动态调试 OD篇

              动态分析技术
      OD篇

动态分析分为用户模式和内核模式
*用户模式调试器是指用来调试用户模式应用程序的调试器，
*内核模式调试器是指能调试系统内核的调试器
OllyDbg
1、 ollyDbg是一款具有可视化界面的用户模式调试器，可以在各种版本的windows上运行，一般只能分析32位的可执行程序
2、 ollyDbg的cpu窗口包括五个面板窗口，分别是反汇编面板，寄存器面板，信息面板，数据面板和栈面板
*反汇编面板窗口的快捷键
Addres例：显示被双击行地址的相对地址，再次双击返回标准地址模式。
Hex dump： 设置或取消无条件断点，对应的快捷键是“F2”键。
Dissassembly： 调用汇编器，可直接修改汇编代码，对应的快捷键是空格键。
Comment ：允许增加或编辑注释，对应的快捷键是“；”键。
从键盘上选择多行，可按“shift”键和上下键，也可以右键菜单命令执行，
按“Ctrl”键按上下光标键，可逐行滚动汇编窗口
*数据面板窗口
要显示指定内存地址的数据，可单击右键快捷菜单中的“Go to experssion”命令，或按“Ctrl+G”快捷键，打开地址窗口输入地址
3、单步跟踪
Ctrl +F9 知道出现ret指令时中断。
Alt+F9 若进入系统领空，此命令可瞬间回到应用程序领空。
*所谓的领空实际上是指在某一时刻CPU的CS：EIP指向的某段代码的所有者。
*在进入子程序的过程中，若想回看之前单步跟踪的代码，可以按“-”（减号）键；
*若想让光标回到当前EIP所指向的语句，可以单击C按钮或者双击EIP寄存器。
如果程序进入死循环，可以按“F12”键暂停程序。
4、设置断点
设置断点后按“Alt+B”快捷键或者单击B按钮，可以打开断点窗口。
*其中“Always”表示断点处于激活状态，“Disable”表示断点停用。
空格键可以切换其状态。也可以通过右键快捷菜单管理折现断点。
按“Ctrl +G”快捷键打开跟随表达式窗口。可以搜索API函数<