OllyDbg反汇编调试入门教程

很多人一听到反汇编调试就觉得门槛高，其实真没那么玄乎。我自己刚开始学的时候也是一头雾水，网上一堆教程要么太理论要么跳步太多，折腾半天连个断点都下不明白。后来硬着头皮啃了几天OllyDbg，才发现这工具对新手其实挺友好的，只要搞清楚几个核心概念，剩下的就是多练。这篇就把我踩过的坑和总结出来的路子分享出来，帮想入门OllyDbg反汇编调试的朋友少走点弯路。

先搞明白OllyDbg到底能干啥

说白了，OllyDbg就是一个动态调试器，专门用来分析Windows下的可执行程序。你把它想象成一个能暂停时间的东西程序运行到哪一步、寄存器里装了什么值、内存里存了啥，全都能看得一清二楚。跟静态分析工具不一样，它是在程序跑起来之后实时观察，这对理解程序逻辑特别有帮助。

我平时主要用它干三件事：一是看某个功能到底怎么实现的，二是找程序崩溃的原因，三是学习别人的代码思路。比如有个老软件老闪退，用OllyDbg跟一下就能定位到是哪条指令出了问题。当然也有人拿它做破解相关的事，这个就看个人用途了，咱不展开。

装的话直接找个汉化版就行，网上资源很多。打开之后界面分几个区：上面是反汇编窗口，左边是寄存器，右边是内存和堆栈。刚开始别被这么多面板吓到，常用的就那么几个。

断点怎么下才不懵

断点是调试的核心，没断点程序一路跑完你啥也看不着。OllyDbg里下断点最简单的方式就是按F2，光标停在哪条指令就在哪下。但问题是，你得知道往哪下啊。新手最容易犯的错就是随便找个地方按F2，结果程序根本不走那条路。

我的经验是，先找程序的关键API调用。比如你想看某个按钮点下去之后干了啥，就在OllyDbg里按Ctrl+N打开导入表，找MessageBox或者CreateFile这类函数，右键在每个参考上设断点。这样程序一调用这些函数就会被拦下来，然后你按F8单步走，慢慢就跟到核心逻辑了。

还有一种常用的是内存断点。比如你知道某个字符串在内存里的地址，可以在数据窗口里右键下内存访问断点，程序一读那块内存就断下来。这个在追注册码或者找关键跳转的时候特别好使。不过内存断点会拖慢程序速度，别下太多。

单步跟踪和寄存器观察的实战技巧

断下来之后就是单步执行了。F8是单步跳过，F7是单步进入。区别在于遇到call指令时，F8直接把整个函数执行完，F7会跟进去。刚开始建议多用F8，把大流程走一遍，心里有数了再针对可疑的函数按F7进去细看。

看寄存器的时候重点关注EAX、EBX、ECX、EDX这几个，函数返回值一般放在EAX里。比如你调用了一个比较函数，执行完看EAX是不是0，就能判断比较结果。堆栈窗口也很重要，函数参数都压在栈里，但新手不用一开始就死磕堆栈平衡，先能把流程跟下来再说。

我踩过的一个坑是：跟的时候忘了看条件跳转有没有跳。有时候程序走的分支跟你预期不一样，结果后面全对不上。所以每遇到一个跳转指令，都瞄一眼标志位，看它到底跳没跳。这个习惯能帮你省很多时间。

另外提醒一句，OllyDbg对64位程序支持不好，如果你要调试的是64位软件，得换x64dbg。不过入门阶段拿32位的小程序练手完全够用了。

新手常问的几个问题

有人问跟丢怎么办。跟丢太正常了，按Ctrl+F9执行到返回，或者直接F9让程序跑起来重新下断点。别死磕一条路，换个思路可能更快。

还有人问反汇编看不懂。这个没办法，得慢慢积累。常用的指令就那些，mov、push、call、cmp、jmp、je、jne，先把这几个搞熟。遇到不认识的查一下，看多了自然就眼熟了。OllyDbg反汇编调试这事急不来，每天花半小时跟一个小程序，一个月下来感觉完全不一样。

最后说下保存和导出。调试过程中可以随时右键复制反汇编代码，或者用插件导出补丁。但建议新手先别急着改程序，多看多跟，理解清楚了再动手。

差不多就这些，OllyDbg入门真不难，难的是坚持练。找个简单的小工具开始跟，遇到卡住的地方搜一下或者问问人，慢慢就有感觉了。