Привет всем. Сегодня я буду описывать OllyDebugger. OllyDebugger(далее Olly) – это суперский отладчик(ring-3). Популярность данного отладчика растёт не по дням, а по часам:). Для новичков этот отладчик – самое то, для профессионалов умеющих его очень хорошо использовать – незаменимый инструмент. Данная статья опишет всё, что я умею делать в Olly.
1. Что из себя представляет Olly Debugger
Взято из справки: Olly - 32-битный отладчик уровня ассемблера, с интуитивным интерфейсом. Особенно полезен, если исходный текст не доступен или когда Вы испытываете проблемы с вашим компилятором.Поддерживаемые процессоры. Olly поддерживает все 80x86, Pentium, MMX, 3DNow!, включая Athlon extentions, команды SSE и соответствующие форматы данных.
Форматы данных. Окна дампа отображают данные во всех обычных форматах: шестнадцатеричный, ASCII, Unicode, 16-и 32-разрядные целые числа со знаком/без знака/шестнадцатеричные, дизассемблеры (MASM, IDEAL или HLA).
Запуск. Вы можете определить исполняемый файл в командной строке, выбрать в меню, перетаскивать файл в Olly, перезапускать последнюю отлаживаемую программу или присоединяться к уже выполняющемуся процессу. Инсталляция не необходима, Вы можете запустить Olly с гибкого диска!
Отладка DLL. С Olly, Вы можете отладить автономные библиотеки динамической связи (DLL). Olly автоматически запускает маленькую выполнимую программу, которая загружает библиотеку и позволяет Вам вызывать её экспортируемые функции.
Анализ. Анализатор - одна из наиболее значительных частей Olly. Он распознает процедуры, циклы, таблицы, константы и строки, внедренные в код, хитрые конструкции, запросы к функциям API, номера параметров функции, секции импорта и так далее. Анализ делает двойной код намного более читаемым, облегчает отладку и уменьшает вероятность сбоев. Анализатор не ориентируется на компилятор и одинаково хорошо работает со всеми Windows программами.
Объектный сканер. Olly просматривает объектные файлы или библиотеки (форматы OMF И COFF), извлекает из них код, сегментирует и определяет местонахождение их в отлаживаемой программе.
Полная поддержка Unicode`а. Почти все операции, доступные для строк ASCII также доступны для строк Unicode`а, и наоборот.
2. Горячие клавиши
Именно с “горячих клавиш” я хочу начать рассказ, т.к. без них придётся много времени тратить на ползание по меню и отладчик сразу потеряет своё удобство. Начнём с панели управления:Первая кнопка – открыть файл (гор. кл. F3)
Вторая кнопка – перезапустить файл (гор. кл. Ctrl+F2)
Третья кнопка – закрыть файл (гор. кл. Alt+F2)
Четвёртая кнопка – запустить программу (гор. кл. F9)
Пятая кнопка – приостановить запуск (гор. кл. F12)
Шестая кнопка – трассировать с заходом в подпрограммы (гор. кл. F7)
Седьмая кнопка - трассировать без захода в подпрограммы (гор. кл. F8)
Восьмая кнопка – запустить автоматическую трассировку заходя в подпрограммы (гор. кл. Ctrl+F11)
Девятая кнопка - запустить автоматическую трассировку без захода в подпрограммы (гор. кл. Ctrl+F12)
Десятая кнопка – выполнить программу до выхода из подпрограммы (гор. кл. Ctrl+F9)
Одиннадцатая кнопка – перейти на адрес (гор. кл. Ctrl+G)
Все остальные кнопки на панели управления будут рассмотрены позже.
Необходимые команды:
Ctrl+A – провести анализ кода
Ctrl+C – копировать данные
Ctrl+F7 – включить режим, когда код будет выполняться, как будто бы Вы нажали и не отпускаете кнопку F7
Ctrl+F8 – включить режим, когда код будет выполняться, как будто бы Вы нажали и не отпускаете кнопку F8
Shift+F8 – продолжить трассировку программы, даже если возникла исключительная ситуация
Shift+F9 – продолжить запуск программы, даже если возникла исключительная ситуация
Ctrl+T – настройки авто-трейсера
Ctrl+F11 – Запуск автоматической трассировки с заходом в подпрограммы
Ctrl+F12 – Запуск автоматической трассировки без захода в подпрограммы
F2 – Поставить брейкпоинт на выделенной строке
3. Плагины
Вы, наверное, начали возмущаться, почему я говорю про всё, но не про сам отладчик. В ответ я скажу: “Я посмотрю на тебя, как ты будешь отлаживать программу, хотя бы без плагина CommandBar”. Да, действительно без плагинов отлаживать программу намного труднее. Сейчас я приведу список установленных у меня плагинов и попутно буду объяснять, что к чему:1. IsDebuggerPresent – Прячет отладчик от обнаружения при помощи функции IsDebuggerPresent.
2. Hide Debugger – Прячет отладчик от обнаружения при помощи функции IsDebuggerPresent.
3. Olly Script – позволяет писать скрипты для помощи в отладке. Я не пользуюсь данным плагином, т.к. не считаю нужным автоматизировать отладку.
4. Olly Dump – позволяет дампить отлаживаемый процесс и за одно восстанавливает у него импорт. Супер плагин. Советую всем.
5. Command Bar – позволяет творить чудеса. В отладчике появляется строка, где можно вводить очень умные команды. IMHO без данного плагина отладка не возможна:). Я перевёл справку от плагиа и приведу её в дополнении №1.
4. Первое знакомство
Как я уже говорил, с отладчиком очень легко работать. Приведу стандартный вид главного окна с загруженной для отладки программой:Я сказал, что стандартное окно, я соврал, я поменял цвета:). Теперь всё по порядку. В порядке описания: Главное окно, Окно регистров, Панель стека, Панель меню.
Главное окно: В этом окне происходит собственно сама отладка. Все инструкции приведены в дизассемблированном виде. Вы можете перемещать указательную строку при помощи курсора. При помощи указательной строки Вы можете выбирать, какие скопировать данные(здесь всё намного проще, чем в SoftIce`е. Выделил. Ctrl+C, зашёл куда надо Ctrl+V), какую изменить команду, куда поставить брейкпоинт и т.д. Сбоку выделен адрес, который должен выполниться следующим. Между колонкой адресов и колонкой дизассемблированного листинга есть колонка с машинным кодом инструкции. Самая последняя колонка содержит в себе комментарии.
Окно регистров: В окне регистров отображаются все 32-битные регистры, регистры флагов и различные другие регистры. Для того, чтобы изменить регистр надо щёлкнуть по его значению 2 раза и ввести новое значение. Реверсировать регистр флага можно путём двойного щелчка по одному из них.
Панель стека: В панели стека, можно изменить нужные вам байты в памяти, ставить брейкпоинты, подсматривать правильные рег. коды и т.д.
Панель меню: Панель меню будет рассматриваться в большой главе, т.к. эта тема очень важна.
5. Знакомство с главным меню
Начнём с меню под названием File. В данном меню есть вкладки: Open, Attach, Exit. Open – открыть файл для отладки, Attach – присоединиться к уже запущенному процессу для отладки, Exit – выйти.
View
Log – Просмотреть лог о загрузке файла и т.д. (горячая клавиша: Alt+L)
Executable modules – Посмотреть все модули, которые использует отлаживаемое приложение. (горячая клавиша: Alt+E)
Memory – Просмотреть карту памяти. Вот её приблизительный вид:
Первая колонка – адрес, по которому загружены различные секции файла, DLL библиотек. Вторая колонка – размер в памяти секции. Третья колонка – обычно название модуля. Четвёртая колонка – название секций. Пятая колонка – что содержится в секции. Все остальные колонки не важны, т.к. в них отражены атрибуты секций в памяти. (горячая клавиша: Alt+M)
Threads – Посмотреть все потоки программы, заморозить их, p`glnpnghr| их, изменить их приоритет, убить их.
Windows – Просмотреть до х.. информации об окнах, классах и т.д. используемых программой.
Handles – Просмотреть Handle`ы.
CPU – Открыть главное окно. (горячая клавиша: Alt+C)
SEH Chain – Посмотреть, поставить брейкпоинт на все объявленные Seh`и.
Patches – Просмотреть список всех изменений, которые Вы сделали в программе, отменить все изменения и т.д. (горячая клавиша: Ctrl+P)
Call Stack – Просмотреть все вызовы выполнения код в стеке. (горячая клавиша: Alt+K)
Breakpoints – Просмотреть все брейкпоинты, отключить, удалить их. (горячая клавиша: Alt+B)
Run Trace – Просмотреть лог трассировки.
File – Шестнадцатеричный редактор файлов.
Debug
Run – Запуск приложения.
Pause – Приостановить выполнение приложения.
Restart – Перезапуск отлаживаемой программы.
Close – Закрытие отлаживаемой программы.
Step into – Эквивалент F7.
Step over – Эквивалент F8.
Animate into – Эквивалент постоянно нажатой F7.
Animate over – Эквивалент постоянно нажатой F8.
Execute till return – Выполнить программу до выхода из подпрограммы.
Trace into – Авто трассировка с заходом в подпрограммы.
Trace over – Авто трассировка без захода в подпрограммы.
Set condition – Назначить условие для авто трассировки.
Close run trace – Остановить авто трассировку.
Hardware breakpoints – Просмотр hardware брейкпоинтов.
Всё остальное в данном меню не важно.
Options
Appearance – Настройки интерфейса отладчика. На данных настройках я не буду останавливать внимание, т.к. они не обязательны и в них Вы сами разберётесь.
Debugging options (гор. кл – Alt+O) – Настройки отладчика. Это самое интересное, этому пункту меню я посвящу следующую главу.
Just-in-time debugging – В данных настройках, можно назначить Olly, как отладчиком, который будет запускаться, когда какое- нибудь приложение вызовет серьёзную ошибку.
Add to Explorer – добавить в контекстное меню Explorer`a пункт для отладки программы.
6. Главные настройки программы
Я буду объяснять только самые важные опции.Security
Warn when breakpoint is outside the code section – Сообщать, если Вы хотите поставить брейкпоинт вне секции кода. Конечно, эта опция не должна быть выбрана.
Warn when terminating active process – Спрашивать:”Действительно ли Вы хотите завершить процесс?”. Данная опция должна быть выбрана.
Warn if not administrator – Доставать Вас, если Вы не администратор. Данная опция для садо-мазо:)
Debug
Set high priority when tracing debugged process – Установить b{qnjhi приоритет для приложения при трассировке. Данную опцию надо выбирать “по вкусу” (у меня выбрана).
Events
Make first pause at – Сделать первую остановку на. В данном случае предлагается три варианта: Системный брейкпоинт, Точка входа в главный модуль, Главное окно. Опять же всё надо выбрать оптимальный вариант. Я выбрал точку входа в главный модуль.
Break on new module DLL – останавливаться на каждой новой подгруженной библиотеке.
Break on module unloading – Останавливаться при выгрузке DLL библиотек из памяти.
Break on new thread – Останавливаться при создании нового потока.
Break on thread end – Останавливаться при окончании потока.
Exceptions
Ignore memory access violations in KERNEL32 – Игнорировать ошибки памяти в Kernel32.
Int3 breaks – Не останавливаться на командах int3. Данная опция ОЧЕНЬ помогает при распаковке некоторых протекторов. Подробнее читайте мою статью по распаковке.
Trace
Size of run trace buffer – Размер буфера для трассировки. Лучше ставить максимальное значение.
Log commands – Вести лог работы трассировщика. Эта опция слегка тормозит трассировку, по этому надо ставить, когда есть нужда.
Always trace over system DLLs – Всегда трассировать мимо системных библиотек. Данная опция должна быть выбрана у всех и каждого.
After Executing till RET, step over RET – Данная опция позволяет останавливаться при нажатии Ctrl+F9 не на RET, а после его выполнения. Эту опцию я считаю очень удобной, по этому советую выбрать её.
SFX
When main module is self-exetractable - Здесь нам предлагают выбрать одну из трёх опций: Остановиться на начале кода распаковщика, Трассировать до ОЕР блоками, Трассировать до ОЕР по байту. Ну что сказать опции для халавщиков. Авто поиск ОЕР! Правда иногда Olly не правильно определяет запакована прога или нет.
Strings
Ну, здесь всё понятно. Декодировка различных символов.
Addresses
Данные опции не важны, т.к. они определяют, как будут показываться адреса.
Commands
Данные опции нужны только для людей, которые очень любят очень красивые асм листинги.
Disasm
Настройки дизассемблера. Можете пощёлкать по всем опциям, и посмотреть как будет выглядеть асм листинг. Все остальные настройки на мой взгляд не важны.
7. Первая отладка
Отлаживать мы будем Fant0m crackme 4. Скачать его можно от сюда: http://fant0m.cjb.net/. Из этого crackme мы попытаемся достать правильный рег. номер для Вашего имени. Загружаем crackme под отладчиком и жмём F9 для запуска. Вводим имя чела, на которого мы хотим зарегить данный crackme. Вводим любой пароль. Так, теперь нам надо поставить брейкпоинт на считывание имени и пароля. Переключаемся в Olly и в командной qrpnje пишем bpx GetDlgItemTextA . Жмём Check. Сразу оказались в Olly в таком месте:00401217 E8 62010000 CALL
Сразу видно, что в процедуре по адресу 004012F9 происходит проверка на зарегистрированность. Доходим до её вызова по F8 и заходим в неё по F7. Что мы видим:
004012F9 55 PUSH EBP
004012FA 8BEC MOV EBP, ESP
004012FC 56 PUSH ESI
004012FD 57 PUSH EDI
004012FE 8D3584304000 LEA ESI, DWORD PTR DS:
00401304 8D3D84324000 LEA EDI, DWORD PTR DS:
0040130A 33C0 XOR EAX, EAX
0040130C 33C9 XOR ECX, ECX
0040130E B31A MOV BL, 1A
00401310 803E00 CMP BYTE PTR DS:, 0
00401313 7415 JE SHORT 0040132A
00401315 8A06 MOV AL, BYTE PTR DS:
00401317 02C1 ADD AL, CL
00401319 32C1 XOR AL, CL
0040131B F6F3 DIV BL
0040131D 66C1E808 SHR AX, 8
00401321 0441 ADD AL, 41
00401323 8807 MOV BYTE PTR DS:, AL
00401325 47 INC EDI
00401326 46 INC ESI
00401327 41 INC ECX
00401328 EBE6 JMP SHORT 00401310
0040132A C60700 MOV BYTE PTR DS:, 0
0040132D 33C0 XOR EAX, EAX
0040132F 83F900 CMP ECX, 0
00401332 741A JE SHORT 0040134E
00401334 6884324000 PUSH 00403284 ; /String2 = ""
00401339 6884314000 PUSH 00403184 ; |String1 = "qwerty"
0040133E E8A1000000 CALL
Из данного кода ясно, что по адресу 0040133E сравнивается Ваш код с правильным. Поставьте брейкпоинт по этому адресу и нажмите F9. Комментарий String2 = "" сменится на подобный этому String2 = "ODMZAMHN". Дак вот, за место ODMZAMHN у Вас будет Ваш рег. код для Вашего имени. Жмите F9, вводите правильный код, жмите Check снимайте все брейкпоинты, жмите F9 и радуйтесь.
Приложение №1
Помощь по Command Bar. Объяснение команд для Command Bar. Все команды, которые я посчитал лишними, были удалены из данного списка.Выражения
CALC [выражение] - Вычеслить значение выражения
Дизассемблер
AT [выражение] - Перейти на адрес в дезассемблере
FOLLOW [выражением] - Перейти на адрес в дезассемблере
ORIG - Перейти на текущий адрес(EIP)
* - Перейти на текущий адрес(EIP)
Дамп и стек
D [выражение] - Перейти на адрес в дампе
DUMP [выражение] - Перейти на адрес в дампе
DA [выражение] - Дамп в формате ассемблера
DB [выражение] - Дамп в шестнадцатеричной системе
DC [выражение] - Дамп в ASCII кодировке
DD [выражение] - Дамп как адреса (стек формат)
DU [выражение] - Дамп в UNICODE кодировке
DW [выражение] - Дамп в шестнадцатеричном word формате
STK [выражение] - Перейти на адрес в стеке
Трансляция
A [выражение] [, команда] - Дезассемблировать адрес
Метки и комментарии
L выражение, метка - Связывает символическую метку с адресом
C выражение, комментарий - Устанавливает комментарий для адреса
Брейкпоинты
BP [выражение] [,условие] - Устанавить брейкпоинт
BPX [имя функции] - Установить брейкпоинты на все инструкции в модуле, которые вызывают [имя функции]
BC [адрес] - Удалить контрольную точку по адресу
MR expression1 [,expression2] - Установить брейкпоинт на память на доступ на определённый участок
МВТ expression1 [, expression2] - Установить брейкпоинт на память на запись на определённый участок
MD - Удалить брейкпоинт на память
HR [адрес] - Установить Hardware брейкпоинт на один байт на доступ на адрес
HW [адрес] - Установить Hardware брейкпоинт на один байт на запись по адресу
HE [адрес] - Установить Hardware брейкпоинт на выполнение комманды по адресу
HD [номер брейкпоинта] - Удалить Hardware брейкпоинт под номером
Комманды трассировки
STOP - Сделать паузу в трассировке
PAUSE - Сделать паузу в трассировке
RUN - Запустить программу
G [адрес] - Выполнить до адреса
GE - Выполнить до адреса
S - Эквевалент F7
SI - Эквевалент F7
SO - Эквевалент F8
TR - Выполнить программу до выхода из подпрограммы
OllyDbg окна
LOG - Окно просмотра лога
MOD - Посмотреть выполняемые модули
MEM - Открыть окно карты памяти
CPU - Открыть главное окно программы
BRK - Открыть окно просмотра брейкпоинтов
OPT - Настройки
Разные команды
EXIT - Выйти из Olly
QUIT - Выйти из Olly
OPEN [имя файла] - Открыть файл для отладки
CLOSE - Закрыть отлаживаеммую программу
RST - Перезапустить отлаживаеммую программу
HELP - показывают справку(данный текст, но непереведённый)
HELP - Olly показывают справку Oll
HELP APIfunction - справка по API функциям
Приложение №2
Брейкпоинты. Olly поддерживает несколько видов брейкпоинтов:- Обычный брейкпоинт, где первый байт команды, на которой Вы хотите прерваться заменяется на INT3 (Trap to Debugger). Вы можете разместить брейкпоинт, выбирая команду в дизассемблере и нажимая F2, или через всплывающее меню. Когда Вы нажимаете F2 второй раз, когда брейкпоинт уже установлен, он будет удалён. Количество брейкпоинтов INT3 неограниченно. Когда Вы закрываете отлаживаемую программу, или отладчик, Olly автоматически сохраняет брейкпоинты. Никогда не пробуйте установить брейкпоинт на данных или в середине команды! Olly предупредит Вас, если Вы пытаетесь устанавливать брейкпоинт вне секции кода. Вы можете выключить это предупреждение в настройках защиты. В некоторых случаях Отладчик может вставить собственные временные контрольные точки брейкпоинты INT3.
Условный брейкпоинт (гор. кл. Shift+F2) - обычный брейкпоинт INT3 с условием. Каждый раз, когда отладчик сталкивается с таким брейкпоинтом, оценивает его выражение и, если результат является ненулевым, или выражение недействительно, останавливает отлаживаемую программу.
Условный брейкпоинт с ведением лога (гор. кл. Shift+F4) - условный брейкпоинт с ведением лога, чтобы регистрировать значение выражения или параметров известной функции каждый раз, когда брейкпоинт выполняется.
Брейкпоинт на память. Olly позволяет ставить единственный брейкпоинт на память одновременно. Вы выбираете некоторую часть памяти в дезассемблере или дампе центрального процессора и используете всплывающее меню, чтобы установить брейкпоинт на o`lr|. Предыдущий брейкпоинт на память, если таковой вообще имеется, будет автоматически удален. У Вас есть два варианта: остановка на доступе к памяти (чтение, запись или выполнение) и только на запись. Чтобы установить брейкпоинт, Olly изменяет атрибуты блоков памяти, содержащих данные.
Аппаратный брейкпоинт (доступен только при использовании отладчика под Windows ME, NT, 2000 или XP). 80x86-совместимые процессоры позволяют Вам устанавливать 4 аппаратных брейкпоинта. В отличие от брейкпоинта на память, аппаратные брейкпоинты не замедляют скорость выполнения, но охватывают только до 4 байтов.
Однократная остановка на доступе к памяти (доступна только под Windows NT, 2000 и XP). Вы можете установить его в окне Memory на целый блок памяти через всплывающее меню или нажимая F2. Этот брейкпоинт особенно полезен, если Вы хотите перехватить запросы к некоторому модулю.
Автотрассировка – Вы должны указать условие(гор. кл. Ctrl+T), при котором отладчик остановит программу. Обратите внимание, что эта опция может значительно (до 20 %), замедлить скорость выполнения программы.
OllyDbg также может остановить выполнение программы на некоторых событиях, например при загрузке или выгрузке DLL, зарождению или завершению потока.
Приложение №3
Мои настройки отладчика.Если Вы хотите использовать мои настройки, замените все данные этим текстом в файле ollydbg.ini, который находится в той же папке, где и установлен отладчик.
Check DLL versions=0 Show toolbar=1 Status in toolbar=0 Use hardware breakpoints to step=1 Restore windows=104191 Scroll MDI=1 Horizontal scroll=0 Topmost window=0 Index of default font=1 Index of default colours=0 Index of default syntax highlighting=0 Log buffer size index=0 Run trace buffer size index=7 Group adjacent commands in profile=1 Highlighted trace register=-1 IDEAL disassembling mode=0 Disassemble in lowercase=0 Separate arguments with TAB=0 Extra space between arguments=1 Show default segments=1 NEAR jump modifiers=0 Use short form of string commands=0 Size sensitive mnemonics=1 SSE size decoding mode=0 Top of FPU stack=1 Always show memory size=1 Decode registers for any IP=0 Show symbolic addresses=1 Show local module names=0 Gray data used as filling=1 Show jump direction=0 Show jump path=0 Show jumpfrom path=0 Show path if jump is not taken=0 Underline fixups=1 Center FOLLOWed command=0 Show stack frames=1 Show local names in stack=1 Extended stack trace=0 Synchronize source with CPU=1 Include SFX extractor in code=1 SFX trace mode=0 Use real SFX entry from previous run=1 Ignore SFX exceptions=1 First pause=1 Stop on new DLL=0 Stop on DLL unload=0 Stop on new thread=0 Stop on thread end=0 Stop on debug string=0 Decode SSE registers=0 Enable last error=1 Ignore access violations in KERNEL32=1 Ignore INT3=1 Ignore TRAP=0 Ignore access violations=0 Step in unknown commands=1 Ignore division by 0=0 Ignore illegal instructions=0 Ignore all FPU exceptions=0 Warn when frequent breaks=0 Warn when break not in code=0 Autoreturn=1 Save original command in trace=1 Show traced ESP=1 Animate over system DLLs=1 Trace over string commands=1 Synchronize CPU and Run trace=0 Ignore custom exceptions=1 Smart update=1 Set high priority=1 Append arguments=1 Use ExitProcess=1 Allow injection to get WinProc=0 Sort WM_XXX by name=0 Type of last WinProc breakpoint=0 Snow-free drawing=1 Demangle symbolic names=0 Keep ordinal in name=1 Only ASCII printable in dump=0 Allow diacritical symbols=1 String decoding=0 Warn if not administrator=0 Warn when terminating process=1 Align dialogs=1 Use font of calling window=0 Specified dialog font=0 Restore window positions=1 Restore width of columns=0 Highlight sorted column=0 Compress analysis data=1 Backup UDD files=1 Fill rest of command with NOPs=1 Reference search mode=0 Global search=0 Aligned search=0 Allow error margin=0 Keep size of hex edit selection=0 Modify tag of FPU register=1 Hex inspector limits=1 MMX display mode=0 Last selected options card=15 Last selected appearance card=6 Ignore case in text search=1 Letter key in Disassembler=1 Looseness of code analysis=1 Decode pascal strings=1 Guess number of arguments=1 Accept far calls and returns=0 Accept direct segment modifications=0 Decode VxD calls=0 Accept privileged commands=0 Accept I/O commands=0 Accept NOPs=1 Accept shifts out of range=0 Accept superfluous prefixes=0 Accept LOCK prefixes=0 Accept unaligned stack operations=1 Accept non-standard command forms=1 Show ARG and LOCAL in procedures=0 Save analysis to file=1 Analyse main module automatically=1 Analyse code structure=1 Decode ifs as switches=0 Save trace to file=0 Trace contents of registers=1 Functions preserve registers=0 Decode tricks=0 Automatically select register type=1 Show decoded arguments=1 Show decoded arguments in stack=1 Show arguments in call stack=1 Show induced calls=1 Label display mode=0 Label includes module name=0 Highlight symbolic labels=0 Highlight RETURNs in stack=1 Ignore path in user data file=1 Ignore timestamp in user data file=1 Ignore CRC in user data file=1 Default sort mode in Names=1 Tabulate columns in log file=0 Append data to existing log file=0 Flush gathered data to log file=0 Skip spaces in source comments=1 Hide non-existing source files=1 Tab stops=8 File graph mode=2 Show internal handle names=0 Hide irrelevant handles=0 Use RET instead of RETN=0 Show traced flags=1 Number of lines that follow EIP=0 Save out-of-module user data=0 CPU=194,324,812,360,3 CPU subwindows=327,798,321,798,537,771,479,909 OllyTest=0,0,1024,746,1 References=256,420,256,210,1 Breakpoints=75,248,626,168,1 Run trace=246,391,432,176,1 Patches=0,210,256,210,1 Executable modules=263,41,636,175,1 Memory map=357,41,519,274,1 Bookmarks=110,145,624,175,1 Profile=132,174,624,182,1 Windows=132,177,614,179,1 Threads=155,204,492,124,1 Log data=421,107,378,221,1 Source=256,210,256,210,1 Handles=196,325,647,175,1 Source files=205,268,473,168,1 Call stack=0,420,256,210,1 Call tree=132,132,791,175,1 SEH chain=0,0,256,210,1 Watch expressions=256,0,256,210,1 CPU scheme=0 CPU Disassembler=7,0,0,0,0 CPU Dump=7,0,1,0,4353,0 CPU Stack=7,0,0,0 CPU Info=7,0,0,0 CPU Registers=7,0,0,0 References=7,0,1,0,0 Breakpoints=1,0,1,0,0 Run trace=1,0,1,0,0 Patches=1,0,1,0,0 Executable modules=1,0,1,0,0 Memory map=1,0,1,0,0 ANAME=7,0,1,0,0 Bookmarks=1,0,1,1,0 Profile=1,0,1,0,0 Windows=1,0,1,0,0 Threads=1,0,1,0,0 Log data=1,0,1,0,0 Source=1,0,0,0,0 Handles=1,0,1,0,0 Source files=1,0,1,0,0 Call stack=1,0,1,0,0 Call tree=1,0,1,0,0 SEH chain=1,0,1,0,0 Watch expressions=1,0,1,0,0 CPU Disassembler=63,119,280,1792 CPU Dump=63,336,119 CPU Stack=63,70,1792 References=63,280,1792 Breakpoints=54,54,150,216,1536 Run trace=54,54,54,54,192,1536 Patches=54,30,48,192,192,1536 Executable modules=54,54,54,54,96,1536 Memory map=54,54,54,54,72,30,48,48,1536 ANAME=63,63,63,266,1792 Bookmarks=54,54,192,1536 Profile=54,54,192,1536 Windows=78,192,54,54,54,54,54,54,54,1536 Threads=54,54,66,108,60,54,72,72 Log data=54,1536 Source=48,1536 Handles=54,90,36,54,18,72,1536 Source files=54,96,1536 Call stack=54,54,216,168,54 Call tree=192,192,192,192 SEH chain=54,192 Watch expressions=216,1536 Executable=D:Unpackyoda Protector(criptor)Project1.exe Executable=D:UnpackTitaniumbitarts_evaluation.EXE Executable=D:UnpackARM ProtectorAsprDbgr.exe Executable=D:UnpackARM Protectorarmp.exe Executable=D:UnpackARM ProtectorProject2.exe Executable=D:Crack toolsCrackmehaskmifant- cm4CRACKME4.EXE View file=D:Crack toolsPakersObsidiumobsidium.exe View text file=D:Delphi!!!GO TO SITE!!Unit1.pas Object file= Import library= Log file=C:Program FilesUlead Photo Explorer 7.0log.txt Run trace file=D:GamesGMChessrtrace.txt API help file= Text save file= Symbolic data path=D:Crack tools UDD path=D:Crack toolsDebuggersodbg109d Plugin path=D:Crack toolsDebuggersodbg109d Executable= Executable= Executable= Executable= Executable= Executable= Argument=bp GetDriveTypeA Argument=Fack you Restore bookmarks window=0 Restore command line window=0 Command line window X=365 Command line window Y=186 Show Command Bar Window=1 FontFace= FontHeight=-16 CharSet=128 Scheme=5,12,5,17,7,8,7,13 Scheme name=Black on white Scheme=14,12,7,1,3,7,3,13 Scheme name=Yellow on blue Scheme=1,12,3,11,14,2,7,13 Scheme name=Marine Scheme=15,12,7,0,8,11,7,13 Scheme name=Mostly black Scheme=0,12,8,18,7,8,7,13 Scheme name=Scheme 4 Scheme=14,12,7,1,3,7,3,13 Scheme name=Scheme 5 Scheme=1,12,3,11,14,2,7,13 Scheme name=Scheme 6 Scheme=15,12,7,0,8,11,7,13 Scheme name=Scheme 7 Font=12,8,400,0,0,0,255,2,49,0 Face name=Terminal Font name=OEM fixed font Font=9,6,700,0,0,0,255,0,48,1 Face name=Terminal Font name=Terminal 6 Font=16,8,400,0,0,0,204,2,33,0 Face name=Fixedsys Font name=System fixed font Font=14,0,400,0,0,0,1,2,5,0 Face name=Courier New Font name=Courier (UNICODE) Font=10,6,400,0,0,0,1,2,5,0 Face name=Lucida Console Font name=Lucida (UNICODE) Font=9,6,700,0,0,0,255,0,48,0 Face name=Terminal Font name=Font 5 Font=16,8,400,0,0,0,204,2,33,0 Face name=Fixedsys Font name=Font 6 Font=14,0,400,0,0,0,1,2,5,0 Face name=Courier New Font name=Font 7 Commands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Operands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Scheme name=No highlighting Commands=0,4,124,112,9,64,64,13,111,8,12,0,0,0 Operands=1,0,4,13,65,1,112,6,0,0,0,0,0,0 Scheme name=Christmas tree Commands=0,0,124,112,0,64,64,0,96,0,0,0,0,0 Operands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Scheme name=Jumps’n’calls Commands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Operands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Scheme name=Hilite 3 Commands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Operands=0,0,0,0,0,0,0,0,0,0,0,0,0,0 Scheme name=Hilite 4 Options position=550,113 ScriptDir=D:Crack toolsTools for soft Iceodbg109dscripts idb_Sleeptime=1000 idb_Autoload=1 Debugger="C:Program FilesBorlandDelphi7Binbordbg70.exe" - aeargs %ld %ld Custom=0EEDFADE,0EEDFADE Custom=40000005,40000005 Custom=80000004,80000004 Custom=A3410001,A3410001 Custom=C0000005,C0000005 Custom=C0000008,C0000008 Custom=C000001D,C000001D Custom=C000001E,C000001E Custom=C000008C,C000008C Custom=C000008F,C000008F Custom=C0000094,C0000094 Custom=C0000096,C0000096 Custom=C00000FD,C00000FD Custom=E06D7363,E06D7363
Завершение
Вот и закончилось ваше знакомство с замечательным отладчиком OllyDebugger. Конечно, все возможности этого отладчика не возможно описать в статье, но я попытался, и надеюсь, у меня получилось. Некоторые возможности остались за гранью этой статьи, но я уверен, что Вы сами для себя откроете эти возможности. Я учил Olly абсолютно без статей, и у Вас получится продолжить ознакомление с отладчиком без чьей либо помощи. Если есть вопросы, предложения, маты и т.д. шлите их все на [email protected].P.S. Обязательно прочитайте мою статью про распаковку, при помощи Olly.
Приветы
Приветы всему cracklab`у, а особенно MozgC и Bad_guy`ю, ALEX`у, Kerghan`y, Mario555, Hex`у и всем, кто прочитал эту статью.В основном я всегда для отладки пользовался отладчиком всех времен и народов OllyDbg. Это шикарный деббагер, который очень удобен и прост одновременно обладающий очень мощным функционалом. Но, в последнее время я все больше сталкиваюсь х64 программами, да и домашний компьютер у меня поднят на х64 операционной системе, а OllyDbg версии 1.10 не корректно работает на такой операционной системе, теряет точку входа и вообще печально все. Попытки использовать более новую версию 2.01а тоже не увенчались успехом, так как она виснет в неожиданный момент и перестает отвечать, можно конечно накатить кучу патчей от китайских друзей и более менее оживить дебагер, но все равно огромное количество багов и похоже прекращение разработки(с августа 2011 года никаких подвижек) заставило меня посмотреть в сторону Interactive Disassembler, сокращенно IDA. Это мощнейший инструмент для отладки и исследования программ который обладает кучей нужных и не очень не нужных свистелок и перделок.
Но он тоже обладает некоторыми минусами, которые меня всегда останавливали для изучения сего мощного инструмента:
1.
Мало вменяемой документации, есть конечно книги от уважаемого господина К. Касперски, но они настолько древние, что читать их смысл есть, но в текущих реалиях не шибко большой, в основном для общего развития.
2.
Цена сего продукта у X-Rays - стартовая лицензия более 500 австралийских долларов и это без X-Rays Decompiler, который стоит совсем каких то неадекватных денег.
Но разочарование OllyDbg возобладало над жабой и здравым смыслом и я решил заняться всетаки изучением IDA.
Небольшое отступление - не нада спрашивать меня где скачать на халяву IDA бесплатно и без смс, вернее спросить можно, но я не знаю и отправлю на этот сайт .
Первым делом я поискал информацию об мануалах и был несколько разочарован, информации достаточно мало и она устарела, есть форумы на которых народ обменивается всякими полезностями про IDA, но мне надо было пройти для начала хотя бы курс молодого самца. В этом мне помогло видео руководство от TiGa, взять его можно Потратив почти целые выходные и выпив пол ящика пива я просмотрел все видеоруководства. После чего у меня появилась мысль, а почему бы не попробовать разобраться в IDA при помощи старых добрых статей от Рикардо Наваха под названием "Введение в крекинг с нуля используя OllyDbg", почитать их на русском можно например , может возникнуть вопрос, причем тут OllyDbg и IDA, а потому, что статьи очень подробные и я буду искать похожие элементы в IDA, что даст мне базовые понимания в работе с IDA.
Итак я не буду описывать базовые навыки при работе с ассемблером как в статьях Рикардо Наваха, так как думаю те кто переходят к IDA уже немного понимают что такое стек, регистры, как устроена память и что такое условный и без условный переход, а займемся сразу исследованием программ которые описаны в статьях Рикардо. Я постараюсь пройтись по всем его статьям с разбором crackme которые он упоминает.
Первая статья в которой уже идет разбор crackme, является главой под номером 9 , у меня же она будет первой главой.
Качаем необходимый фаил который будет исследоваться, например с сайта wasm.ru
Запускаем IDA и открываем в нем фаил через File->Open. После чего видим следующую картинку:
Все настройки можно оставить по умолчанию, так как они в принципе в текущий момент ничего мне особа не говорят. Жмем ОК и видим основное окно IDA:
Кружочками с циферками выделены следующие позиции:
1. Информация об базе, точке входа, размере секции кода виртуальной и реальной и прочая полезная информация про секцию.
2. Функции которые обнаружены в программе, розовым обозначены функции которые импортируются из внешних библиотек. start - чаще всего это функция которая идет в точке входа, к стати посмотреть варианты Entery Point можно нажав хоткей CTRL+E.
3. Собственно сам ассемблерный код текущей открытой функции, если не хочется смотреть в графическом режиме то можно переключить в текстовой сплошной простыней по пробелу, обратно в графический переключается пкм на листинге Graph view.
4. Миникарта функций со всеми переходами и прочим, очень полезна для ориентации в коде.
Для того чтобы можно было запускать приложение в отладчике, необходимо выбрать сам отладчик, так как листинг кода это еще не отладка.
Нажимаем F9
или выбираем в верху опцию Debugger
- появиться окно под названием Select a debugger
в котором выбираем Local Win32 debugger
для начала нам хватит этого дебагера, а с остальными будем разбираться позже.
Нажимаем еще раз F9 и программа запускается, не остановишись на Entery Point как в OllyDbg. Это можно исправить, если есть желание постоянно останавливаться в самом начале, идем опять же в закладку Debugger и там выбираем Debugger Options в открывшимся окне можно установить галочку на Stop on process entry point и получим реакцию такуюже как в OllyDbg, при старте отладки останавливаемся на точке входа. Но так же можно сразу установить руками брякпоинт если необходимо посмотрев в ASM листинг и остановиться там.
Теперь рассмотрим окно дебаггера:
Стрелочками показаны основные элементы интерфейса, они не шибко сильно отличаются от тогоже OllyDbg, хотя и есть некоторые дополнения, например отображение не в виде листинга, а в графическом виде, не забываем, что всегда можем переключиться в листинг из графического режима по пробелу и чаще всего также обратно. Есть панель с логом и карта графического отображения.
Что нам здесь еще понадобиться, основные инструменты показаны на следующей картинке:
Disassembly - собственно вызывает окно с дизассемблированной программой.
Hex Dump - открывает окно с дампом.
Pseudocode - эта функция пытается преобразовать ASM код в жалкое подобие C.
Exports - что программа или библиотека экспортирует.
Imports - что программа или библиотека импортирует.
Names - список APIшных имен найденых в данном экзешнике.
Functions - список функций обнаруженных в программе.
Strings - текстовые строки обнаруженные в программе.
Segments - сегменты которые обнаружены в памяти.
Для начала хватит, так как назначение остальных функций пока не очень понятны, а текущее понадобиться для иследования первой программы crackme.
Теперь немного про дебаггер, основные клавиши остались стандартные
F9
- выполнить программу
F8
- трассировать не заходя в функцию
F7
- трассировать заходя в функции
F2
- снять/установить брякпоинт на строке где в текущий момент курсор.
Как в IDA различать где мы сейчас находимся в программе которую отлаживаем или уже шаримся по дллке импорта - можно посмотреть в текстовом виде с лево от номера позиции и увидеть описание, например вот такое:
kernel32.dll
:764FD8F3
mov edi, edi
Ну по слову kernel32. сразу становиться понятно, что сейчас мы находимся в кернеле.
Ну теперь всетаки давайте вернемся нашему многострадальному crackme.
Запустим его и попытаемся ввести какое нибуть имя и серийный номер, вывалиться мессадж бокс, который скажет "No luck there, mate!". Значит мы не угадали имя и пользователя. Давайте попробуем отловить это сообщение и посмотрим как нам заставить выдавать правильное сообщение, что имя и серийник правильные. Известно, что вывод сообщения об неудаче использует стандартную API функцию MessageBoxA
, вот на нее и необходимо нам поставить брякпоинт.
Идем в View
->Open SubViews
->Functions
или нажимам Shift+F3,
а вот там видим все функции которые удалось определить IDA.
Выделяем нужную нам функцию MessageBoxA
и по низпадающему меню от правой мыши ставим брякпоинт на функцию. Както так:
Ок. Поставили, продолжим выполнение программы и попробуем ввести снова неправильное имя и серийник.(к стати вернутся в окно отладки по умолчанию чаще всего можно кнопкой ESC
)
Отладка остановилась на выводе сообщения о неправильном логине и пароле, отлично, смотрим какую полезную информацию мы можем выудить.
Мы находимя на входе в функцию MessageBoxA, сама функция нам не интересна, по этому жмем CTRL+F7
что означает, выполнить код до обнаружения первого ret, тоесть выхода из функции. После всех манипуляций, основное окно дизасемблированного кода выглядит вот так:
Ага! Это процедура которая передает аргументы для MessageBoxA которая выводит сообщение об неправильном серийнике и имени. Так как назначение понятно, то можно переименовать сразу функцию щелкнув ПКМ(правой кнопокй мыши) на sub_401362 и выбрав там пункт Rename или использовав горячую кнопку N. Я назову эту функцию AHTUNG! :)
Посмотрим далее, откуда растут ноги этой процедуры и что же находиться за ней. Нажмем F8 и выйдем на уровень в верх. А там сразу видно некую проверку со стрелочками, одна стрелочка на лево ведет к вредной процедуре AHTUNG , а вот вторая не очень понятно, но там видно CALL и адрес sub_40134D , очень интересно посмотреть, что же там. Варианта 2 в принципе, 1 это щелкнуть 2 раза ЛКМ(левой кнопкой мыши) на sub_40134D и попасть в эту функцию, а второй, это просто навести мышой на туже sub_40134D и подождать пол секунды, что покажет кусок этой функции, както так:
Уже очень интересно, похоже что другой вариант проверки ведет к правильному окошку. Обзовем эту процедурку GOOD
.
Снимаем старый брякпоинт на MessageBoxA
, он нам не нужен уже идем в Debugger->Breakpoints->Breakpoint List
и удаляем старый брякпоинт в открывшемся окне.
Теперь необходимо поставить брякпоинт на проверку jz над этими процедурками AHTUNG
и GOOD
либо по ПКМ и выбором соответсвующей опции или хоткеем F2. Перезапустим программу и осмотримся.
Получится у нас следующее окно:
К сожалению на статичной картинке не видно, но поверьте мне на слово, в текущий момент мигает срелочка которая ведет в сторону процедурки AHTUNG и это есть не очень хорошо. Нам было бы неплохо чтобы мигала зелененькая стрелочка в сторону процедурки которую мы обозвали GOOD. Для этого необходимо поставить флаг ZF в 1. ПКМ на флаге и выбрать опцию Increment Value или выделить флаг и нажать на кнопочку +(плюс) цифровой клавиатуре. Конечно лучше это смотреть в динамике, в статичных картинках плохо видно, но теперь замигала стрелочка в сторону GOOD процедурки в листинге это выглядит вот так:
Тут более наглядно на статике, когда ZF = 0, то переход не совершается и выглядит в виде пунктиной линии, соответсвенно мы попадаем на процедурку AHTUNG, а когда совершается - то видно жирную зеленую стрелочку и ведет он на процедурку GOOD.
Ну чтож, жмем наконец F9
и наслаждаемся результатом: Great work, mate. Now try the next CrackMe.
Правда если закрыть программу и снова открыть в отладчике, флаг конечно пропадет, надо придумать что нибуть, чтобы пропатчить ее и больше не извращаться с флагами, самый простой вариант, это за место JZ
сделать JNZ
, чтобы принимался наоборот любой неправильный серийник, кроме правильного.
Hex код JZ - 74
, а код JNZ - 75,
значит нада поменять байт, встаем на строку которую хочем поменять, идем в Edit
->Patch programm
->Change Byte.
Повяиться панель с набором байтов:
74 07 E8 18 01 00 00 EB 9A E8 FC 00 00 00 EB 93
необходимо поправить первую цифру на 75
, чтобы получилось
75 07 E8 18 01 00 00 EB 9A E8 FC 00 00 00 EB 93
В дизасемблированном коде можно будет увидеть изменения.
Тем самым теперь будет правильно проходить любой серийник кроме правильного, хотя я считаю что это грязным трюком, лучше или знать серийник или сделать безусловный JMP.
Сохраним результат патча, File
->Produce File
, вывалиться куча возможных сохранений, даже в EXE
, но оно почемуто не работает, так что сохраним в банальный DIF.
Посмотрим в файлик что получилось:
То что надо.
Ну вот и все на сегодня, следующая часть я думаю будет через недельку.
К ак запустить сеанс отладкиСамый простой путь состоит в том, чтобы запустить OllyDbg, выбрать File -> Open (Файл -> Открыть) и выбрать программу, которую Вы хотите отладить. Если эта программа требует каких-нибудь параметров командной строки, напечатайте их в поле внизу диалогового окна, или выберите одну из строк с параметрами, которые Вы использовали в предыдущих сеансах.
OllyDbg может делать отладку автономных DLL. В этом случае OllyDbg создает и запускает маленькое приложение, которое загружает библиотеку и, по вашему запросу, вызывает экспортируемые функции.
Если Вы хотите перезапустить последнюю отлаживаемую программу, просто нажмите Ctrl+F2 (это горячая клавиша для перезапуска программы), и OllyDbg запустит её с теми же самыми параметрами. Альтернативно, выберите меню File, а затем программу из истории. Вы можете также перетащить исполняемый файл или DLL из Проводника Windows и бросить его значок на OllyDbg.
Конечно, Вы можете определить название отлаживаемой программы и ее параметры в командной строке при запуске OllyDbg. Например, Вы можете создать на рабочем столе ярлык, указывающий OllyDbg, выбрать Свойства, перейти к Ярлыку програмы, и добавить название программы в командную строку. Каждый раз, когда Вы дважды щелкаете этот ярлык, OllyDbg автоматически запустит вашу программу. Обратите внимание, что DLL не поддерживают командную строку.
Вы можете присоединить OllyDbg к запущенному процессу. Выберите File -> Attach (Файл -> Присоединить), и выберите процесс из списка. Заметьте, однако, что после того, как Вы закрываете OllyDbg, этот процесс тоже завершится. Никогда не пробуйте присоединяться к системному процессу, это может закончиться сбоем операционной системы. (Честно говоря, в большинстве случаев OS не позволит Вам присоединяться к чувствительному процессу).
OllyDbg может действовать как отладчик JIT « just - in - time » . Это требует регистрации в системном реестре. Выберите Options -> Just-in-time debugging (Опции -> Отладка «just-in-time»), и в появившемся диалоге выберите «Make OllyDbg just-in-time debugger» (Сделать OllyDbg отладчиком «just-in-time»). Теперь, когда какое-нибудь приложение даст сбой, Вас спросят, хотите ли Вы произвести отладку этого приложения. Тогда операционная система запустит OllyDbg, который остановится непосредственно в точке, где произошёл сбой. Или, если Вы выбрали присоединение без подтверждения, OllyDbg запустится без всяких вопросов. Чтобы восстановить предыдущий отладчик «just-in-time», нажмите соответствующую кнопку в упомянутом диалоге и все.
Также существует другая возможность добавлять OllyDbg в контекстное меню, связанное с исполняемыми файлами в Проводнике Windows . (Эта идея принадлежит JochenGerster). В главном меню OllyDbg выберите «Options|Add to Explorer» (Опции -> Добавить в Проводник), затем нажмите «Add OllyDbg to menu in Windows Explorer» (Добавить OllyDbg в контекстное меню Проводника Windows). Впоследствии Вы можете щелкнуть правой кнопкой мыши на исполняемом файле, или DLL и выбрать OllyDbg из меню. Эта опция создает 4 ключа в системном реестре:
HKEY_CLASSES_ROOT\exefile\shell\Open с OllyDbg
HKEY_CLASSES_ROOT\exefile\shell\Open с OllyDbg\command
HKEY_CLASSES_ROOT\dllfile\shell\Open с OllyDbg
HKEY_CLASSES_ROOT\dllfile\shell\Open с OllyDbg\command
OllyDbg может производить отладку консольных приложений (на основе текста).
OllyDbg не может отлаживать.NET приложений. .NET программы состоят из псевдокода, который Windows интерпретирует или собирает «на лету» в родные "86 команды.
Заметьте, что, если Вы используете Windows NT, 2000 или XP, Вам, вероятно, придется иметь права администратора, чтобы отлаживать программы.
Брейкпоинты (контрольные точки)
OllyDbg поддерживает несколько видов брэйкпоинтов:
- Обычный брейкпоинт , первый байт команды, на которой Вы хотите остановиться, заменяется специальной командой INT3 (Ловушка для отладчика). Вы можете установить этот брейкпоинт, выбрав необходимую команду в панели Дизассемблер и нажав F2 , или из контекстного меню. Когда Вы нажмете F2 второй раз, брейкпоинт будет снят. Заметьте, что программа останавливается перед выполнением команды с установленным брейкпоинтом. Число INT3 брейкпоинтов, которые Вы можете установить, неограничено. Когда Вы закрываете отлаживаемую программу, или Отладчик, OllyDbg автоматически сохраняет брейкпоинты на диск. Никогда не пробуйте устанавливать этот тип брейкпоинта на данные или в середине команды! OllyDbg предупредит Вас, если Вы пытаетесь установить брейкпоинт вне раздела кода. Вы можете выключить это предупреждение в опциях Безопасности. В некоторых случаях Отладчик может вставлять собственные временные INT3 брейкпоинты.
- Условный брейкпоинт (Shift+F2) - обычный INT3 брейкпоинт со связанным условием. Когда Отладчик сталкивается с этим брейкпоинтом, он оценивает условие и если результат отличен от нуля, или условие недопустимо, останавливает отлаживаемую программу. Однако, вероятность переполнения, вызванного неправильным условным брейкпоинтом очень высока (главным образом из-за времени ожидания операционной системы). На PII 450 под Windows NT OllyDbg обрабатывает до 2500 ложных условных брейкпоинтов в секунду. Важный случай условного брейкпоинта - остановка на сообщениях Windows (подобно WM_PAINT). Для этой цели Вы можете использовать псевдопеременную MSG вместе с надлежащей интерпретацией параметров. Если окно активно, смотрите брейкпоинт сообщения, описанный ниже.
- Условный Брейкпоинт с записью (Shift+F4) - условный брейкпоинт с возможностью регистрации значения некоторого выражения или параметров известной функции каждый раз, когда срабатывает брейкпоинт или когда выполняется установленное условие. Например, Вы можете установить брейкпоинт с записью на некоторую оконную процедуру, чтобы регистрировать все вызовы этой процедуры (CALL), или только идентификаторы полученных WM_COMMAND сообщений, или установить его на вызов CreateFile и записать названия файлов, открытых только для чтения и т.д. Брейкпоинт с записью (logging breakpoint) такой же быстрый как и Брейкпоинт с условием (сonditional breakpoint), и конечно намного легче просмотреть несколько сотен сообщений в окне журнала, чем нажимать F9 несколько сотен раз. Таким образом, Вы можете выбрать более подходящую интерпретацию для вашего условия.
Вы можете устанавливать счетчик проходов - счетчик, который уменьшается каждый раз, когда выполняется условие остановки. Если счетчик прохода перед уменьшением не равен нулю, OllyDbg продолжит выполнение. Рассмотрим цикл (loop), который выполняется 100. (десятичное число) раз. Поставим брейкпоинт в середине и установим значение 99. (Десятичное число). OllyDbg прервётся на последней итерации.
В дополнение, условный брейкпоинт с записью (conditional logging breakpoint) позволяет Вам передать одну или несколько команд плагинам. Например, это может быть запрос к плагину командной строки, чтобы изменить содержимое регистра и продолжить.
- Брейкпоинт сообщения - то же самое, что и брейкпоинт с условием записи, за исключением того, что OllyDbg автоматически генерирует условие, позволяющее прерваться на некотором сообщении (подобно WM_PAINT) на точке входа к процедуре окна. Вы можете установить его в окне Windows.
- Трассировочный брейкпоинт (Trace breakpoint) - критический случай INT3 брейкпоинтов устанавливаемых на каждой указанной команде. Если Вы производите пошаговую трассировку (hit trace, брейкпоинт будет удален, а адрес, будет помечен как пройденный, после того, как будет достигнута команда. Если Вы используете обычную трассировку (run trace), OllyDbg добавит запись в журнал трассировки, а брейкпоинт останется активным.
- Брейкпоинт на Память . OllyDbg позволяет установку только одного брейкпоинта на память. Вы выбираете некоторую часть памяти в панелях Дизассемблер или Дамп в окне CPU и используете контекстное меню, чтобы установить брейкпоинт на память. Предыдущий брейкпоинт на память, если он был, будет автоматически удалён. У вас есть две доступные опции: прерваться на доступе к памяти (чтение, запись, или выполнение в памяти) или только на записи. Чтобы установить этот брейкпоинт, OllyDbg изменяет аттрибуты блоков памяти, содержащих выделение. На 80x86-совместимых процессорах память распределена и защищена в блоках по 4096 байт. Если Вы выбираете даже отдельный байт, OllyDbg должен будет защитить целый блок. Это может привести к возникновению множества ложных тревог с огромным переполнением. Используйте этот вид брейкпоинта с осторожностью. Некоторые системные функции (особенно под Windows 95/98) приводят к зависанию отлаживаемой программы вместо генерации события отладки при доступе к защищенной памяти.
- Аппаратный брейкпоинт (доступен только под Windows МЕ, NT, 2000 или XP). 80x86-совместимые процессоры позволяют Вам установить 4 аппаратных брейкпоинта. В отличие от брейкпоинта на память, аппаратные брэйкпоинты не замедляют скорость выполнения, но охватывают только до 4 байт. OllyDbg может использовать аппаратные брейкпоинты вместо INT3 при выполнении или сканировании кода.
- Однократное прерывание на доступе к памяти (Single-shot break on memory access) (доступно только под Windows NT, 2000 и XP). Вы устанавливаете его в окне Память на целом блоке памяти из контекстного меню или, нажимая F2 . Этот брейкпоинт особенно полезен, если Вы хотите поймать вызов или возвращение к некоторому модулю. После того, как выполняется остановка, брейкпоинт удаляется.
- Остановка обычной трассировки (Run trace pause) (Ctrl+T) - установка условий, которые проверяются на каждом шаге процесса трассировки (run trace). Вы можете остановить трассировку (run trace), если EIP входит в некоторый диапазон или покидает другой диапазон, или некоторое условие истинно, или когда команда соответствует одному из указанных образцов, или когда команда является подозрительной, или после того, как прослежено указанное число команд. Обратите внимание, что эта опция может значительно (до 20 замедлять скорость трассировки (run trace) .
OllyDbg может также останавливать выполнение программы на некоторых событиях отладки, подобно загрузке или выгрузке DLL, запуску или уничтожению потока, или когда программа посылает отладочную строку (debugstring).
Дамп
Окно Дампа отображает содержимое памяти или файла. Вы можете выбирать один из нескольких определенных форматов: byte, text, integer, float, address, disassembly or PE Header.
Все окна дампа поддерживают резервное копирование, поиск и функции редактирования. Область окна Дампа окна CPU позволяет Вам определять метки, устанавливать брейкпоинты на памяти, находить ссылкик данным в выполняемом коде и открытом изображении выбранной памяти в исполняемом файле (.exe или.dll). Меню Дампаотображает только относительный набор доступных команд.
Если доступно резервное копирование, нажмите Address/Backup в панели, чтобы переключить режим отображения между резервным копированием и нормальным видом. Другие кнопки на панели позволяют Вам изменять режимы дампа.
Подобно окну Дизассемблер, Дамп сохраняет длинную историю посещенных местоположений памяти. Вы можете передвигаться по истории нажимая кнопки " + " или " - ".
Чтобы листать данные, удерживайте клавишу Ctrl , и нажимайте стрелки Up/Down .
Модули
Окно выполняемых модулей (сочетание клавиш: Alt+E) перечисляет все модули, загруженные в настоящее время отлаживаемым процессом. Это окно также отображает полезную информацию, подобно размеру модуля, адресу входа, версии модуля или пути к исполняемому файлу. Некоторая информация, например десятичный размер модуля, символическое название точки входа и т.д., обычно скрывается системой. Чтобы увидеть эти данные, увеличьте ширину соответствующих столбцов. Контекстное меню поддерживает следующие опции:
Actualize - заново сканирует модули и убирает подсветку из новых модулей. В большинстве случаев, OllyDbg заботится о себе.
View memory (Просмотреть память) - открывает окно Памяти и прокручивает его к первому блоку памяти, принадлежащему отображаемому модулю.
View code in CPU (Просмотр Кода в CPU) - открывает выполняемый код модуля в Дизассемблере.
Follow entry (Перейти ко входу) - следует за точкой входа в модуль в Дизассемблере
Dump data in CPU (Данные Дампа в CPU) - открывает раздел данных модуля в Дампе CPU.
View names (Просмотр названий) (Ctrl+N) - отображает таблицу, содержащую все имена (экспорт, импорт, библиотека, определяемые пользователем) определяемые или используемые в текущем модуле.
Mark as system DLL
(Пометить как системный DLL),
Mark as non-system DLL (Пометить как не-системный DLL) - отмечает выбранный модуль как системный или несистемный. Отмечая модуль как системный Вы исключаете его из Трассировки, значительно ускоряя его выполнение. По умолчанию, системные модули - модули, которые постоянно находятся в системном каталоге (обычно c:\windows\system на Windows 95/98, c:\winnt\system32 в NT/2000/XP).
Update .udd file now
(Обновить.udd файл сейчас) - запишет, все зависимые от данного модуля данные в файл
View executable file (Просмотреть исполняемый файл) - отображает дамп исполняемого файла.
View all resources (Просмотреть все ресурсы) - отображает список всех ресурсов, определенных в модуле вместе с краткой информацией. OllyDbg не поддерживает ресурсы как отдельный объект; все, что Вы можете сделать это сдампить ресурс и отредактировать его в бинарном виде.
View resource strings (Просмотреть строковые ресурсы) - отображает список строковых ресурсов и их идентификаторы.
View run trace profile (Просмотреть профиль трассировки) - вычисляет профиль для этого модуля. См. также Run trace (Прямая трассировка).
Analyze all modules
(Анализировать все модули) - позволяет анализироватьвсе модули сразу. Анализ извлекает полезную информацию из загруженного кода; отладка обычно проходит быстрее и намного надежнее, когда код проанализирован.
Сделав двойной клик на строке, Вы перейдёте к выполняемому в модуле коду в панели Дизассемблера.
Карта памяти
Окно карты Памяти отображает все блоки памяти, используемые отлаживаемой программой. Нет никаких стандартных средств, чтобы выполнить эту задачу, так что может случиться, что OllyDbg объединит несколько частей распределенной памяти в одном большом блоке памяти. Однако в большинстве случаев нет необходимости в точной разрешающей способности. Чтобы получить список блоков памяти, запрашиваемых приложением через вызовы к GlobalAlloc (), LocalAlloc () и т.д., используйте Heap list.
Если блок памяти - секция некоторого выполняемого модуля, OllyDbg сообщит, какой вид данных этот блок содержит: код, данные, ресурсы и т.д.
Есть некоторые различия между Windows 95/98 и Windows NT/2000. Под Windows 95/98, OllyDbg не способен показать названия отображаемых файлов. Также, Windows 95/98 ограничивает разрешённые типы доступа к памяти: на чтение и на запись. Примите во внимание также, что Windows NT/2000 имеют намного более широкую палитру возможностей, включая доступ на выполнение, copy-on-write и флаг защиты. OllyDbg игнорирует атрибут copy-on-write.
Если OllyDbg распознает, что программа распределила новый или перераспределила существующий блок памяти, то OllyDbg выделяет соответствующую запись в окне карты памяти. Чтобы сбросить всю подсветку, выберите Actualize (Обновить) в контекстном меню.
Вы можете вызывать окно Память, нажав Alt+M .
Доступны следующие пункты контекстного меню:
Actualize (Обновить) - обновляет список распределенной памяти и удаляет выделение из новых блоков памяти.
View in Disassembler (Просмотреть в Дизассемблере) - открывает блок памяти в Дизассемблере. Эта опция доступна, только когда блок памяти содержит выполняемый код или самораспаковщик некоторого модуля.
Dump в CPU (Дамп в окне CPU) - отображает содержимое блока памяти в области окна Дампа CPU.
Dump (Дамп) - дамп содержимого блока памяти в отдельном окне. Если тип блока памяти известен, OllyDbg автоматически выбирает формат дампа.
View all resources (Просмотреть все ресурсы) - если блок содержит данные ресурсов, список всех ресурсов и связанные данные. OllyDbg не поддерживает ресурсы как отдельный объект; все, что Вы можете сделать с ресурсами, это сдампить и отредактировать в двоичном формате.
View resource strings (Просмотр ресурсных строк) - если блок содержит данные ресурсов, то Олли перечисляет все строки ресурсов с их идентификаторами.
Search (Поиск) - позволяет Вам просматривать все блоки памяти, начиная с выделенного, до того как будет встречена бинарная строка. Если строка найдена, OllyDbg показывает дамп найденного блока памяти. Карта Памяти и окно дампа совместно используют один и тот же образец поиска, поэтому Вы можете немедленно продолжить поиск до следующего возникновения в появляющемся дампе. Вы можете закрыть окно дампа, нажав Esc.
Set break-on-access (Установить прерывание на доступе) (F2 ; доступно только под Windows NT/2000) - защищает целый блок памяти. После брейкпоинта, OllyDbg останавливает отлаживаемую программу и удаляет брейкпоинт. Этот брейкпоинт особенно полезен, если Вы хотите поймать вызов или возврат к некоторому модулю.
Remove break-on-access (Удалить прерывание на доступе) (F2) - удаляет установленное прерывание-на-доступ из блока памяти.
Set memory breakpoint on access (Установить брейкпоинт на доступ к памяти) - устанавливает брейкпоинт на память на целом блоке памяти. Программа будет прерываться каждый раз при обращении отлаживаемой программы к этому блоку памяти. OllyDbg поддерживает только один брейкпоинт на память. Под Windows 95/98, отлаживаемая программа может зависнуть, когда системные подпрограммы обращаются к блокам памяти, содержащим брейкпоинт. Используйте его в крайнем случае.
Set memory breakpoint on write (Установить брейкпоинт на запись в память) - устанавливает брейкпоинт на целом блоке памяти. Программа будет прерываться каждый раз, когда будет записывать в этот блок памяти. Под Windows 95/98, отлаживаемая программа может зависнуть, когда системные подпрограммы обращаются к блокам памяти, содержащим брейкпоинт. Используйте его в крайнем случае.
Remove SFX memory breakpoint (Удалить SFX брейкпоинт на память) - останавливает поиск на реальной точке входа в запакованную программу (SFX). Этот поиск использует брейкпоинт на память специального типа.
Set access (Установить доступ)
- устанавливает желаемый атрибут защиты памяти на целый блок памяти.
Возможные опции:
No access (нет доступа)
Read only (Только чтение)
Read / write (Чтение/Запись)
Execute (Выполнение)
Execute / read (Выполнение/Чтение)
Full access (Полный доступ)
Копировать в буфер обмена
Целую строку - копирует выбранную запись в буфер обмена как многострочный текст с пояснениями. Чтобы исключить какой-либо столбец из копирования, уменьшите его ширину до минимума (оставшаяся часть столбца станет серой).
Целую таблицу - копирует целую карту памяти в буфер обмена как многострочный текст. Первая строка этого текста содержит заголовок окна («MemoryMap» - «Карта памяти»), вторая строка - заголовки столбцов, все последующие строки - записи данных памяти. Копия сохраняет ширину столбцов. Чтобы исключить какой-либо столбец из копируемого, уменьшите его ширину до минимума (оставшаяся часть столбца станет серой).
Наблюдатели и инспекторы
Окно Наблюдателя содержит несколько выражений. Оно отображает их значения во втором столбце. OllyDbg сохраняет выражения в.udd файл главного модуля, так что они будут доступны при следующем сеансе отладки.
Инспектор - автономное окно, которое может показывать содержание некоторой переменной, 1- или 2-мерного массива или даже выбранные элементы массива структур. Выражение в основном то же самое, как у Наблюдателя, но может включать два параметра: %A и %B. Когда Вы устанавливаете Инспектор, Вы можете определить пределы для этих параметров. OllyDbg тогда просчитывает все возможные комбинации %A и %B в выражение, начинающееся от 0 и до предела (не включая), и отображает результаты в таблице. Предел для %B (число столбцов) не может превышать 16.
Стек вызовов
Окно "Стек вызовов" (клавиша Alt+K) делает попытку отследить последовательность вызовов в стеке выбранного потока и отображает его, вместе с известными или предложенными параметрами вызываемых функций. Эта задача проста, когда вызываемые функции создают стандартные фреймы стека (PUSH EBP; MOV EBP,ESP). Современные оптимизирующие компиляторы не беспокоятся о фреймах стека, поэтому OllyDbg использует различные уловки. Например, OllyDbg пробует прослеживать код к следующему возврату и рассчитывает все push, pop или изменения ESP. Если это не помогает, OllyDbg предпринимает более опасный и отнимающий много времени подход: OllyDbg просматривает стек, пытаясь найти все возможные адреса возврата и проверок, в которых функция вызывалась соответствующим оператором, включая проанализированные команды. Есть также другая, довольно сомнительная эвристика. Просмотр стека может быть действительно медленным. OllyDbg производит его, только если окно "Стек вызовов" открыто.
Окно "Стек вызовов" содержит 5 столбцов: Address, Stack, Procedure, Called from, Frame .
Столбец Address содержит адрес в стеке, Stack отображает значение соответствующего адреса возврата или параметра.
Procedure (или Procedure / arguments) - отображает то место, где окно Стек вызовов располагает в стек адрес вызываемой функции. В некоторых случаях OllyDbg не уверен, является ли этот адрес правильным и добавляет один из следующих маркеров:
Найденная точка входа - не надежна
Maybe OllyDbg не смог найти надежную точка входа, найденный адрес необходимо проверить, используя эвристику
Includes OllyDbg, не смог найти точку входа и только знает, что эта процедура включает отображаемый адрес
Нажимая кнопку на панели или выбирая «Hide/Show arguments» («Скрыть/показать параметры») в меню, Вы можете включать или выключать параметры функций.
Called from это адрес команды, которая вызывается этой процедурой.
Последний столбец, Frame , по умолчанию скрыт и отображает значение указателя фрейма (регистр EBP), если он известен.
Просматривать стек надежнее и значительно быстрее, когда все вызываемые функции проанализированы.
Дерево вызовов
Дерево вызовов (CALL) (клавиша Ctrl+K в Дизассемблере) использует результаты анализа, чтобы подготовить список функций, вызываемых данной процедурой, непосредственно или косвенно, и список всех известных вызовов данной функции. Побочный эффект - распознает, является ли выбранная процедура явно рекурсивной. "Явно" означает, что она не может прослеживать запросы с неизвестным адресом, подобно CALL EAX. Если процедура совершает неизвестные вызовы, "Дерево вызовов" добавляет маркеры " Unknown destination(s)" (Неизвестный адрес(а)).
Некоторые из вызываемых функций комментируются одним из следующих слов:
Leaf Не вызывает никакие другие функции
Pure Не вызывает никаких функций, не имеет никаких побочных эффектов
RETN Состоит из единственной команды RETN
Sys Функция в системном DLL. По определению, системный DLL - DLL, постоянно находящийся в системном каталоге
Чтобы пройтись по "Дереву вызовов", сделайте двойной щелчок по адресу в "Called from" или столбцу "Calls/Calls directly". Окно "Дерево вызовов" сохраняет историю ваших действий (клавиши " - " и " + ").
Если отлаживаемая программа состоит из нескольких модулей, я рекомендую проанализировать все эти модули. "Дерево вызовов" не пытается обрабатывать системные функции.
Самоизвлекающиеся (SFX) файлы
SFX файл состоит из распаковщика и упакованной оригинальной программы. При исследовании запакованных файлов Вы обычно хотите пропустить упаковщик и остановиться на точке входа в программу ("реальный вход"). OllyDbg содержит несколько функций, которые облегчают эту задачу.
Обычно распаковщик загружается в адреса, которые находятся вне раздела первоначальной программы. В этом случае OllyDbg распознает файл как SFX.
Когда SFX опция требует трассировки реального входа, OllyDbg устанавливает брейкпоинт на память на всей секции кода. Обычно он пуст или содержит сжатые данные. Когда программа пытается выполнить некоторую команду в пределах защищенной области, которая не является ни RET, ни JMP, OllyDbg сообщает о реальном входе. Таким образом и работает побайтное извлечение.
Этот метод очень медленный. Есть другой, более быстрый метод. Каждый раз, когда происходит исключение при чтении данных, OllyDbg производит чтение из этого 4K блока памяти, и отключает предыдущее окно чтения. На каждом исключении записи данных (data write exception) он разрешает запись в этот блок и запрещает запись в предыдущий. Когда программа выполняет команды в незащищенной области, OllyDbg сообщает о реальном входе. Однако, если реальный вход - внутри окна чтения или записи, его местоположение будет сообщено неправильно.
Вы можете исправить адрес входа вручную. Выберите новый адрес входа и в контекстном меню окна Дизассемблер выберите Breakpoint-> Set real SFX entry here(Брэйкпоинт->Установить реальный SFXвход здесь). Если соответствующая опция SFX включена, в следующий раз OllyDbg пропустит распаковщик быстро и надежно.
Вы идёте по отлаживаемой программе, нажимая F7 (шаг с вхождением) или F8 (шаг с обходом). Главное различие между этими методами - то, что, если текущая команда выполняет вызов (CALL) некоторой функции, F7 войдёт в функцию и остановится на ее первой команде, в то время как F8 будет сразу пробовать выполнить функцию. Если Вы обходите некоторую функцию, любой брейкпоинт, или случай отладки находящийся в пределах функции, приостановит выполнение основной программы, но временный брейкпоинт после вызова процедуры останется активным, и Вы дойдете до него рано или поздно.
Если отлаживаемая программа останавливается на исключении, Вы можете передать это исключение в обработчик, установленный с отлаженной программой. Просто нажмите Shift вместе с любой командой продвижения.
Вместо нажатия F7 или F8 несколько сотен раз, Вы можете использовать анимацию (Ctrl+F7 или Ctrl+F8). В этом случае, OllyDbg автоматически повторяет F7 или F8 после того, как предыдущий шаг закончен, и все окна модифицированы. Процесс останавливается когда:
- Вы нажимёте Esc или запустите любую другую команду продвижения, или
- OllyDbg встретит установленный ранее брейкпоинт, или
- Отлаживаемая программа произведёт исключение.
Используя Клавиши "+ " и "- " , Вы можете отмотать назад историю выполнения.
Обратите внимание, что OllyDbg прорисовывает большинство окон, каждый раз, когда выполнение приостанавливается. Если анимация, окажется, очень медленной, попробуйте закрыть или, по крайней мере, свернуть все неиспользуемые окна.
Другой, более быстрый путь для обратной трассировки (backtrace) выполнения программы - Run trace. В этом случае OllyDbg создает протокол выполнения и сообщает Вам, когда и сколько раз данная команда была выполнена.
Пошаговая трассировка
Пошаговая трассировка дает Вам возможность отметить, какие части кода были выполнены, а какие нет. Метод, осуществленный в OllyDbg довольно прост. Он устанавливает INT3 брейкпоинт на каждой команде в пределах указанной области. Когда брейкпоинт выполняется, OllyDbg удаляет его и помечает команду как пройденную. Поскольку каждый брейкпоинт трассировки выполняетcя только однажды, этот метод очень быстр.
При использовании пошаговой трассировки, должны быть приняты меры предосторожности, чтобы не установить брейкпоинт на данных, поскольку приложение в этом случае допустит ошибку. По этой причине, Вы должны проанализировать код, чтобы активизировать соответствующие опции меню. Я рекомендую, чтобы Вы выбрали строгое или эвристическое распознавание процедур. Нечеткая опция слишком терпима к ошибкам и часто находит несуществующие процедуры.
Когда Вы устанавливаете брейкпоинт трассировки даже на отдельной команде в пределах модуля, OllyDbg устанавливает буфер трассировки вдвое большего размера по сравнению с разделом кода.
Обратите внимание, что, когда Вы удаляете данные пошаговой трассировки, Вы одновременно удаляете и принудительный запуск трассировки.
Прямая трассировка
Прямая трассировка - способ обратного выполнения программы, который необходим в некоторых случаях. Вы можете также использовать прямую трассировку для простого профилирования. В основном, OllyDbg выполняет отлаживаемую программу пошагово, подобно анимации, но не изменяет окна и - что наиболее важно - сохраняет адреса, содержимое регистров, сообщений и известных операндов в буфере трассировки. Если отлаживаемый код самоизменяющийся, Вы можете сохранить первоначальные команды. Запустите прямую трассировку, нажав Ctrl+F11 (трассировка с входом) или Ctrl+F12 (трассировка с обходом). Остановка трассировки - клавиши F12 или Esc .
Вы можете определить набор условий, которые проверяются на каждом шаге выполнения прямой трассировки (горячая клавиша: Ctrl+T). Прямая трассировка останавливается, когда встречает какое-либо условие. Условия включают:
Конечно, прямая трассировка требует много памяти, в среднем от 16 до 35 байт на команду в зависимости от режима, и выполняется очень медленно. На процессоре 500 MHz под Windows NT этот процесс может трассировать до 5000 команд в секунду. Под Windows 95 медленнее: только 2200 команд в секунду. Но во многих случаях, например, когда в программе есть переходы к несуществующему адресу, это единственный способ найти решение проблемы. Вы можете исключить квазилинейные последовательности команд (с единственным выходом в конце последовательности) из процесса прямой трассировки. Когда OllyDbg сталкивается с исключенной последовательностью, то OllyDbg устанавливает временный брейкпоинт на команде, которая немедленно следует за исключенным блоком и выполняет его сразу. Конечно, любое возвращение или переход к внешнему коду делают правильное рассмотрение невозможным, поэтому OllyDbg проверяет часть кода, которую Вы хотите исключить, и в трудных случаях спрашивает у Вас подтверждение.
В большинстве случаев Вам нет необходимости трассировать системный API код. Опция "Always trace over system DLLs" позволяет Вам трассировать без вхождения в функциональные API при трассировке и анимации с вхождением. OllyDbg предполагает, что модуль системный, если он постоянно находится в системной папке. В окне Modules (Модули) Вы можете отметить любую библиотеку как системную или несистемную.
Чтобы сделать выполнение быстрее, Вы можете ограничить процедуру прямой трассировки выбранными командами или частями кода, устанавливая брейкпоинты на запуск трассировки и запуская программу. Я называю это «forced run trace» (принудительный запуск трассировки). В основном, брейкпоинты на трассировку - это неудаляемые брейкпоинты пошаговой трассировки. Если Вы удаляете пошаговую трассировку, Вы одновременно удаляете и прямую трассировку.
Команды трассировки, упомянутые в начале этого раздела автоматически открывают буфер трассировки. Вы можете определить его размер (до 64 МБ) в Опциях. Этот буфер круговой и, когда он заполняется, переписываются самые старые записи.
Вы можете открыть или очистить буфер прямой трассировки, выбрав «Debug -> Open or clear run trace» (Отладка -> Открыть или очистить буфер трассировки) из главного меню OllyDbg. После того как буфер трассировки открыт, OllyDbg зарегистрирует все паузы в выполнении, даже те, которые не были вызваны прямой трассировкой. Например, Вы можете идти по программе, нажимая F7 или F8 , а затем обратно проходить код, используя клавиши Плюс и Минус. Заметьте, что эти клавиши просматривают историю, когда буфер трассировки закрыт. Если Вы проходите программу с помощью трассировки, Регистры, и Информационные области окна становятся серыми, подчеркивая, что данные регистров, которые они отображают - не фактические. Буфер трассировки не сохраняет вершину стека или содержимое памяти, используемое регистрами. Регистры, Информация и Стек используют фактическое состояние памяти, чтобы интерпретировать регистры из буфера трассировки.
OllyDbg может посчитать, сколько раз каждая команда появляется в буфере прямой трассировки. В окне Дизассемблер выберите «View -> Profile data» (Просмотр -> Профильные данные). Эта команда заменяет столбец Comments (Комментарий) столбцом Profile (Профиль). Или, если отображена панель, щёлкните её несколько раз, пока она не отобразит Profile information. Заметьте, что отображаемый счетчик - динамический и не подсчитывает старые команды, удалённые из буфера трассировки. Вы можете также рассматривать данные профиля для целого модуля, отсортированных несколькими нажатиями, в отдельном окне Profile
Специальная команда в окне Дизассемблера «Runtrace -> Add entries of all procedures» (Прямая трассировка -> Добавить все процедуры), позволяет проверить, насколько часто вызывается каждая распознанная процедура. Другая команда «Runtrace -> Add branches in procedure» (Прямая трассировка -> Добавить ветки в процедуре) принудительно трассирует все распознанные адресаты переходов в пределах процедуры. В этом случае, профиль позволяет находить наиболее часто выполняемые переходы и оптимизировать их для увеличения скорости.
Опция «Search for -> Last record in run trace» (Найти -> Последнюю запись в буфере трассировки) в контекстном меню окна Дизассемблер находит когда была выполнена, и была ли выполнена вообще, отмеченная команда в последний раз.
Окно прямой трассировки отображает содержимое буфера трассировки. Для каждой команды существует определённое содержимое регистров, которые были изменены командой (более точно, изменились между записью в исходнике и обновленной). Если Вы сделаете двойной клик на некоторой команде, всплывающее окно выберет все ссылки на данную команду в буфере трассировки и Вы сможете быстро просмотреть их, нажимая клавиши Плюс или Минус. Если опция «Trace -> Synchronize CPUandRuntrace» (Трассировка -> Синхронизировать окно CPU и окно прямой трассировки) установлена, Дизассемблер перейдёт к окну прямой трассировки.
Заметьте, что, когда Вы удаляете пошаговую трассировку, Вы одновременно удаляете принудительную прямую трассировку.
Состав дистрибутива
Каталог OllyDbg110 - дистрибутив, скачанный с сайта программы
Каталог OllyDbgHelpRus - переведенная на русский язык официальная справка по отладчику OllyDbg. Взято с сайтаhttp://cracklab.ru/
2. Описание программы (взято из Help -а к программе)
OllyDbg - 32-битный отладчик анализирующий на уровне ассемблера, с интуитивным интерфейсом. Особенно полезен, если исходный код - не доступен или когда Вы испытываете проблемы с компилятором.
Требования. Работает под Windows 95, 98, МЕ, NT или 2000, XP (не проверен на 100 %), на любом компьютере класса Pentium, но для удобной отладки Вам будет нужен по крайней мере процессор 300 мгц. OllyDbg требовательный к памяти. Если Вы собираетесь использовать дополнительные примочки (плагины), я рекомендую 128 или более Мбайт оперативной памяти.
Поддерживаемые процессоры: OllyDbg поддерживает все 80x86, Пентиум, MMX, 3DNow! , включая Athlon, команды SSE и соответствующие форматы данных. Но не поддерживает SSE2.
Настройка. Более чем 100 опцийуправляют работой программы.
Форматы Данных. Окна Дампа отображают данные во всех обычных форматах: HEX, ASCII, UNICODE, 16-и 32 разрядные целые/нецелые/hex числа, 32/64/80-bit с плавающей запятой, адресацию, дизассемблирование (MASM, IDEAL или HLA), PE заголовок или поток блока данных.
Справка . Этот файл содержит основную информацию, необходимую для понимания и использования Ollydbg. Если у вас есть справка по Windows API (win32.hlp, не включена по причинам авторских прав), Вы можете прикрепить её и получать мгновенную справку о системных вызовах.
Запуск приложения. Вы можете выбрать исполняемый файл в командной строке, выбрать в меню, перетащить файл в Ollydbg, перезапустить последнюю отлаживаемую программу или присоединиться к уже запущенному приложению. Ollydbg поддерживает текущую отладку. Инсталляция - не требуется, Вы можете запустить Ollydbg с гибкого диска!
ОтладкаDLL. С Ollydbg Вы можете делать отладку динамически подключаемые библиотеки (DLL). Ollydbg автоматически запускает маленький исполняемый файл, в который загружает библиотеку и позволяет Вам вызывать ее экспорт.
Отладка файлов с отладочной информацией. Ollydbg читает информацию об отладке в Форматах MICROSOFT и Borland. Эта информация включает исходный текст и названия функций, меток, глобальных и статических переменных. Поддержка динамических (стек) переменных и структур очень ограничена.
Подсветка Кода. Дизассемблер может подсвечивать различные типы команд (переходы, условные переходы,помещение и извлечение из стека, вызов процедур, возвраты, привилегированные и недопустимые) и различные операнды (общие, FPU/SSE или сегментные/системные регистры, операнды памяти в стеке или в другой памяти, константы). Вы также можете создавать пользовательские схемы подсветки.
Потоки. Ollydbg способен отлаживать многопоточные приложения. Вы можете переключаться из одного потока к другому, приостанавливать, возобновлять и уничтожать потоки или изменять их приоритет. Окно Потоков отображает ошибки для каждого потока (например, возвращают вызов к GetLastError).
Анализ. Анализатор - одна из наиболее значимых частей OllyDbg. Он распознает процедуры, циклы, переключатели, таблицы, константы и строки, внедренные в код, сложные конструкции, вызовы API-функций, число параметров функции, секции импорта и так далее. Анализ делает бинарный код более читаемым, облегчает отладку и уменьшает вероятность неверных истолкований и сбоев. Он не ориентируется на компилятор и работает одинаково хорошо с любой PE-программой. Вы можете улучшить результаты анализа, устанавливая подсказки.
Сканер объектов. OllyDbg сканирует модули объекта (файлы) или библиотеки (оба в форматах OMF И COFF), извлекает код, сегментирует и определяет их местонахождение его в отлаживаемой программе.
Сканер импортируемых библиотек. Некоторые DLL экспортируют свои символы только ординалами (ordinal), которые не очень удобны для восприятия для человеческого глаза. Если у Вас есть соответствующая библиотека импорта, OllyDbg переводит ординалы назад в символьные имена.
Полная поддержка UNICODE. Почти все операции, доступные для строк ASCII также доступны для строк UNICODE, и наоборот.
Имена. OllyDbg показывает все импортированные и экспортируемые символы и имена из информации об отладке и в форматах Microsoft и Borland. Сканер Объектов позволяет распознавать функции библиотек. Вы можете добавлять ваши собственные значения и комментарии. Если функции в некоторой DLLэкспортируются ординалами, Вы можете прикрепить библиотеку импорта и восстановить первоначальные имена. OllyDbg также знает символьные имена многих констант, подобно окнам сообщений, ошибкам кода или полям разрядов, и декодирует их в вызовы известных функций.
Известные функции. OllyDbg распознает по имени более чем 2300 часто используемых Cи и API функции Windows и декодирует их параметры. Вы можете добавить ваши собственные описания, или назначить определенное декодирование. Вы можете установить брейкпоинт с записью на известной функции и записать параметры в файл.
Вызовы. OllyDbg может прерывать выполнение приложения при обращении к стеку, даже когда информация об отладке недоступна, и процедуры используют нестандартные вступления и окончания.
Стек. В окне Stack, OllyDbg использует эвристику, чтобы распознать адреса возврата и структуру записи. Обратите внимание, однако, что они могут быть остатками от предыдущих вызовов. Если программа приостановлена на известной функции, окно стека декодирует фактические параметры.
SEHцепочки. Стек прослеживает и отображает цепочку SE хэндлов. Полная цепочка доступна в отдельном окне.
Поиск. Множество возможностей! Поиск команды (точный или неточный) или последовательности команд, для констант, бинарная или текстовая строка (не обязательно непрерывная), для всех команд, которые ссылаются на адрес, константу или адресный интервал, для всех переходов к выбранному местоположению, для всех функций, которые вызывают некоторую процедуру или того, что эта процедура вызывает, для всех упоминаемых текстовых строк, для всех вызовов различных модулей, для имен, для замаскированных бинарных последовательностей в целом распределении памяти. Если найдены множество местоположений, Вы можете быстро перемещаться между ними.
Окна. OllyDbg перечисляет все окна, создаваемые отлаживаемым приложением и устанавливает контрольные точки на окна, класс или даже выбранное сообщение или группу сообщений.
Ресурсы. Если API функция Windows ссылается на строковый ресурс, OllyDbg извлекает и показывает его. Поддержка других типов ограничена списком прикрепленных ресурсов, дампа и бинарного редактирования.
Контрольные точки (брейкпоинты). OllyDbg поддерживает все обычные виды контрольных точек: простые прерывания, условные прерывания, прерывания, которые записывают информацию (например, функциональные параметры) в журнал, контрольные точки на запись и доступ к памяти, аппаратные контрольные точки (только ME/NT/2000). В крайнем случае пошаговой отладки, INT3 контрольная точка может быть установлена на каждой команде в модуле. На процессоре 500 мгц под Windows NT, OllyDbg может обработать до 5000 прерываний в секунду.
Наблюдатели и инспекторы. Наблюдатели - выражения, оцениваемые каждый раз когда программа приостановлена. Вы можете использовать регистры, константы, адресные выражения, булевы и алгебраические операции любой сложности. Вы можете сравнивать ASCII и UNICODE строки. Инспекторы - это наблюдатели, которые содержат до 2 индексов и могут быть представлены как двумерная таблица, позволяющая декодировать массивы и структуры.
Обход динамической памяти. На Win95-основанных системах, OllyDbg составляет списки всех распределенных блоков динамической памяти.
Handles. На NT-основанных системах, OllyDbg составляет списки всех системных Handle, принадлежащих отлаживаемому приложению.
Выполнение. Вы можете выполнять программу пошагово, со входом в подпрограммы или выполнять их за один шаг. Вы можете выполнить программу до следующего возврата или до указанного местоположения, или анимировать выполнение. Когда приложение выполняется, Вы все еще имеете полный контроль над ним и можете просмотреть память, установить контрольные точки и даже изменять код "на лету". В любое время, Вы можете приостановить или перезапустить отлаживаемую программу.
Пошаговая отладка. Пошаговая отладка показывает какие команды или процедуры были выполнены до этого, позволяя Вам проверить все разветвления вашего кода. Пошаговая отладка устанавливает контрольную точку на каждой выбраной команде и удаляет ее, когда команда достигнута.
Прямая трассировка (Run tracе). Трассировка выполняет программу пошагово и записывает её выполнение в большой круговой буфер. Этот протокол содержит все регистры (кроме SSE), флаги и ошибки потока, сообщения и декодированные параметры известных функций. Вы можете сохранить оригинальные команды, которые облегчат отладку самоизменяемого кода. Вы можете определить условие прекращения отладки – введя интервал адресов, выражение или команду. Вы можете сохранить информации отладки в файл и сравнить два независимых выполнения программы. Трассировка позволяет обратно проанализировать хронологию выполнения в подробностях, миллионов команд.
Профилирование . Профилировщик вычисляет сколько раз некоторая команда встречается в буфере трассировки. С профилировщиком, Вы узнаете, выполнение какой части кода занимает больше всего времени.
Внесение исправлений. Встроенный ассемблер автоматически выбирает самый короткий возможный код. Бинарный редактор показывает данные одновременно в ASCII, UNICODE и шестнадцатеричной формах. Также доступны старые добрые копирование и вставка. Автоматическая резервная копия позволяет отменять изменения. Вы можете копировать изменения непосредственно в исполняемый файл, OllyDbg даже корректирует установленные ошибки. OllyDbg помнит все исправления программы в предыдущих сеансах отладки. Вы можете применить или удалить их несколькими нажатиями клавиш.
Самоизвлекаемыефайлы. При отладке SFX файла, Вы обычно хотите пропустить архиватор и остановиться при входе непосредственно в программу. OllyDbg осуществляет отладку SFX, пытаясь определить местонахождение реального входа. Отладка SFX обычно терпит неудачу на защищенных архивах. После того, как вход найден (или определен), OllyDbg может пропустить распакощик более быстро и надежно.
Дополнения к программе. Вы можете добавить примочку к OllyDbg, или написать ваше собственное дополнение к программе. Дополнения к программе обращаются ко всем важным структурам данных, добавляют меню и ярлыки к существующим окнам OllyDbg и используют более чем 100 добавочных API функций. Плагины API хорошо документированы. Стандартный дистрибутив включает два дополнения к программе: Командная строка и Закладки.
UDD. OllyDbg сохраняет всю программу - или связанную с модулем информацию в индивидуальном файле и восстанавливает ее, когда модуль загружается снова. Эта информация включает метки, комментарии, контрольные точки, наблюдатели, данные анализа, условия и так далее.
Настройка. Вы можете определить пользовательские шрифты, цвет и схемы подсветки.
И намного больше! Этот список вовсе не закончен, есть много особенностей, которые делают OllyDbg удобным и приятным отладчиком.
3. Сайт программы
Практически в каждой современной интегрированной среде разработки для Windows присутствует отладчик. Ничего удивительного здесь нет - половину своей профессиональной жизни программист проводит в отладке, поэтому производители сред разработки - коммерческих или бесплатных - снабжают свою продукцию этими немаловажными инструментами. Однако до сих пор не вымерли и отдельно стоящие, не зависящие ни от какой среды отладчики. Яркий пример тому - "герой" данной статьи отладчик OllyDbg.
Сайт программы располагается по адресу www.ollydbg.de . Размер дистрибутива OllyDbg достаточно невелик, особенно если посмотреть на возможности этого отладчика. А возможности достаточно неплохие, и, думаю, прочитав эту статью до конца, вы со мной согласитесь.
Возможности
Во-первых, серьёзным плюсом является графический пользовательский интерфейс - то есть программа обладает полноценными окнами, с которыми мы привыкли работать в Windows. На первый взгляд, это может показаться смешным, но на самом-то деле далеко не все отладчики до сих пор обзавелись полноценным графическим интерфейсом. Не знаю, конечно, как вам, но мне приятнее и удобнее работать с программой, имеющей графический интерфейс, нежели с той, которая имеет DOS-подобный консольный. Конечно, в ряде случаев последний предпочтительнее, но таких случаев всё же меньшинство. Причём стоит отметить, что настроек интерфейса в OllyDbg очень много, так что "под себя" подогнать можно цвет фона, шрифты, а также многое другое.
Второй немаловажный параметр, характеризующий отладчики, - поддерживаемые процессорные архитектуры и расширения. Что это значит? Это значит, что старый отладчик может не справиться с новой программой, потому что не будет знать всех команд процессора, которые эта программа использует. OllyDbg в этом плане не бежит впереди планеты всей, но поддерживает множество широко используемых фирмами Intel и AMD технологий: MMX, 3DNow!, Athlon extensions, SSE.
Поддерживаются форматы отладочной информации Microsoft (COFF) и Borland (OMF). Дампы памяти можно также выводить в разных форматах: шестнадцатеричном, текстовом (в кодировках ANSI или Unicode), в виде адресов памяти, а также в некоторых других, менее распространённых форматах.
Приятной особенностью является возможность отладки динамически компонуемых библиотек (DLL). Отладчик сам запускает вызывающее функции из DLL приложения и отслеживает все вызовы библиотеки. Причём если функции экспортируются не в именованном виде, а в индексном (ordinal), то OllyDbg восстанавливает вид функции по передаваемым ей параметрам. Кстати, отладчик умеет не только запускать приложения под своим надзором, но и присоединяться к уже запущенным. Отлаживать можно не только простые, но и многопоточные приложения. Причём с потоками в OllyDbg можно работать достаточно полно: добавлять или удалять потоки, переключаться с одного на другой. Каждый поток отлаживается в своём собственном окне, так что путаницы и мешанины, по идее, не возникает.
Встроенный в OllyDbg анализатор - наиболее значимая, по словам разработчиков, часть их детища. Анализатор распознаёт в отлаживаемой программе циклы, условные переходы, а также константы и строки, внедрённые программистом прямо в код программы, "хитроумные" конструкции (которыми особенно славятся C-программисты), вызовы API-функций, импортируемые функции и прочее. Анализатор делает двоичный код более читабельным, облегчает отладку, уменьшает вероятность неправильного дизассемблирования. При этом анализатор не ориентируется на какой-то один компилятор и может быть одинаково полезен при отладке любого 32-битного Windows-приложения. При распознавании функций анализатор для ускорения процесса использует таблицу, содержащую имена и аргументы более 2300 наиболее часто используемых функций стандартной библиотеки C и Windows API. Впрочем, таблицу можно самостоятельно пополнить.
Большие возможности программисту OllyDbg предоставляет в области поиска: можно искать одну процессорную команду или же целую их последовательность, константы, двоичную или текстовую последовательность байтов. Можно задать поиск команд, соответствующих какому-то адресу или диапазону адресов памяти; поиск функций, которые вызывают какую-либо другую функцию, или обращаются к какому-то определённому модулю. Если в ходе поиска найдено несколько мест в программе, соответствующих заданным условиям поиска, OllyDbg выводит их полный список, позволяющий быстро переключаться между ними.
Отладчик следит за всеми окнами, которые создаёт приложение, и помещает их в список. Таким образом, можно следить за всеми сообщениями, которые получает от системы данное окно. Удобно организована работа со строковыми ресурсами, которые можно отслеживать и изменять, не отрываясь от процесса отладки. Работа с другими типами ресурсов более ограничена: их можно просматривать и изменять только в двоичном виде.
OllyDbg поддерживает работу со всеми возможными видами точек останова (breakpoints). В исключительных случаях можно задать вызов прерывания INT 3 для остановки выполнения приложения после каждой команды в отлаживаемом модуле. Кроме точек останова, поддерживается просмотр значений в регистрах и по конкретным адресам памяти. Помимо всего этого, в операционных системах на базе ядра Windows NT OllyDbg может отслеживать все дескрипторы (handles), используемые отлаживаемым приложением. Под Win9x этого делать он не умеет, зато там можно следить за размещёнными в куче блоками памяти.
Помимо непосредственно отладчика, в OllyDbg есть встроенный профилировщик - инструмент проверки скорости работы кода. Обычно этот инструмент предлагается отдельно от отладчика, однако подход, использованный разработчиком OllyDbg, мне кажется более разумным, поскольку профилировка и отладка часто неразделимы.
Интересной особенностью программы является поддержка работы с самораспаковывающимися архивами. Если в качестве отлаживаемого файла указать самораспаковывающийся архив с другим исполняемым файлом внутри, OllyDbg должен начать отладку не самораспаковщика, а того файла, который будет распакован им.
Также полезной и интересной особенностью OllyDbg является поддержка плагинов, которые подключаются к отладчику и расширяют его функциональность. В стандартную поставку входят плагины для работы с закладками и командной строкой. Впрочем, на сайте OllyDbg можно найти SDK (Software Development Kit - комплект для разработки программного обеспечения), с помощью которого можно создать свой плагин, реализующий недостающие возможности.
Сфера применения
Как я уже говорил, а вы, должно быть, и без меня знаете, в каждой современной среде разработки присутствует собственный отладчик. И, тем не менее, зачем-то же автор OllyDbg, некто Oleh Yuschuk, занялся разработкой отдельного отладчика и довёл её, разработку, до победного конца.
Дело, прежде всего, в том, что отладчик, встроенный в среду разработки, предназначен для отладки тех программ, которые созданы именно в этой среде. Такой отладчик специально "затачивается" под конкретный язык программирования и конкретный компилятор. И отладка в 99,9% случаев происходит при наличии у программиста исходного текста программы. OllyDbg одинаково подходит для всех Win32-приложений и предназначен, в основном, для отладки тех приложений, исходный текст которых отсутствует. По большому счёту, для такой отладки совсем даже и не нужно знать, на чём программа написана. Именно этой направленностью и объясняется присутствие в OllyDbg средств для изменения исполняемого файла.
Сама по себе задача отладки программы без исходных текстов может возникать в ряде случаев. Например, самый простой - когда тексты программы по причине банального разгильдяйства или атаки злобных вирусов были утеряны. Тогда, если остался более-менее стабильный исполняемый файл, можно завершить его отладку без исходных текстов и выпустить продукт в заданный срок. Как вариант первого случая, бывает, что в какой-то используемой программой DLL-библиотеке обнаруживаются баги, а исходный текст библиотеки недоступен. Либо, опять-таки, утерян, либо поставщик библиотеки, если она написана кем-то со стороны, просит за него слишком много денег. Тогда не остаётся ничего (особенно, если баги злобные, и появление новых версий библиотеки никоим образом не предвидится), кроме как отлаживать уже имеющийся на руках исполняемый файл.
Ну и, конечно, самый частый вариант отладки без исходного текста - это взлом. Формально это может считаться отладкой, поскольку для того, чтобы бороться с защитой коммерческой программы, нужно хорошо понимать, как эта защита работает. На разработчика тут надежды мало: вряд ли он расскажет взломщику, как оптимально быстро и качественно сломать защиту его собственной программы и лишить себя, любимого, честно заслуженных денег. И, хотя разработчик OllyDbg и просит в лицензионном соглашении не использовать этот отладчик в незаконных целях, вряд ли большинство взломщиков обратит на эти тщетные мольбы хоть какое-нибудь внимание. Тем более, некоторые возможности OllyDbg просто таки подарок для взломщика: например, работа с самораспаковщиками позволяет упростить взлом программ , защита которых основана на них. Конечно, нельзя утверждать, что OllyDbg пригодится только тем, кто будет использовать его незаконно, но, думаю, такие пользователи у этой программы имеются, и их не так уж и мало.
Тем не менее, я призываю всех, кто заинтересовался этим отладчиком, не использовать его в незаконных целях - максимум для исследования защиты программ с целью написания собственной качественной защиты.
Выводы/Резюме
В целом, конечно, OllyDbg нужен далеко не всем программистам и далеко не каждый день, однако бывают случаи, когда нужно выбирать отладчик, и именно тогда нужно вспомнить о плюсах OllyDbg. Хотя множество программистов во всём мире используют GNU Debugger (GDB), однако перед ним у OllyDbg есть преимущества.
Во-первых, это родной для Windows графический интерфейс. Хотя у GDB тоже есть приспособления для работы в оконном, а не консольном режиме, они, как правило, далеко не полностью реализуют функциональность консольной версии. Кроме того, поскольку GDB - вещь кроссплатформенная, есть проблемы с совместимостью с форматами отладочной информации Win32-компиляторов. Фактически, GBD идеально совместим только с GNU-компиляторами (то есть, для Windows это MinGW - Minimalist GNU for Windows). Кроме этого, ориентирован он на отладку программ, написанных на C/C++, поэтому им не так удобно отлаживать программы, написанные на других языках. OllyDbg не имеет таких минусов, о его основных возможностях я уже рассказал раньше. Так что, думаю, среди отдельно стоящих бесплатных отладчиков для Win32 OllyDbg - лучший.
Вадим СТАНКЕВИЧ
