，需要特别说明的是禁用数据压缩和将数据保存于应用程序目录，所指的数据是指调试相关数据，默认保存在调试器 db 文件夹下，所以 db 文件夹下有很多数据文件，需要时可及时清理。
在这里插入图片描述

调试引擎选项里的 GleeBug，据作者以前博客内容说是跟踪速度会比默认的 Titan 快很多，但我试了没什么感觉。
在这里插入图片描述

异常：
暂时未懂，保持默认
在这里插入图片描述

反汇编：
仅在 CIP 处显示自动注释——勾选之后界面会更整洁，该有的自动注释也还是有的，自行体验取舍

模块名最长长度——默认 -1 不限制，如果遇到比较长的文件名，调试起来界面观感会比较差，OD 的限制长度为 8，自行取舍。
在这里插入图片描述

值前加 0x 前缀—— x64dbg 里默认以 16 进制显示数值（不显示 0x），如果你需要表示十进制，可以在前面加点，汇编里输入加点 10 进制需要设置 XEDparse 引擎。
当然如果直接勾选改选项那直接输入 10 进制数即可。
在这里插入图片描述

图形界面：
图形缩放模式——这里指的是 x64dbg 流程图功能 是否支持缩放，勾选后流程图操作体验会稍微接近 IDA。
在这里插入图片描述

杂项：
可以将搜索引擎改为百度：https://www.baidu.com/s?wd=@topic 遇到不认识的函数选中，右键，符号名称帮助，直接进行查询。
在这里插入图片描述
在这里插入图片描述

使用技巧篇

收藏夹参数：（参数加在路径后面表示选择或替换当前程序的分析）
%PID%：
如果你在工具的命令行添加 %PID%，它将被调试对象(如果不进行调试或 0 )的(十进制) PID 替换。

%DEBUGGEE%：
如果你添加 %DEBUGGEE%，则它将添加调试对象(不带引号)的完整的路径。

%MODULE%：
如果你添加 %MODULE%，则将添加在当前反汇编中模块(不带引号)的完整路径。

%-????-%：
如果你添加 %-???-%，则它将执行无论你放在何处的 ??? 字符串格式。示例：%-{cip}-% 将会用 cip 的十六进制值替换。

应用举例：
“D:\逆向小型工具集\010Editor\010Editor.exe”%DEBUGGEE% 会添加我的 010Editor 工具（记得路径加双引号），然后把收藏夹——收藏工具箱选上。点击 010Editor.exe 图标，将会启动并且分析当前在调试的模块。
但是如果不加上参数 %DEBUGGEE% 就只是单纯打开 010Editor，里面并没有分析当前程序。
在这里插入图片描述

流程图：
在反汇编窗口按下 G 键切换到流程图，再按 G 回来。建议配合图形缩放模式设置，可以用 Ctrl+ 滚轮进行缩放。
右键点击脱离后，可以与反汇编窗口同时使用，而且热键 G 在流程中也是在反汇编窗口中转到，所以可以关联着来看。
在这里插入图片描述

Ctrl+G 跳转到
可以直接输入 API，会自动补全。默认是输入 VA，如果要输入 RVA 需要这样： :$RVA（注意这个冒号要带上）

举例：
输入 :$0 跳到基址处
在这里插入图片描述

如果需要输入 FOA 可以这样：
:#FOA 或者按下 Ctrl+Shift+G 再输入 FOA，但是这需要有文件字节码信息的一个对应，这里暂时没需求。

按热键 H 进入高亮模式，高亮显示所有相同的内容：
此时单击需要高亮显示的内容即可高亮显示，再次按下 H，点击空白处可以取消。（也可以设置一直启用高亮，但有误点的问题）
在这里插入图片描述

数据库：
遇到过几次 x64dbg 数据丢失，写了很多注释就没了，这种情况千万不要慌张，因为你每次关闭 x64dbg 自动保存的时候，都会把上次的数据文件做备份 (.bak)，这时候可以试着点击还原备份数据库。
在这里插入图片描述

x64dbg 计算器：
个人觉得比系统自带计算器好用，可以一边调试一边计算（非模态+置顶），不用切来切去，支持 x64dbg 的各种表达式。
在这里插入图片描述

右键——显示指令提示：
会显示汇编指令对应的解释，对于初学者很有帮助，有一个王苏汉化的版本，是将这些帮助文本也完全汉化了的。（自行搜索）
在这里插入图片描述
在这里插入图片描述

文件菜单——改变命令行
可以支持带参数调试。（暂时没理解干什么用的）
在这里插入图片描述

复制各种格式的数据：
选中你要的部分——右键二进制——编辑——复制数据
在这里插入图片描述

少数情况下 64 位系统使用 x64dbg 调试 32 位程序界面卡顿问题
这个问题很玄学，我遇到了，搜了网上也有一个朋友遇到过，我身边的同学也有极少数遇到的，这里给出解决方法。

x32dbg.exe ——右键属性——兼容性——调成 Windows 7 （那个遇到同样问题的博主是这么解决的）

但是我这么设置后还是卡顿，后来装了个叫 xAnalyzer 的插件，又恢复了。（我的情况是这个插件和兼容性设置缺一不可，不然就会卡顿，非常奇葩，重装了系统还是一样，在此做个记录，防止有人再遇到）

ESP 硬件断点
寄存器窗口空白处右键
在这里插入图片描述

自动跟踪：
右键——追踪记录——启动运行跟踪——点击菜单栏 跟踪(N)——步进\步过直到条件满足。

在暂停条件或者命令里类似这样设置：eip/rip==要跟踪到的地址，接着就可以在跟踪窗口查看跟踪结果了。
在这里插入图片描述

切换XX：
切换断点、切换书签，这类命名在最初给我带来了一些困扰和误解，后来发现切换的意思就是 设置/取消设置。点一下是设置，再点一下就取消设置，所以命名为切换。

这里顺带一说，x64dbg 的搜索结果，内存窗口，跟踪结果，几乎所有带地址的地方，都是支持直接 F2 设置断点的，各位可以多加利用提高效率。

插件推荐篇：

介绍一点常规的插件，插件放在 release\x32 或者 x64\plugins 目录下，以 .dp32 或 .dp64 结尾）

Scylla（脱壳与导入表修复）：

自带的插件，个人觉得比 OD+ImpREC 更方便快捷

常见的脱壳流程：
x64dbg 停在需要脱壳的地址上，点击 Scylla 的图标启动，会自动为你设定 IAT info 里的 OEP 为当前地址，点击 dump。
在这里插入图片描述

修复导入表：
点击 IAT Autosearch，有可能提示——高级搜索结果和普通搜索结果不同，是否使用高级搜索结果。一般都选是，接着点 Get Imports，自动获取需要修复的函数。
（有时会遇到高级搜索反而搜不到的情况，这时候可以试试点否之后再点 Get Imports）
确认结果无误后点 Fix Dump，选中刚才 Dump 出的文件，最终便会生成 SCY 结尾的修复好的文件。
在这里插入图片描述
.
.

xAnalyzer（代码分析辅助）

插件项目地址： https://github.com/ThunderCls/xAnalyzer

该插件对调试程序的 API 函数调用进行检测，自动添加函数定义，参数和数据类型以及其他补充信息，安装以后可以让 x64dbg 与 OllyDbg 的使用体验更接近。

效果如图，可以在插件菜单里把自动分析（Automatic Analysis）打开。我个人不喜欢插件自动添加很多注释，会让页面看起来很乱，所以一般在需要分析的时候通过右键菜单来让它分析当前函数。
在这里插入图片描述
在这里插入图片描述
.
.

SwissArmyKnife（导入Map文件）

项目地址： https://github.com/Nukem9/SwissArmyKnife

我自己没用过 map 文件分析，原博客原话是分析 C 程序的时候用 IDA 生成 MAP 文件，然后用这个插件加载。分析 delphin 程序推荐用 Interactive Delphi Reconstructor 先分析，再生成 MAP 文件用，还有其他程序也同样。MAP 文件可以让你的分析进度大大加快，减少分析一些已知的库函数。
.
.

x64dbg_tol（中文搜索支持）

项目地址：https://bbs.pediy.com/thread-261942-1.htm

必装插件，虽然官方在某个版本开始改善了对中文的支持，但他们在博客上也说了，可能会不全，建议自行安装插件。我自己测试了，嗯，他们说的没错。装了这个插件就能搜到之前搜不到的中文字符串了。
在这里插入图片描述
.
.

ScyllaHide（反反调试）

项目地址： https://github.com/x64dbg/ScyllaHide
使用方法也很简单，插件菜单——Options——Loaded里可以选择自带的绕过方案（过一般的反调试可以用 Basic 甚至直接用自带的 调试——高级——隐藏调试器）

举例简单的 IsDebuggerPresent 反调试：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
.
.
听说 VM3.x 的反调试可以用自带的 VM 方案直接过掉，反而 OD 的 StrongOD 插件不行。（目前我自己还没复现）
在这里插入图片描述
.
.

Ret-Sync （IDA x64dbg\OD 同步调试插件）

项目地址： https://github.com/bootleg/ret-sync
使用方法详解： https://bbs.pediy.com/thread-252634.htm

可以让 IDA 和 x64dbg\OD\windbg 进行同步调试，支持在 IDA 中直接进行单步、下断点、运行等操作，x64dbg 将会与IDA保持同步，提高你调试效率的神器，关于安装、使用说明可以参考官方 github 说明（更详细）和看雪的帖子。

我自己复现了一下发现暂时自己不需要，因为它只能 IDA7.0，这个版本太老了，然后就是非要 x64dbg 操作的分析我目前还没这个需求，所以先不深究了。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
.
.

E-ApiBreak（常用断点设置）

项目地址：https://www.52pojie.cn/forum.php?mod=viewthread&tid=1384349

OD 上常用的 ApiBreak 插件，现在 x32dbg 也有了，但是 x64dbg 目前没有发现，就是全局中具体设置断点的一个工具。
在这里插入图片描述
.
.

E-Debug（分析易语言程序必备）

项目地址： https://www.52pojie.cn/forum.php?mod=viewthread&tid=1374290
原作者： githubhttps://github.com/fjqisba/E-debug-plus

该可以让分析易语言的效率倍增，OD 上有该插件。现在有人移植到 x32dbg 了，打开后会自动识别易语言库函数并且注释。（我自己没有 32 位易语言程序，所以没法复现）

没分析前：
（图片出自：https://www.52pojie.cn/forum.php?mod=viewthread&tid=1374290）
在这里插入图片描述

分析后：
（图片出自：https://www.52pojie.cn/forum.php?mod=viewthread&tid=1374290）
在这里插入图片描述
在这里插入图片描述
.
.

HotSpots（用来寻找事件断点）

项目地址： https://github.com/ThunderCls/xHotSpots

下拉框选择对应语言，按下按钮可以在按钮事件处理函数下断点。(我没用过，所以也是没复现，下图也是出自原博客的)
在这里插入图片描述
.
.

BaymaxTools（特征码提取和搜索）

项目地址： https://github.com/sicaril/BaymaxTools

快速提取选区特征码和特征码搜索功能（当然你也可以用 Ctrl+B 搜特征码）
在这里插入图片描述

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

x64dbg 基本使用技巧 的相关文章

  • MapReduce之单表关联Join输出祖父母、孙子---(附例子)

    需求 xff1a 一个文件 xff0c 有子女和对应的父母 xff0c 要求输出 祖父母 孙子 xff0c 文件如下 xff1a 单表关联 结果 xff1a child parent grand child Tom Lucy Alice T

  • 如何把 ubuntu 16.04.7 命令行界面下的系统语言更改为中文？

    如果你的 ubuntu 16 04 7 系统在命令行下的默认语言是英文 xff0c 比如下面这样 xff1a 怎么更改才能让某些输出单词显示成中文呢 xff1f 可以修改 etc default locale 这个文件 xff0c 先看一下

  • 小程序云开发实现订阅消息

    链接 简书博主示例 xff1a https www jianshu com p d90f22dac001 官方文档 xff1a 官方文档1 文档2 云调用 使用方法demo 假如这是一个点餐系统 xff0c 想让顾客下单以后 xff0c 派

  • ue4 常见问题解答

    1 如何让客户端自动连接服务器 span style color 0000aa MyGame span span style color 000066 span span style color 000066 exe span span s

  • Freertos代码之互斥信号量

    信号量用于限制对共享资源的访问和多任务之间的同步 三个信号量API函数都是宏 xff0c 使用现有的队列实现 使用例子 typedef void QueueHandle t typedef QueueHandle t SemaphoreHa

  • C语言冒泡排序和快速排序的思想和实现

    冒泡排序 基本思想 对有n个记录的序列进行冒泡排序 xff0c 首先将第一个数字与第二个数字进行比较 xff0c 若为逆序 xff0c 则将两个数字的顺序交换 然后比较第二个数字与第三个数字 xff0c 若为逆序 xff0c 则将两个数字的

  • CVPR2023最新论文 (含语义分割、扩散模型、多模态、预训练、MAE等方向)

    CVPR2023论文最新速递 xff01 含分割 VIT 点云等多个方向 2023 年 2 月 28 日凌晨 xff0c CVPR 2023 顶会论文接收结果出炉 xff01 CVPR 2023 收录的工作中 34 扩散模型 多模态 预训练

  • 【Hadoop基础教程】6、Hadoop之单表关联查询

    本blog主要通过输入文件中的child字段和parent字段进行单表关联查询 xff0c 推导出哪些用户具有child与grandparent关系 开发环境 硬件环境 xff1a Centos 6 5 服务器4台 xff08 一台为Mas

  • 自己完成一个简单的mapreduce程序

    hdfs上的数据源 search txt 我们这里依然使用讲解hive案例的那个数据源 xff0c 通过把hive执行的结果与我们自己写的mapreduce的结果作比较 xff0c 来验证是否编码正确 xff0c 以及能否正确理解mapre

  • ubuntu安装Beyond Compare 4 并破解

    1 官网下载 http www scootersoftware com download php ubuntu选择Linux下的Debian xff0c 32还是64位根据自己的系统下载 2 安装 sudo dpkg i 安装包 deb 3

  • Android部分监听器使用方法总结（一）之OnCLickListener

    ps 写在之前 1 小弟是以为android初学者 xff0c 在学习过程中遇到过一些新手都会遇到的问题 xff0c 希望能借助CSDN这个平台和各位前辈大牛已经同是菜鸟的同学们交流 这也是小弟第一次写博客 xff0c 名副其实的处女座吧

  • Welcome to Xiao

    Welcome to Xiao Hello Everyone xff01 这是我第一次使用 Markdown编辑器 所展示的欢迎页

  • QT_地图导航

    QT 地图导航 代码已经更新 xff1a http www cnblogs com douzujun p 6272667 html 1 地图显示功能 2 ifndef MAPWIDGET H 3 define MAPWIDGET H 4 5

  • 深度学习目标检测2013-2018单双阶段主流模型概览及详解

    背景 xff1a 深度学习引入目标检测领域以来 xff0c 给目标检测领域带来了很多突破性的进展 xff0c 文章 Deep Learning for Generic Object Detection A Survey 由香港中文大 国防科

  • NMS

    NMS 非极大值抑制 def NMS dects threshold dects x1 y1 x2 y2 score x1 61 dects 0 y1 61 dects 1 x2 61 dects 2 y2 61 dects 3 score

  • 我的2014点点滴

    我的2014点点滴 毕业篇 经历了6 43 3 43 3 43 4 43 2 5 61 18 5年的学校生活 xff0c 终于研究生毕业啦 xff01 2014年4月2日 xff0c 赶一晚上的火车 xff0c 回到了母校 xff0c 去领

  • OpenCV小例程——火焰检测（完整代码）

    火焰检测小程序 前几天 xff0c 偶然看到了An Early Fire Detection Method Based on Image Processing The Author is Thou Ho Chao Ho Chen Ping

  • “认知反映测试”——衡量一个人是“在短暂的思考后迅速解决问题”还是“通过一段长反射弧深思熟虑后再做决定”

    认知反映测试 衡量一个人是 在短暂的思考后迅速解决问题 还是 通过一段长反射弧深思熟虑后再做决定 有三个问题 xff1a 1 一副球拍和球成本1 10美元 球拍比球成本高1 00美元 问球多少美元 xff1f 2 如果五台机器生产五个零件需

  • 【选择排序的稳定版本与非稳定版本】

    选择排序 非稳定版本与稳定版本 排序过程中选择一个比较大 xff08 大到小排序 xff09 的数 xff0c 然后把它放到数组中指定的位置 xff1b 这时候可以直接与数组中指定位置交换数据 xff0c 但是可能会导致同值的数据的顺序发生

  • 机器人路径规划_人工势场法

    机器人路径规划 人工势场法 原理 人工势场法是由Khatib提出的一种虚拟力法 原理是 xff1a 将机器人在环境中的运动视为一种机器人在虚拟的人工受力场的运动 障碍物对机器人产生斥力 xff0c 目标点对机器人产生引力 xff0c 引力和

随机推荐

  • python中调用 imread 报错： ImportError: cannot import name imread

    现象 xff1a from scipy misc import imread imresize 报错 提示错误 ImportError cannot import name imread 但是import scipy的时候 显示正确 解决方

  • 改变python的默认路径为当前的工作路径

    改变python的默认路径为当前的工作路径 通过os模块来进行python中路径的更改 默认路径为 xff1a span class hljs prompt gt gt gt span span class hljs keyword imp

  • 无人驾驶技术——无人车的感官（激光雷达，雷达，摄像机）

    文章目录 激光雷达LIDAR什么是LIDARLIDAR原理LIDAR优点LIDAR缺点Velodyne激光雷达传感器HDL64每秒大约收集多少点 xff1f 雷达 RADARRADAR工作原理RADAR优点RADAR缺点 激光雷达 xff0

  • 机器学习——KNN

    机器学习算法 KNN KNN算法和KD Tree 思维导图

  • MATLAB：执行程序时调用bin文件夹下的.m文件，却显示找不到该文件

    在运行程序时 xff0c 明明要被调用的函数脚本就在当前文件夹bin 下面 xff0c 但是程序出错找不到对应的文件 xff0c 经过查询发现 xff1a 在命令行窗口输入 xff1a rehash toolboxcache 即可

  • 什么是定时器计数器

    定时器 计数器实际就是加1计数器 1 定时器和计数器的区别 xff1a 区别很小 xff0c 本质上都是计数器 xff0c 但定时器只是计数固定周期的脉冲 xff0c 所以根据频率可以计算出准确的时间 定时器模式 xff1a 对内部机器周期

  • 面试中问到动态库和静态库相关知识

    1 动态库相比较于静态库的优缺点 xff1f 动态库优点 xff1a 节省内存和代码重用 xff0c 当应用程序使用动态链接库时 xff0c 多个应用程序可以共享磁盘上的DLL xff08 windows xff09 和so linux 副

  • 【c++语法大全】

    C 43 43 基础入门 xff08 转载自黑马程序员 xff09 1 C 43 43 初识 1 1 第一个C 43 43 程序 编写一个C 43 43 程序总共分为4个步骤 创建项目创建文件编写代码运行程序 1 1 1 创建项目 Visu

  • Ubuntu20.04 USB网卡驱动安装 - MT7601u

    型号 xff1a TL WN725N 1 0 免驱版 芯片 xff1a MT7601u 具体型号可使用 96 lsusb 96 命令查看 确认型号为mt7601u后 执行如下命令 sudo apt install git build ess

  • 【浅谈插入排序】

    浅谈插入排序 插入排序 xff0c 是把无序数列中的数一个个插入到有序数列中 xff0c 直到无序数列没有数为止 比如有这么一个数列 xff1a 2 4 6 1 3 5 14 2 0 10 一共有10个数 xff0c 我们可以把第一个数当做

  • Meta Learning(元学习)详解

    元学习 概述基本概念基本分类 基本流程模型结构 概述 元学习 xff08 Meta Learing xff09 的提出是针对传统神经网络 模型的泛化性能不足 对信种类任务适应性较差的特点 主要表现为通过少量的计算和新训练数即可用于模型上实现

  • 2022 *CTF REVERSE 的 NaCl

    2022 CTF REVERSE 的 NaCl 下载附件 xff1a 照例扔入 exeinfope 中查看信息 xff1a 照例扔入虚拟机中运行一下 xff0c 查看主要回显信息 xff1a 照例扔入 IDA64 中查看伪代码 xff0c

  • python编码问题的一点笔记

    Python编码 xff1a 中文乱码问题 xff1a 如果开头不声明保存编码的格式是什么 xff0c 那么它会默认使用 ASCII 码保存文件 这时如果你的代码中有中文就会出错了 xff0c 即使你的中文是包含在注释里面的 声明中文编码格

  • 对 IDA 结构体操作的一些理解

    对 IDA 结构体操作的一些理解 前言 xff1a 刚学逆向时把 IDA pro 权威指南过了一遍 xff0c 但读得并不是很细 xff0c 满足日常使用还是没问题的 xff0c 但是对于一些细节的操作或提高效率的方法倒是没能掌握 比如 I

  • 第二届广东省大学生网络攻防大赛 pyre

    第二届广东省大学生网络攻防大赛 pyre 以前做过 pyc 逆向 xff0c 直接的 python exe 逆向还是第一次 xff1a 第一种方法 xff1a 用 pyinstxtractor py 将 exe 文件转换成 pyc 文件 用

  • 2022 年网刃杯 ez_algorithm

    2022 年网刃杯 ez algorithm 下载附件 xff1a 照例扔入 exeinfope 中查看信息 xff0c 64 位无壳 xff1a 照例运行一下 xff0c 查看主要回显信息 xff1a 照例扔入 IDA64 中查看伪代码

  • Base-N 算法加密解密实现：

    目录 Base N 算法加密解密实现 xff1a Base64 加密解密 xff1a xff08 C 语言 python xff09 Base32 加密解密 xff1a xff08 C 语言 xff09 Base N 算法加密解密实现 xf

  • 第二届广东省大学生网络攻防大赛 simple_re

    第二届广东省大学生网络攻防大赛 simple re 流程总结 xff1a xff08 思路原文出自 JANlittle 师傅 xff09 程序将关键函数以对象元素的形式存在对象里 xff0c 然后在申请内存中搭配指针间接调用 xff0c 关

  • 解析 DES 加密算法(C语言)：

    目录 解析 DES 加密算法 C语言 xff1a DES 简介 xff1a DES 算法整体流程 xff1a DES 解密 xff1a C 语言代码实现加密解密逻辑 xff1a 解析 DES 加密算法 C语言 xff1a 内容修改自博客 x

  • x64dbg 基本使用技巧

    x64dbg 基本使用技巧 最近使用 DBG 多了起来 xff0c 所以查了一些资料来学习并整理成自适应的笔记 本文摘抄自 xff1a x64dbg 使用技巧与实用插件合集 官方网站 xff1a https x64dbg com DBG 根

热门标签