RORDbg 0.26版本 by Kernel64

转载 2006年05月31日 21:00:00
RORDbg V0.26

这是一个用虚拟机技术实现的简易Debugger,主要用于外壳分析和脱壳,目前只能跑exe文件的主线程。
这个工具仅仅可以作为分析外壳辅助手段,因为是虚拟执行每条指令,所以,速度很慢。


更新日志:
V0.26
  界面进行了修饰,窗口可以缩放并可以最大化
  增加了DATA窗口,可以编辑内存数据,先使用D命令确定内存位置
  增加了一个异常的处理
V0.25
  增加了对DLL文件调试的支持,借用了一个ollydbg的一个loaddll.exe文件,表示感谢!
       (DLL文件暂时不能makepe)
V0.24
  修正了scans指令会被误判为异常的问题
  修正了jmp XXXXXXXX (E9 XXXXXXXX)指令当跳转到API入口时,会出现崩溃的问题
V0.23
  修正了几个BUG
V0.22
  LOG中增加了指令记数提示,方便下次运行设置BPC断点
  检测非常规API调用更加准确
  设置了两种运行方式,能跑的程序会更多一些
  makepe命令中对被抽掉的IAT表中的API做探测(还不成熟)
V0.21
  换了一个程序图标
  修正了界面中搜索有时出错的问题
  修正了push ax,pushfw,pop ax等指令出错的问题
  修正了某些机器上遇到jnz xx等类似指令出错的问题
  修正了makepe命令中的一个问题,成功率提高
  增加了一个API地址检测的数值选项。
V0.20
  修正了MAKEPE时偶尔会死掉的BUG
  增加了对VB程序脱壳的支持
V0.19
  修正了MAKEPE中的一个错误
  增加了命令记录功能
  增加了对SYSENTER和INT 2E指令的支持
V0.18
  修正了界面的几个小问题;
  修正了对PUSH AX等指令的支持;
  增加了对RaiseException异常的支持;
  测试了TheMida 1.1.0
V0.17
  Log窗口支持鼠标选择和右键菜单复制功能;
  强化了MAKEPE命令,智能修复IAT(Import REC工具不能修复的,本工具也许可以)
V0.16
  解决了JMP DWORD PTR [ESP-4]指令的解析出错问题;
  解决了MAKEPE中重建IAT的一个BUG;
  解决了导入WINMM.DLL的PlaySound不能正确MAKEPE的问题。
  增加了两个热键,F8(Step),F9(Go! or Pause)
  修正了界面的一些小问题
V0.15
  解决了PIII机器上(也可能是XP SP2的堆栈执行保护?)遇到条件跳出错的问题;
  增加了异常种类支持;
  测试了Arm、ACProtect、EXEStealth、Obsidium、hying、PESpin等几种加密壳。
  测试了UPX、ASPack压缩壳。
V0.14
        修正了V0.13版本的重大BUG
V0.13
  增加了X命令和G命令和BL命令
  增加了“在OEP处暂停”选项
  修正了MAKEPE命令中的BUG
  修正了其他一些BUG,兼容性更好了一些
  工具包中提供一个脱壳例子文件(脱壳方法:启动RORDbg(名字为Explorer.exe),加载Sample.exe,GO!...在OEP处停止后,
        用makepe命令即可,然后手工修复OEP处的前三个字节)
V0.12
        支持800X600屏幕分辨率
  支持双击标题栏窗口收起
  支持文件拖放
  修正了“不记录绝对跳转指令”选中时单步迟钝的问题
V0.11
        修正了“不记录绝对跳转指令”的逻辑错误
        修正了“遇到API调用暂停”条件发生后不能继续GO或者不能单步越过的问题
V0.1
  可以加载并运行一个Windows的EXE文件。
  
支持的命令:
      U  --反汇编(U命令参数为16进制内存地址,不支持表达式)
      D  --显示内存数据(显示内容并不实时更新)
      G  --不带参数的G命令会继续跑被调试程序,如果带了地址参数,会跑到那里停下来
      X  --等同于不带参数的G命令
      BL --显示所有断点信息
      BP --设置断点,如:
   BP 401000    ;执行到401000处停下来
         BP *eip==6aec8b55  ;当EIP处的数值为0x6aec8b55时停下
   BP GetWindowTextA Count==8  //第8次调用GetWindowTextA时停下

     BPC --指令执行多少条后停下(窗口顶部有个计数器)
     R   --更改寄存器的值
     MAKEPE --类似TRW2000的MAKEPE,参数为希望设置的EntryPoint的地址,保存文件名字固定为
        ROR-Unpacked.exe
     LOG --设定执行多少条指令后开始记录执行指令,参数为十进制数字
     EXP --参数为Module名字,会把这个Module的引出函数显示出来,如:EXP Kernel32.dll
     ?   --查询一个16进制数,如果是API地址,会显示这个API名字
     BD  --禁止断点(只支持参数 *)
     BE  --开放断点(只支持参数 *)
     BC  --清除断点(只支持参数 *)

界面介绍:
    Log窗口:左上的那个就是
    DATA窗口:Log窗口的下面那个
    命令窗口:在DATA下面
    寄存器窗口:右上
    STACK窗口:寄存器窗口下面

    1、如何启动一个待调试程序
       点击“打开被分析文件”按钮,按下它选择被调试文件即可
    2、“GO!”按钮是让这个程序在虚拟机下跑(不是跑飞)
    3、“放开跑”按钮是放开被调试程序,让它自由跑,控制权不能再收回,
        这个方法可测试虚拟机是否能够正常跑这个程序,如果程序运行正常,说明在这之前虚拟机跑的都正确!
    4、“单步”仅仅是step into,没有step over,以后再加
    5、“结束调试”仅仅在程序没有跑飞的时候有用。


      苏州工业园区视算科技有限公司
        2006-5-31

http://bbs.pediy.com/attachment.php?s=&attachmentid=1677

Matlab拟合工具箱的使用

1.打开 CFTOOL 工具箱。g",点开"Curve Fitting Tool",出现数据拟合工具界面,基本上所有的数据拟合和回归分析都可以在这里进行。也可以在命令窗口中直接输入”cftool”,打...
  • winycg
  • winycg
  • 2016年09月08日 17:02
  • 972

如何查看eclipse的版本

本文主要讲解的是两种查看eclipse版本的方法。 方法一:
  • Duqian94
  • Duqian94
  • 2016年08月31日 16:07
  • 7996

查看PHP版本的方法

查看PHP版本的方法
  • qq_35816459
  • qq_35816459
  • 2017年05月12日 11:33
  • 1756

window下的tomcat手册之三【tomcat版本与jdk(jre)版本的纠缠】

这里说个常识,tomcat,jdk分64位(x64),和32位(x86)两种,位数只和机器有关,所以你会发现你下载的单纯的zip包,也不知道是啥位数,在什么机器上都能跑得好好地 这里直接说个科普的常...
  • rainyspring4540
  • rainyspring4540
  • 2017年02月20日 12:02
  • 645

jquery 用哪个版本

类似标题:jQuery选择什么版本?jquery一般用什么版本?jquery ie8兼容版本。jquery什么版本稳定? 目前jQuery有三个大版本: 1.x:兼容ie678,使用最为广泛的,官方...
  • u014759533
  • u014759533
  • 2016年12月22日 15:43
  • 4782

查看hive的版本

hive比较坑的一点就是没有类似hive -version的方便地查看版本的方法,我们只能自己去hive的安装目录里去看各个jar包的版本。可是,我们怎么找到hive的安装目录呢?这里有个方便的方法:...
  • sinat_27339001
  • sinat_27339001
  • 2017年11月03日 19:22
  • 367

Hadoop各主流版本的介绍

1、Apache Hadoop2.0版本,有以下模块: Hadoop通用模块,支持其他Hadoop模块的通用工具集; Hadoop分布式文件系统(HDFS),支持对应用数据高吞吐量访问的分布式文件...
  • SHENNONGZHAIZHU
  • SHENNONGZHAIZHU
  • 2016年07月06日 20:12
  • 3065

API开发的版本控制技巧

《API开发的版本控制技巧》作者:chszs,转载需注明。博客主页:http://blog.csdn.net/chszs在设计和构建API时,API的版本控制是非常重要的。必须确保新API对于现有的A...
  • chszs
  • chszs
  • 2015年01月16日 16:45
  • 8386

CentOS下载及版本选择

地址:http://www.metsky.com/archives/548.html 本文汇总CentOS LiveCD、LiveDVD和BinDVD下载及版本区别说明,定期更新。CentOS是很多...
  • ssrrxx111
  • ssrrxx111
  • 2013年08月24日 09:48
  • 9956

jQuery各个版本的变化

2005年8月,John Resig提议改进Prototype的“Behaviour”库,于是他在blog上发表了自己的想法,并用了3个例子做说明。 第一个例子是为元素注册一个事件: Beha...
  • csdn_yudong
  • csdn_yudong
  • 2016年09月29日 16:18
  • 7152
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:RORDbg 0.26版本 by Kernel64
举报原因:
原因补充:

(最多只允许输入30个字)