OD_Script

最新推荐文章于 2024-07-13 18:10:19 发布
最新推荐文章于 2024-07-13 18:10:19 发布
阅读量254 收藏
点赞数
文章标签： 数据库 内存管理
原文链接：http://www.cnblogs.com/DreamoneOnly/p/11246170.html
版权
在后面的文档中, “源操作数” 和 “目的操作数”表示以下含义:
    - 十六进制常数，既没有前缀也没有后缀。 (例如：是00FF, 而不是 0x00FF 和 00FFh的形式)
      十进制常数,在后缀中加点. (例如:100.  128.也可以是浮点数128.56,浮点数只能保留小数点后2位)
    - 变量，这个变量必须在使用前用Var进行定义
    - 32位寄存器 (EAX, EBX, ECX, EDX, ESI, EDI, EBP, ESP, EIP)。
      16位寄存器 (AX, BX, CX, DX, SI, DI,  BP,SP)
      8位的寄存器(AL, AH, ... DL, DH)
    - 被中括号括起来的内存地址 (例如：[401000]指向内存地址为401000里存放分数据,
      [ecx] 指向内存地址为寄存器ecx里存放分数据).
    - 一个标志位，带有感叹号前缀(!CF, !PF, !AF, !ZF, !SF, !DF, !OF)
    - 字符串，也可叫数据序列。其格式为： #6A0000#(数值在两个“#”号之间)，两个“#”号之间必须包含至少有一个数值。
                                  "1234567ABCDEF"
    - 包含“?”通配符的字符串。比如 #6A??00# 或者 #6?0000#
指令全称解释示例
$RESULT <RESULT>　
保存某些函数的返回值，比如FIND函数运行后的结果，等等。
    在ODbgScript的脚本调试窗口,你能观察到它的变化,并且可以修改它.
 
$VERSION <VERSION> ODBGScript的版本信息,它是系统保留变量名.
例：
    cmp $VERSION, "1.47"  //比较是否大于 1.47版
    ja version_above_147  

 #INC "文件名"     

 　　一个脚本文件包含另外一个脚本.就像调用子程序一样.两个脚本中的变量名不能相同.
例:
    #inc "test.txt"
 
 #LOG   
开始记录运行指令
    指令会显示在OllyDbg的log窗口中，每条记录前都会加上“-->”的前缀
 
 ADD  <ADD>  　　源操作数与目的操作数相加，并把相加的结果保存到目的操作数中,支持字符串相加. 　　 
例：
    add x, 0F         //x=x+F
    add eax, x        //eax=eax+x
    add [401000], 5    //[401000]=　　　　　[401000]+5
    浮点数相加
    CMP 目的操作数, 源操作数
 AI  <AnimateInto>        
　　在OllyDbg中执行“自动步入”  [Animate into]操作。
相当于在OllyDbg中按下CTRL+F7
 
例：
    ai
 ALLOC   申请内存, 你能读/写/执行  
例：
    alloc 1000         //新申请内存,大小为1000,返回结果$RESULT放着申请内存的开始地址.
    free $RESULT, 1000
 AN 地址  <Aalyze>  从指定地址处，对代码进行分析  
例：
    an eip //    相当于在OllyDbg中按 Ctrl+A键
AND 目的操作数, 源操作数     <AND>　　源操作数与目的操作数进行逻辑与操作，并将结果保存到到目的操作数中  
例：
    and x, 0F                //x=x&&f
    and eax, x               //eax=eax&&x
    and [401000], 5      //[401000]=[401100]&&5
 AO  <Animate  Over>  
　　在OllyDbg中执行“自动步过”  [Animate over]操作。 相当于在OllyDbg中按下CTRL+F8
 
例：
    ao
 ASK 问题  <ASK>  
　　显示一个提示输入框，让用户输入，结果保存变量$RESULT中（如果用户按了取消键，则$RESULT=0）。
    $RESULT_1中放着输入的长度.
    (注:程序将判读你输入的是字符,$RESULT_1的结果是输入字符数的数目,整型/2,中文数*2)
 
例:
    ask "Enter new EIP"
    cmp $RESULT, 0
    je cancel_pressed
    mov eip, $RESULT
 ASM 地址, 指令  <ASseMble>  
修改指定地址的指令。
    并将修改后的汇编指令长度保存到保留变量$RESULT中
 
例：
    asm eip, "mov eax, ecx" //将当前指令修改为 mov eax,ecx
 ASMTXT 文件  <ASseMble>  
汇编指定文件中的指令
    将汇编指令长度保存到保留变量$RESULT中
    并将汇编指令行数保存到保留变量$RESULT_1中
 
例：
    asmtxt EIP,"myasm.txt"//将myasm.txt文件中的asm转成opcode后写入EIP.
 ATOI str [, base=16.]   
转换字符串到16进制整型,[可以将任何进制转成16进制整型]
    返回结果放到 $RESULT
 
例：
    itoa "F"        //字符串"F"转成了整型,结果会等于F
    itoa "10", 10.   //字符串"10"代表十进制,结果会等于A
 BC 地址 <BreakPoint  Clear>  清除指定地址的断点  
例：
    bc 401000         //清除401000处的断点
    bc x              //清除X(变量值)处的断点
    bc eip            //清除当前EIP处的断点
 BP 地址  <BreakPoint>  在指定地址设断点  
例：
    bp 401000         //在401000处下断点
    bp x              //在X(变量值)处下断点
    bp eip           //在当前EIP处下断点
 BPCND 地址, 条件  <BreakPoint  on CoNDition>  在指定地址处，设置条件断点。  
例：
    bpcnd 401000, "ECX==1" //当 代码执行到401000且  ecx等于1 时，程序暂停
 BPD 函数字符串   清除调用函数断点,函数为字符串表示.  
例:
    bpd "GetVersion"   //取消呼叫GetVersion的断点
 BPHWC 地址  <BreakPoint  HardWareClear>  删除指定地址处的硬件断点  
例：
    bphwc 401000 //清除 401000处的断点
    bphwc //不接地址默认清楚全部 等同于bphwcall
 BPHWCALL   清除所有的硬件断点  
例：
    BPHWCALL     //清除所有的硬件断点
 BPHWS 地址, 模式  <BreakPoint  HardWare Set>  
在指定地址，设置硬件断点。有三种模式： "r" - 读取, "w" - 写入 或者 "x" - 执行.
    此断点只支持1个字节的动作.
 
例：
    bphws 401000, "x" //当执行到此地址时产生中断.
    Bphws 401000,"r"  //当读取401000的时候产生中断
 BPL 地址, 表达式  <BreakPoint  of Logging>  在指定地址处设置记录断点，将表达式的结果记录到记录窗口中。  
例：
    bpl 401000, "eax" // 每次执行到401000时，都将eax寄存器的结果记录
 BPLCND 地址, 表达式, 条件   在指定地址处设置记录断点，如果条件为真时，将表达式的结果记录到记录窗口中。  
例：
    bplcnd 401000, "eax", "eax >  1" //如果执行到401000时，满足eax>1，则将eax寄存器的结果记录
 BPMC  <BreakPoint  Memory Clear>  清除内存断点。  
例：
    bpmc
 BPRM 地址, 大小  <BreakPoint  on ReadMemory  在指定地址处，设置一个内存读取断点。 “大小” 是指内存中的字节大小。  
例：
    bprm 401000, FF //在401000中设置内存读断点,内存中的大小为FF
 BPWM 地址, 大小  <BreakPoint  on WriteMemory>  在指定地址处，设置一个内存写入断点。“大小” 是指内存中的字节大小。  
例：
    bpwm 401000, FF   //在401000中设置内存写断点,内存中的大小为FF
 BPX 函数字符串   
设置调用函数断点,函数为字符串表示.
    返回下了断点的地址数量,结果保存在保留变量$RESULT中.
 
例:
    bpx "GetVersion"   //下呼叫GetVersion断点,断下的语句为call [xxxxx]
 BUF var  string/dword  variable to a Buffer  转换字符串变量到缓冲区  
  mov s, "123"
    buf s
    log s // output "#313233#
 CMP 目的操作数, 源操作数  <CoMPare>  
比较 目的操作数与源操作数的大小，和其对应的汇编指令作用相同
    可以是各种数值,甚至可以是字符串(对大小不敏感).
 
例：
    cmp y, x        //比较两个变量(Y和X)的大小,
    cmp eip, 401000   //比较EIP和401000的大小
    这里可以设置比较的数的长度 比如 cmp [eip],#ff25#,2 这里比较EIP所在的指令 前两个字节是否是FF25
    测试代码如下：
    00581DAC    $- FF25 C0B55B00 jmp     dword  ptr [5BB5C0]　　　　
CMT 地址, 字符串 <CoMmenT> 在指定地址处，加入注释。
例：
    cmt eip, "这是入口" //当前地址处 加上“这是入口”的注释
COB <Continue  On Breakpoint> 发生中断后，让脚本继续执行（移除EOB指令）
例：
    COB
COE
<Continue  OnException>
    （移除EOE指令）
发生异常后，让脚本继续执行
例：
    COE
DBH <DeBuggerHided> 隐藏调试器
例：
    dbh
DBS <DeBugger  Show> 对隐藏的调试器操作进行恢复，不再隐藏。
例：
    dbs
DEC 变量 <div> 源操作数与目的操作数进行除法操作，并将结果保存到到目的操作数中。
例：
    div x, 0F       //X=X/0F
    div eax, x      //eax=eax/x
    div [401000], 5  //[401000]/5
DM 地址, 大小, 文件名 <Dump  Memory> 从指定地址处开始，在内存中提取指定大小的数据，并保存到指定的文件中
例：
    dm 401000, 1F, "c:\dump.bin"
DMA 地址, 大小, 文件名 <Dump  Memory Appended>
从指定地址处开始，在内存中提取指定大小的数据，并保存到指定的文件中；如
    果指定文件已存在，则将数据追加到指定文件尾部。
例：
    dma 401000, 1F, "c:\dump.bin"
DPE 文件名, 入口 <Dump  Process with Entrypoint>
提取执行模块到指定文件中。
    “入口”用来设定入口地址。
    这个命令用来抓取文件,还是比较好用的,因为直接利用了OD强大的内存管理功能.
例：
    dpe "c:\test.exe", eip //入口为当前地址，保存为C盘下test.exe
EOB 标签 <Execution  On Breakpoint>
在下次中断发生时，跳转到指定标签处。
    此功能和EOE命令常常让新手迷惑不解,其实就是遇见中断做脚本的流程转向.
    如果还有不懂,请看下文的答疑解惑章节.
例：
    eob SOME_LABEL
EOE 标签 <Execution  On Exception> 在下次异常发生时，跳转到指定标签处。
例：
    eoe SOME_LABEL
ESTI <Exception  STep Into> 相当于在OllyDbg按  SHIFT-F7。
例：
    esti
ESTO <Exception  STep cOntinue> 相当于在OllyDbg按 SHIFT+F9。
例：
    esto
    一般来说用这个 不用F9多 因为Shift+F9  忽略异常运行
EVAL <EVALuate>
计算含义变量的表达式。
    变量必须已经在脚本中声明。
    注意:
    插到字符串中时，要放在大括号{ }中。
    结果保存在保留变量$RESULT中.
    这句和其它语句结合将产生很多的变化,用好它将让你的脚本十分灵活.
例：
    var x
    mov x, 1000
    eval "x的值是 { x  }" // 执行后$RESULT为 "x的值是00001000"
EXEC/ENDE <EXECute/END  of Execute>
对当前调试进程，执行在EXEC和ENDE之间的指令。
    有这个命令就是你可以直接跳入进程,对进程进行直接控制.
    它的原理就是取当前进程的信息进行保存,然后新分配一个代码内存区(可读/写/执行.大小1000)
    调用OD汇编器将你的汇编语句转成OPcode,将OPcode拷贝到代码区,然后将EIP指向你的代码开头.
    然后将控制权交给你.执行完后将EIP归还原位,然后将控制权交还ODbgScript.
    这里的好处就是让你以很高的效率来避免在较慢的脚本环境运行需要高效的操作.
    !注意:由于进程控制权交给你了,那么,你的代码有效性将只有你自己来控制了.
    !注意:执行后不保存现场.这都需要你来做工作.(要保存现场,你可以使用pushad,popad)
    有大括号的，会被大括号中的变量的值替代。
例：
    // 以下是做移动操作
    var x
    var y
    mov x, "eax"
    mov y, "0DEADBEEF"
    exec
    mov {x},{y}     //到进程中新开的代码区去,mov eax,0DEADBEEF 将被执行
    mov ecx, {x}     //mov ecx,eax 将被执行
    ende
    // 以下是调用调试程序的ExitProcess函数
    exec
    push 0
    call ExitProcess
    ende
    ret
FILL 地址,长度,值  
从地址addr开始填充长度为len的值value
    !注:value的值最大8个字节,可以为寄存器值,标志位值,变量值,16进制值,10进制值,[]指针操作数.
如:
    fill 401000,10,90       //NOP 10h个字节
    fill 401000,ff,[eax]      //取出[eax]值,填充到401000,长度为ff
    fill 401000,ff,$RESULT    //将变量$RESULT的值填充到401000,长度为ff
FIND 地址, 查找内容 ,[最大大小] <FIND>
从指定地址开始在内存中查找指定的内容。
    如果查找成功，地址会保存到保留变量$RESULT中，否则$RESULT将等于 0。
    查找的串支持通配符“??”(见下面的例子)。
    ##中的为HEX,""中的为字符串,什么都不带的为内存数据
    !注:输入的16进制字符必须是成偶数
       从1.52版开始支持直接变量和数据查找.
例：
    find eip, #6A00E8# // 查找一个Call，其的第一个参数为0 (push 0)
    find eip, #6A??E8# // 查找一个带参数的Call,一个?代表一个字符常量
    find eip,"kernel32.dll" //查找字符串"kernel32.dll"
    find eip,"ker???32.d??" //查找带通配符的?字符串,一个?代表一个字符串常量
                           (请注意这里的通配符?和HEX中的?不同)
   
    find eip,15ff     //查找内存数据15ff(代码为ff115)
    (mov tmp,#ff15#
     find eip,tmp )   //查找变量tmp中的数值,tmp=ff15
    (mov tmp,"kernel32.dll"
    find eip,tmp  )   //查找变量tmp中的字符串"kernel32.dll"
    (mov tmp,15ff
     find eip,tmp    //查找变量tmp中的内存数据15ff(注意和#ff15#区别)
    (ask "输入需要的数据"
    find eip,$RESULT      //输入的为#ff15#,"Kernel32.dll",15ff就同上面三例子
   
    find eip,#ff15#,ff //从EIP开始,FF大小范围内,查找字符ff15,
FINDCMDS 地址, 查找内容 <FIND  command>
从指定地址开始查找指定命令序列。
    如果查找成功，地址会保存到保留变量$RESULT中，否则$RESULT将等于 0。
    注:命令序列分割请使用;号(分号).
例：
    findcmd 401000, "push eax;mov eax,edx"  //    寻找"push eax和mov eax,edx"命令序列
FINDOP 地址, 查找内容,[查找范围] <FIND  OPcode>
从指定地址开始查找指定一个指令，这个指令是以指定内容为开始的。  
    如果查找成功，地址会保存到保留变量$RESULT中，否则$RESULT将等于 0。
    查找的串支持通配符“??”(见下面的例子)。
    注意:findop由于是opcode查找,不支持字符串查找.
        findop和find的区别是findop查找到的必须是opcode.
    1.52起支持直接变量和内存数据
例：
    findop 401000, #61# // find next POPAD
    findop 401000, #6A??# // find next PUSH of something
    译者注：
    对比一下FIND 和FINDDOP的区别：
    地址          数据              代码
    00401007      B8 3300         MOV    EAX, 33
    0040100C     33F6           XOR     ESI,ESI
    find 401007,  #33#   //$RESULT等于401008
    finddop 401007, #33#  //$RESULT等于40100C
FINDMEM what [, StartAddr]  
从整个内存开始在内存中查找指定的内容
    如果查找成功，地址会保存到保留变量$RESULT中，否则$RESULT将等于 0。
    查找的串支持通配符“??”(见下面的例子)。
Example:
    findmem #6A00E8# // find a PUSH 0 followed by some kind ofcall
    findmem #6A00E8#, 00400000 // search it after address00400000
    此命令查找十六进制的变量有为有效，因为Find不会把变量当然一个十六进制来查找。
FREE 地址 大小  释放由ALLOC申请的内存.
Example:
     alloc 1000
     free $RESULT, 1000
GAPI 地址  
获得指定代码处的API调用信息
    API信息保存到保留变量$RESULT中。
    如果符号名是一个API函数，则
    $RESULT保存API信息
    $RESULT_1保存链接库名（比如 kernal32）
    $RESULT_2保存符号名（比如 ExitProcess）。
    $RESULT_3保存调用地址XXXX(比如  call xxxxx)
    注意:这个和GN的区别是GN必须指向IAT地址
        而GAPI直接给出代码地址就可得出API
        还有如果你是在此处下了软件断点,请先清除断点再用此句,因为软件断点修改了代码为CC
    这里如果不清除此处的软件断点,将造成这句不能很好的识别.
例：
    GAPI 401000    (callkernal32.ExitProcess)
    GAPI EIP   //查看当前代码是否是API调用,不是则返回0
GCMT 地址  获得指定地址处的解释  
GCI 地址, 信息  
获得制定地址的汇编指令信息
    "info"可以是:
    -汇编指令字符串 例:gci  eip,COMMAND
     就象用OPCODE eip一样
    -目标地址 ,例: gci eip,DESTINATION
      用于jump/call/return指令
    -命令长度,例: gci  eip,SIZE
    -类型, 例:gci eip,TYPE
    -条件,例:gci  eip,CONDITION
    返回值:$RESULT
    -得到指令目标地址（DESTINATION）
比如 ：
    004B3DF0    0F85 D7010000   jnz     004B3FCD
    EIP：004B3DF0  
    gci eip,DESTINATION
    这里的$RESULT等于004B3FCD
GMEMI 地址, 信息  
获得指定地址处内存的信息.
    信息可以是 MEMORYBASE,  MEMORYSIZE or MEMORYOWNER
Example:
    GMEMI addr, MEMORYBASE // After this $RESULT is the address tothe memory  base of the memory block to which addr belongs
GMI 地址, 信息 <Get  Module Info>
获得指定地址所在模块的相关信息
    “信息”可以是
      MODULEBASE:   模块基地址(baseaddress of  module in the memory space of debugged process)
      MODULESIZE:   模块大小(totalsize  occupied by module, not necessarily contiguous memory)
      CODEBASE:    代码段基地址
      CODESIZE:    代码段大小(size of  executable code, as stays in COFFheader. In some cases, OllyDbg may correct  definitely invalid codesize)
      DATABASE:    数据段基地址
      RESBASE:     资源段基地址
      RESSIZE:      资源段大小
      IDATATABLE:   输入表基地址(baseaddress of  import data table, as stays in COFF header)
      entry:       模块入口(ddressof module's entry point, as  stays in COFF header)
      nsect:       节数目(Numberof  sections in the module)
    (如果您想在将来的版本中，获得更多的信息，请联系我)。
    信息会保存到保留变量$RESULT中 (如果没有找到信息，则$RESULT等于0).
例：
    GMI eip, CODEBASE // 这条指令执行后，$RESULT等于当前所在模块的代码段基地址。
GN 地址 <Get  Name>
获得指定IAT地址的符号名（比如指向API函数）。
    符号名将保存到保留变量$RESULT中。
    如果符号名是一个API函数，则
    $RESULT是符号名
    $RESULT_1保存链接库名（比如 kernal32）
    $RESULT_2保存符号名（比如 ExitProcess）。
例：
    gn 450100
GO 地址 <GO> 执行到指定地址处
例：
    go 401005
GPA 函数名, 动态链接库名 <Get  Procedure Address>
在指定的动态链接库中，获得指定函数的地址。
    如果查找成功，地址会保存到保留变量$RESULT中，否则$RESULT将等于 0。
    在设置API函数断点时，这个指令非常有效。（API断点API）
例：
    gpa "MessageBoxA",  "user32.dll" //这条指令执行后，$RESULT等于函数MessageBoxA的地址，您可以
    使用"bp $RESULT"设置断点。
HANDLE x, y, class  返回指定点(16进制)子窗口指定类的句柄  
INC 变量 <INCrement  by 1> 对变量进行加一操作
例：
    inc v
ITOA n [, base=16.]  
转化一个整数到字符串
    结果放在 $RESULT
Example:
    itoa F
    itoa 10., 10.
JA 标签 <Jump  if Above>  
例：
    ja SOME_LABEL
 <jump  if Above or Equal>  
例：
    jae SOME_LABEL
 <Jump  if Below> 在cmp命令后使用. 和其对应的汇编指令作用相同.
例：
    jb SOME_LABEL
 <Jump  if Below or Equal>  
例：
    jbe SOME_LABEL
 <Jump  if Equal>  
例：
    je SOME_LABEL
 <Jump  if Not Equal>  
例：
    jne SOME_LABEL
 <JuMP> 跳转到指定标签.
例：
    jmp SOME_LABEL
KEY vkcode [, shift [, ctrl]]  
仿真按下键盘.
    这个命令可以模仿OD中任意快捷键的功能
    比如脚本ctrl+F2重新载入功能 就可以通过KEY  71,0,1来模拟
    vkcode（虚拟键码）的具体值可以查询masm环境下的windows.inc文件
    比如：
    VK_F2                                equ 71h
    所以 模拟ctrl+f2 就是 KEY 71,0,1
    这里的vkcode都是16进制的
Example:
    key 20
    key 20, 1 //Shift+space
    key 20, 0, 1 //Ctrl+space
LBL 地址, 字符串 <LaBel  Insert> 在指定地址处插入一个标签
例：
    lbl eip, "NiceJump"
LC  清理LOG窗口  
LCLR  清理Script Log窗口  
LEN str  获得字符串长度,结果放在$RESULT
Example:
    len "NiceJump"
    msg $RESULT
LM 地址, 大小, filename  引导Dm文件进内存
Example:
      lm 0x401000, 0x100,  "test.bin"
LOG 源操作数  <log>
将源操作数输出到OllyDbg的记录窗口[log window]中。
    如果源操作数 是一个字符串常量，则原样记录。
    如果源操作数 是一个变量或一个寄存器，则记录名称及其存放的数值
 
例：
    log "Hello world" // 记录为 "Hello world"
    var x
    mov x, 10
    log x // 记录为 "x  = 00000010"
 MOV 目的操作数, 源操作数,最大字节  <MOV>  
将源操作数移动到目的操作数中。
    源操作数可以是一个十六进制序列格式#某个十六进制序列#，例如：#1234#。
    提醒：十六进制序列的位长只能是偶数，比如2, 4, 6, 8等等。
 
例：
    mov x, 0F                     //将F传给变量x
    mov y, "Hello world"             //将字符串"Hello  world"传给变量y
    mov eax, ecx                   //同汇编
    mov [ecx], #00DEAD00BEEF00#      //将##内的内容传到ecx的地址中
    mov !CF, 1                    //赋值!CF标志寄存器为1
    mov !DF, !PF                  //将!PF赋值给!DF
    mov [403000], "Hello world"       //直接将字符串"Helloworld"传送到403000的地址中
    mov eax,[401000],1             //只取401000地址中的一个字节长度的内容传送到eax中(新功能)
 MSG 消息  <MeSsaGe>  将指定消息，显示到一个对话框中。  
例：
    MSG "脚本运行完毕"
 MSGYN 消息  <MeSsaGe  Yes or No>  
将指定消息，显示到一个对话框中，这个对话框有“是”、“否”按钮。
    如果点“是”，保留变量  $RESULT 等于1，否则保留变量$RESULT等于0 。
 
例：
    MSGYN "继续？"
MUL 目的操作数, 源操作数   <mul>  操作数做取补操作，并将结果保存到到操作数中。  
例：
    NEG x, 0F
    NEG eax
    NEG [401000]
 NOT 操作数  <NOT>  操作数做逻辑非操作，并将结果保存到到操作数中。  
例：
    NOT x, 0F
    NOT eax
    NOT [401000]
 OPCODE 地址   
反汇编指定地址处的代码.
    $RESULT是opcode
    $RESULT_1是汇编代码
    $RESULT_2是字节数
    如果不是opcode,$RESULT_2将返回0
 
Example:  
    opcode 00401000
 opentrace   打开运行跟踪功能,关闭它请使用TC  
 OR 目的操作数, 源操作数  <OR>  源操作数和目的操作数做逻辑或操作，并将结果保存到到目的操作数中。  
例：
    or x, 0F
    or eax, x
    or [401000], 5
 PAUSE  <PAUSE>  暂停脚本运行。可以通过插件菜单恢复脚本运行。  
例：
    pause
 PREOP 地址   回溯指定地址的汇编命令  
Example:
    preop eip
 READSTR 地址,maxsize   从addr处读指定大小的字符串  
Example:
        readstr 401000,15
 REF 地址   相当于在OllyDbg按 Ctrl R.  
Example:
    continue:
    REF eip
    log $RESULT
    log $RESULT_1
    log $RESULT_2
    cmp $RESULT,0
    jne continue
 REPL 地址, 查找字符串, 替换字符串, 长度  <REPLace>  
在指定地址开始，在指定长度的字节范围内，用“替换字符串”替换“查找字符串”。
    允许使用通配符
 
例：
    repl eip, #6a00#, #6b00#, 10
    repl eip, #??00#, #??01#, 10
    repl 401000, #41#, #90#, 1F
 RESET   OD重新加载程序（相当于ctlr+f2）  
 RET  <RETurn>  退出脚本。  
例：
    ret
 REV   字节反转.(注意是字节反转,不是位反转)  
Example:
    rev 01020304 //$RESULT = 04030201
 ROL 目的操作数, n   循环左移目的操作数，n比特位；并将结果保存到到目的操作数中。  
例：
    mov x, 00000010
    ROL x, 8 // x is now 00001000
 ROR 目的操作数, n   循环右移目的操作数，n比特位；并将结果保存到到目的操作数中。  
例：
    mov x, 00000010
    ROR x, 8
RTR <Run  To Return>
执行到返回
    相当于在OllyDbg中执行 "Run to return" [Ctrl+F9]操作。
例：
    rtr
RTU <Run  To User code>
返回到用户代码区
    相当于在OllyDbg中执行 "Run to user code"[Alt+F9] 操作。
例：
    rtu
RUN  
<RUN>
    让OD继续运行相当于在OllyDbg中按 F9
例：
    run
SCMP dest, src  字符串比较.
Example:  
    cmp x, "KERNEL32.DLL"
    cmp [eax], "Hello World"
SCMPI dest, src  字符串比较(大小写不敏感)
Example:  
    cmp sVar, "KERNEL32.DLL"
    cmp [eax], "Hello World"
SETOPTION  
调出调试设置(Option)菜单,设置好后按确定后继续执行脚本
    注意:此选项是为了可以在执行脚本的过程中可以调出调试设置异常,跟踪等等设置
 
SHL 目的操作数, n  左移目的操作数，n比特位；并将结果保存到到目的操作数中
例：
    mov x, 00000010
    shl x, 8 // x is now 00001000
SHR 目的操作数, n <SHift  Right> 右移目的操作数,n 比特位；并将结果保存到到目的操作数中
例：
    mov x, 00001000
    shr x, 8 // x is now 00000010
STI <STep Into> 相当于在OllyDbg中按 F7，单步步入。
例：
    sti
STO <STep  Over> 相当于在OllyDbg中按 F8，单步步过。
例：
    sto
SUB dest, src  源数据减目的数据
Example:  
    sub x, 0F
    sub eax, x
    sub [401000], 5
TC  相当于在OllyDbg中  "关闭运行跟踪"
Example:
    tc
TI  相当于在OllyDbg中按 CTRL-F7，单步跟踪。
Example:
    ti
TICND cond <Trace  Into Condition> 执行 "Trace into" 操作，直到条件为真时停止。
例：
    ticnd "eip > 40100A" // 当 eip >40100A 时停止
TICK [var [,reftime]]  
脚步运行时间(microsec)
    如果是2次变量，则得出为时间差
Example:
    tick time
    msg time //time since script startup
    tick time,time
    msg $RESULT //time since last TICK, DWORD value
TO <Trace  Over> 相当于在OllyDbg中执行 "Trace over" 操作。
例：
    to
TOCND cond <Trace  Over Condition> 执行 "Trace over" 操作，直到条件为真时停止。
例:
    tocnd "eip > 40100A" // 当 eip >40100A 时停止
VAR <VARiable>
在脚本中，声明一个变量。
    必须在变量使用先声明。
    注意:变量名最好是由字母和数字组合成的容易识别的变量名
        +-*/等等符号最好不要附加在变量中,以免引起不可预测的错误
    由于为了兼容以前的系统,请不要将A,B,C,D,E,F作为变量.
例：
    var tmp
XOR 目的操作数, 源操作数 <XOR> 源操作数与目的操作数进行异或操作，并将结果保存到到目的操作数中。
例：
    xor x, 0F
    xor eax, x
    xor [401000], 5
WRT file, data  写数据给文件 (覆盖)
Example:  
    wrt "out.txt", "Data:\r\nOk\r\n"
    wrt sFile, ebx
WRTA file, data  附加数据到文件中(文件结尾)
Example:  
    wrta sFile, "hello world\r\n"
    如果文件不存在 将会创建文件
IFA,IFAE,IFB,IFBE IFG,IFGE,IFL,IFLE IFEQ/IFNEQ..ELSE/ENDIF  这些命令是构建IF块的，类似于高级语言的语法，具体含义与汇编类似。
Example:  
    ifneq $RESULT,0
        ifa flg,$RESULT
            mov flg,$RESULT
        endif
    endif
    

转载于:https://www.cnblogs.com/DreamoneOnly/p/11246170.html

IX2700123456
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
OD 脚本的编写与思考
生命不息 折腾不止
04-03 2413
一、OD脚本 OD脚本语言是一种类汇编的语法，将OD里面的操作以命令的方式组织起来； 二、OD脚本语法 命令有很多，但是记住一些常用的缩写，记住也就不难了（多看多用，自然就熟悉） BP： break Point HW：hardWare M: memory C: clear CND: condtio...
OD脚本学习
weixin_30608131的博客
08-31 137
重要的 一般用得到的： $RESULT //返回值 cmp $VERSION, "1.47" ja `````` #INC "脚本名" #LOG //开始记录运行指令 ADD 目的，源 add [401000],5 //[4010000]+5 add x,16.50 add y,"times" alloc //申请内存 RWE alloc 1000 1000...
OllyDbg Script学习
ACdream
03-15 445
命令篇（1）常用$RESULT：系统保留变量，函数的命令返回放在这里$VERSION：返回当前ODScript的版本号VAR：变量声明AN：（analyse）在指定地址处，对代码进行分析CMT：（comment）在指定地址处，对代码添加注释MSG：（message）将指定的消息，显示到对话框之中MSGYN：（message yes or no）将指定的消息，显示到对话框之中，包括“是”、“否”按钮...
[置顶]       Ollydbg 编写脚本的一些语法及例子(OD脚本)
weixin_33795093的博客
01-29 487
OllyScript脚本语言是一个种类汇编的语言。你使用它来控制ODbgScript和脚本运行. 在后面的文档中, “源操作数” 和 “目的操作数”表示以下含义: - 十六进制常数，既没有前缀也没有后缀。 (例如：是00FF, 而不是 0x00FF 和 00FFh的形式) 十进制常数,在后缀中加点. (例如:100. 128.也可以是浮点数128.56,浮点...
OD破解工具脚本大全（附118种脱壳脚本）
09-21
Ollydbg 通常称作OD，是反汇编工作的常用工具，该Ollydbg吾爱破解专版是基于Ollydbg V1.10版本汉化而成，吾爱破解OD附带了118脱壳脚本和各种插件，功能非常强大，基本上不需要再附加安装其它插件了。 1.对OD的窗口签名进行了更改,从而避免被针对性检测 2.修改了OD窗口切换快捷键为TAB键、 3.修改附加窗口支持滚轮滚动 4.修改OD启动时为优先加载插件 5.采用论坛夜冷风发布的字符串插件，有效的解决了字符串退出BUG 6.增加了advancedolly插件有效解决了OD无法批量修改及无法进行带壳数据窗口跟随的BUG 7.改动了OD子窗口的类名 8.更新了部分插件及添加部分插件 9.sod默认设置为全选模式，以后会自行更新 10.本次更新后的MD5:fe6ce83710c8834d37d979d818a1c6ba 吾爱破解专用版.rar 11.解决注入代码时提示框 360安全卫士可能会误报StrongOD释放的驱动为病毒，造成ollydbg调试过程中某些功能不能使用。在此提醒大家一下，以免大家误会。如果想调试过程中没有什么障碍，希望大家在调试过程中暂时屏蔽掉360安全卫士。
详解OD脚本的写法续之进阶篇
把梦想放飞在蓝色的天空里...
08-15 3015
昨天给大家写了简单壳的脚本的写法，相信大家对一些简单壳都已经学会自己去写脚本了，至少已经能看懂脚本了吧。 好，今天就继续给大家讲稍微难点的壳的脚本的写法，希望大家能好好掌握。前提是，你已经看了昨天的基础篇，并已经学会写一些简单的脚本。 废话不多说，开始今天的内容。 首先来个稍微简单点的壳的脚本的写法：MoleBox 2.x的壳 当然，我们首先还是来手脱一下这个壳。所以说，写脚本
OD脚本制作帮助
11-20
ODbgScript 是OLLYDBG调试器的一个插件。我个人认为，OllyDbg是目前最好的程序级调试器。这个调试器的最大的特色之一就是她的插件体系，这是使得用户能够更为有效的扩展她的功能。ODbgScript 是一种通过类汇编语言的...
过QQ华夏OD.rar
02-08
6. **Script文件**：可能包含自动化脚本，自动执行一些游戏内的操作。 7. **License.txt**：许可协议，规定了用户可以如何使用这些工具。 请注意，使用此类工具存在风险，包括但不限于违反游戏服务条款、导致游戏...
od-vsstatic:虚拟滚动
05-12
npm run {{scriptName}} 名称 描述 建造 使用AoT编译构建演示包 cleanAll 删除生成的目录和文件 tslint 皮棉演示 服务 启动浏览器同步以进行本地开发 探索 AoT编译演示的源地图浏览器 贡献与联系 贡献和反馈受到...
Code：loadScript( )加载js的功能函数
12-03
`loadScript()` 函数是一个JavaScript功能函数，用于异步加载外部JavaScript资源，即.js文件。这个函数由Dao Gottwald在2006年创建，并遵循GNU Lesser General Public License（LGPL）发布，允许用户自由地分发和...
chris-od.github.io
03-27
我们期望在这里找到如HTML文件（index.html或其他）、CSS文件（style.css或其他）、JavaScript文件（script.js或其他）、图片、图标和其他多媒体资源。 **详细知识点：** 1. **HTML基础**：HTML（HyperText Markup...
OllyScript脚本练习
谢绝留言与私信
02-20 2032
前言 今天看脱壳资料, 看人家用OD脚本来干活, 自己也练习下. OD脚本是模拟手工来干活, 只要手工可以F7, F8, 下断点, go等操作. OD脚本都可以模拟. OD脚本学习起来很快, 1天就可以写出有实际功能的脚本了. 如果开始对OD脚本命令不熟, 可能调试花些时间. 记录 做了2个OD脚本练习. * 加法计算器 *一个trace程序流程用的脚本, 如果
OD插件详解
weixin_33859665的博客
05-30 1422
AnalyzeThis 分析代码相关 类似于ctrl+A 分析外被调试程序的代码段中的代码 bookmark 代码注释相关据说有群体注释功能 Command Bar 命令栏中的快速设置断点/寄存器等。 命令行插件 已被StrongOD代替的命令行代替 HideOd 隐藏OD的插件 被多个插件代替 LCB 可...
ODbgScript的脚本命令[转载]
fisher_jiang的专栏
06-09 3423
破解利器Olldbg脚本教学（二）－ODbgScript的脚本命令作者:hnhuqiong总观ODbgScript洋洋洒洒那么多脚本命令,其实它分成了6大类:1.变量和注释类和杂类 2.断点类 3.系统和操作类 4.流程控制类 5.计算和寄存器操作类 6.字符串操作和搜索和替换类 这里我就不那么具体的举例子了,因为那么多命令要是逐一图片讲解将成为天书了.而具体的例子将在后面的章节来论述
ODbgScript
tsingl的专栏
07-27 710
一. 变量和注释以及杂类$RESULT             :这个是系统保留变量,函数和ODS的命令返回都放这里.它还有一个隐含的变量                     为$RESULT_1,有的返回是2个参数,第二个放这里. $VERSION            :返回当前版本号VAR                 :在脚本中，声明一个变量AN                  :
odbgscript 常用命令
weixin_33747129的博客
06-18 124
一. 变量和注释以及杂类 $RESULT             :这个是系统保留变量,函数和ODS的命令返回都放这里.它还有一个隐含的变量                     为$RESULT_1,有的返回是2个参数,第二个放这里. $VERSION            :返回当前版本号VAR                 :在脚本中，声明一个变量AN                 ...
set user & password for database 设置数据库 用户和密码
DavidsonGong的博客
07-12 151
USE sbms;
7.10飞书一面面经
东篱君的博客
07-10 1208
B+树的⾮叶⼦节点不存放实际的记录数据，仅存放索引，所以数据量相同的情况下，相⽐存储即存索引⼜存记录的 B 树，B+树的⾮叶⼦节点可以存放更多的索引，因此 B+ 树可以⽐ B 树更「矮胖」，查询底层节点的磁盘 I/O次数会更少。主从复制：单节点Redis的并发能力是有上限的，要进一步提高Redis的并发能力，可以搭建主从集群，实现读写分离。B+ 树有⼤量的冗余节点（所有⾮叶⼦节点都是冗余索引），这些冗余索引让 B+ 树在插⼊、删除的效率都更⾼，⽐如删除根节点的时候，不会像 B 树那样会发⽣复杂的树的变化；
Redis集群和高可用
最新发布
xiaogengtongxu的博客
07-13 578
主从架构无法实现master和slave角色的自动切换，即当master出现redis服务异常、主机断电、磁盘损坏等问题导致master无法使用，而redis主从复制无法实现自动的故障转移(将slave 自动提升为新master)，需要手动修改环境配置,才能切换到slave redis服务器，另外当单台Redis服务器性能无法满足业务写入需求的时候,也无法横向扩展Redis服务的并行写入性能。master和slave角色的无缝切换，让业务无感知从而不影响业务使用。
gpio_od_disable
07-28
引用\[2\]:对于提供的模板来说，已经实现了操作代码，其以PB口来实现，如果需要改变接线需要修改keyboard4x4.c的uint8_t scan_MatrixKey( void )，并修改gpio.c中的GPIO_Init()中的有关配置，设置相应的管脚为GPIO口...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值