x64dbg技巧

x64dbg安装与基本修改

x64dbg使用

最近使用 DBG 多了起来，所以查了一些资料来学习并整理成自适应的笔记。本文摘抄自：x64dbg 使用技巧与实用插件合集官方网站： https://x64dbg.com/DBG 解压后根目录如下图，双击 x96dbg，出现三个弹窗，会生成 x96dbg.ini 文件，里面记录着 32 位和 64位 dbg 程序的路径。 当你需要把整个程序文件夹移动到其他路径时，最好把这个 ini 删除，重新双击让它再生成。当你需要把它加到发送到菜单中的时候，也推荐添加 x96dbg，它会自动选择用 x32 还是 x64db

x64dbg 是一款开源、免费、功能强大的动态反汇编调试器，它能够在Windows平台上进行应用程序的反汇编、调试和分析工作。与传统的调试器如Ollydbg相比，x64dbg调试器的出现填补了Ollydbg等传统调试器的不足，为反汇编调试工作提供了更高效、更可靠的解决方案。正是因为有了这些优点，才能使其成为当今最受欢迎的反汇编调试软件之一。x64dbg和Ollydbg虽都是Windows在学习使用该工具之前第一步则是要安装软件，x64dbg调试器的安装很容易，读者只需要前往x64dbg。

这篇文章主要来说一下x96dbg(x64/x86)的基本使用，这里还是使用上篇文章中的简单程序用来作为本篇文章的实例，因为上篇文章再生成程序时选用的解决方案平台为x86所以生成的程序则需要我们使用x32dbg来进行分析。这边与IDA一样，我们可以将程序拖到图标上。此时x32dbg就会自动针对该程序进行加载，接下去我们就可以进行调试了。在加载完成后可以看到调试器下方显示。这个系统断点通常指的是调试器在程序启动时自动设置的第一个断点，也称为断点。

搭建x64dbg插件的vs开发环境，且该环境有足够且方便的调试能力

探索未知，破解代码——揭秘x64dbg x64dbg An open-source user mode debugger for Windows. Optimized for reverse engineering and malware analysis. 项目...

例如，当[module]为空字符串时，将使用CPU中当前选择的模块。左/右移位/旋转：（1<<2向左移位，shl表示无符号，sal表示有符号），10>>1（向右移位，shl表示无符号，sal表示有符号），1<<<2（向左旋转），1>>>2（向右旋转）。如果您要访问加载模块的基地址，你可以写：[module]:0，[module]:base，[module]:imagebase或[module]:header。小（相等）/大（等于）：4<10，3>6，1<=2，6>=7（如果真解析为1，0，如果假）。

把函数参数压入栈call 函数 下一条指令地址压入堆栈（之后都是被调函数的引起的变化）把原栈帧的栈帧基址（EBP）压入堆栈开辟栈帧开辟局部变量空间保存寄存器给局部变量空间初始化函数有返回值一半保存给eax恢复寄存器平栈 函数局部变量空间恢复栈帧。

首先我们将我们的木马移入x64dbg。

游戏逆向 游戏安全 游戏攻防 c++ 反游戏外挂 保姆级攻略 Windows 汇编 x64游戏

标题可能在[rsp+420]这样的堆栈位置，需要修改跳转指令到空白区域，写入新标题。另外，查看网页16和21，x64dbg的条件断点可能用于在特定情况下修改参数，但用户的问题更直接，是修改静态字符串。先，我得回忆一下x64dbg的基本操作，比如如何搜索字符串，修改内存内容，然后保存补丁。看看搜索结果里的网页，网页1提到了几个步骤：打开软件，搜索关键词，修改并保存补丁。总结起来，步骤应该是：打开程序，搜索字符串，定位代码，修改指令或数据，保存补丁。通过以上步骤，可高效完成软件标题的修改。

这是x32/64 dbg帮助手册中引言部分的内容，为了防止使用工具时找不到资料，特来此备份一下；

背景： 在分析一些大家族病毒样本核心层时（如：Emotet、LokiBot等）经常会发现它们的导入函数很少，需要用哪个函数时，都是根据函数名称hash动态获取的。此类特征也可以作为一个启发查杀点，日后有空再谈！通常遇到这种情况我们想要知道调的是哪个api，都是动态调试过去看下，但是那么多加密的函数名称，总不能动态一个一个过去看，然后手动在ida上标明，毕竟动态分析相比于静态分析还是比较耗时的，那么有什么办法可以跑一次样本，然后获取我们所需的所有api函数名称，以及对应地址呢？有了这个log的话，我们就可以

1.pluginit 导出函数   pluginit是 x64dbg 在加载动态链接库（.dp32或.dp64）后调用的第一个导出函数，如果pluginit不存在，则此时插件加载将失败。pluginit将指向PLUG_INITSTRUCT结构的指针作为函数中的唯一参数传递：initStruct。此结构用于向 x64dbg 注册插件并获取有效的插件句柄，以便在未来的 api 调用中使用。 PLUG_INITSTRUCT结构定义： typedef struct { //provided by the d

读取内存数据 字节/字/双字/四字/指针(ptr) ReadByte,Byte,byte(addr)：从 addr 读取一个字节，并返回该值。 ReadWord,Word,word(addr)：从 addr 读取一个字(2字节)，并返回该值。 ReadDword,Dword,dword(addr)：从 addr 读取双字(4字节)，并返回该值。 ReadQword,Qword,qword(add...