OllyICE使用教程

1、OllylCE使用说明与示例、OllyDBG的安装与配置OllyDBG 1.10版的发布版本是个ZIP压缩包，只要解压到一个目录下，运行 OllyDBG.exe就可以了。 汉化版的发布版本是个 RAR压缩包，同样只需解压到一个目录下运行 OllyDBG.exe即可：OJlyDlit - CFUJ口回因空与蛊iF?irj反汇编窗口iZtf寄存器窗口信息窗口LrI I -of Pfl堆栈窗口mt习GnLBot-插匸昱亍莊帝禽行窗nOllyDlf vh 1 TT小组翻OllyDBG中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 译的中文帮助：反汇编窗口：显示被调试程序的反汇

2、编代码，标题栏上的地址、HEX数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项-> 隐藏标题 或 显示标题 来进行切换是否显示。用鼠标左键点击注释标 签可以切换注释显示的方式。寄存器窗口：显示当前所选线程的CPU寄存器内容。同样点击标签寄存器（FPU）可以切换显示寄存器 的方式。信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等。数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。堆栈窗口：显示当前线程的堆栈。要调整上面各个窗口的大小的话，只需左键按住边框拖动，等调整好了，重新启动一下OllyDBG就可以 生效了。启动后我们要把插件及 UDD的目

3、录配置为绝对路径，点击菜单上的 选项-> 界面，将会出来一个界面选项的对话框，我们点击其中的目录标签:(XI1獣认D对适框冃节环丁依1甌1代码亘鬲1|P gyTKAWD1浏腐P 3 柠 前& .Yd 件 Qja件路E11S两卡地方通过点击后面的 浏®按钮配置为堆对常g因为我这里是把OllyDBG解压在F:OllyDBG 目录下，所以相应的UDD目录及插件目录按图上配置。 还有一个常用到的标签就是上图后面那个字体，在这里你可以更改OllyDBG中显示的字体。上图中其它的选项可以保留为默认，若有需要也可以自己修改。修改完以后点击确定，弹出一个对话框，说我们更 改了插件路径，

4、要重新启动 OllyDBG。在这个对话框上点确定，重新启动一下 OllyDBG，我们再到界面 选项中看一下，会发现我们原先设置好的路径都已保存了。有人可能知道插件的作用，但对那个UDD目录不清楚。我这简单解释一下：这个UDD目录的作用是保存你调试的工作。 比如你调试一个软件，设置 了断点，添加了注释，一次没做完，这时OllyDBG就会把你所做的工作保存到这个 UDD目录，以便你下次调试时可以继续以前的工作。 如果不设置这个UDD目录，OllyDBG默认是在其安装目录下保存这些 后缀名为udd的文件，时间长了就会显的很乱，所以还是建议专门设置一个目录来保存这些文件。另外一个重要的选项就是调试选项

5、，可通过菜单反汇镉CP71 番TT 第 II :分折1丨分斎£知新3爭邯异常1跟Sf3711干由P 飙S EOi迥L充中的内存CS问斤冨S唱【借盛鲂程序）以下昇竜.I 1103屮跡厂单步呻>I非法可冋內存厂楚敷跺以0厂尢烦®袴阳旨常 r胪百仃异京阪田弦略赳下塔走旳异詔成范H-恭砲覩 IiSiS I:确晁I播柏II舰定h H 'III I II ! I 新手一般不需更改这里的选项，默认已配置好，可以直接使用。建议在对OllyDBG已比较熟的情况下再 来进行配置。上面那个异常标签中的选项经常会在脱壳中用到，建议在有一定调试基础后学脱壳时再配 置这里。除了直接启动O

6、llyDBG来调试外，我们还可以把 OllyDBG添加到资源管理器右键菜单，这样我们就可 以直接在.exe及.dll文件上点右键选择“用 Ollydbg打开”菜单来进行调试。要把OllyDBG添加到资源管理器右键菜单，只需点菜单 选项-> 添加到浏览器，将会出现一个对话框，先点击“添加Ollydbg 到系统资源管理器菜单”，再点击“完成”按钮即可。要从右键菜单中删除也很简单，还是这个对话框， 点击“从系统资源管理器菜单删除 Ollydbg ”，再点击“完成”就行了。OllyDBG 1.10 对插OllyDBG支持插件功能，插件的安装也很简单，只要把下载的插件（一般是个DLL文件）复制到O

7、llyDBG 安装目录下的PLUGIN目录中就可以了，OllyDBG启动时会自动识别。要注意的是 件的个数有限制，最多不能超过 32个，否则会出错。建议插件不要添加的太多。文件中。到这里基本配置就完成了，OllyDBG把所有配置都放在安装目录下的 ollydbg.i ni、基本调试方法OllyDBG有三种方式来载入程序进行调试，一种是点击菜单 文件-> 打开（快捷键是F3）来打开一个可 执行文件进行调试，另一种是点击菜单文件- >附加来附加到一个已运行的进程上进行调试。注意这里 要附加的程序必须已运行。第三种就是用右键菜单来载入程序（不知这种算不算）。一般情况下我们选 第一种方式。

8、比如我们选择一个test.exe 来调试，通过菜单文件-> 打开来载入这个程序，OllyDBG中 显示的内容将会是这样：卒-CPU L主线程，模块-tertj自习也亘兰J耳上上a工里更世凹刨里I卫E迴區I旦二I更m i JO00401007 00401 DOC 00401011 00401 DIZC04Q101T0C4J1013 0C4CIJ019 040101EC04Q102CIT)D?aiD25 00401OST 00401029 0040102rCC4aiO35 :'040103D 00401041 00401047 00401040 00401050 0040105 00

9、401053 0C4J1055I反汇龜X® 6A 00PUSH 0eB030000 迪电m辽韭.G吐毗血UHaiLdleQ右H匚；03070入口点（Erttiy Pointp 简称 EP）j 戟入程序后们暂停在这里fp/WoJ-ule - JJULL lOetMo dill eHan dlsA.寄存器Ctfu）.ZxitFroces£>ExilEod# Ixi tlYocetsf$5&5Tes 00040000CA 4075030000TUGH ESIrU5H EDIFUSE 400rUGH 40CkLL 5P ike132: GlolalAlloc>r

10、 I Pl :红色且示的地址是表示在这里下了一半个断点佐擬点击技个位萱授F擁就可 :2设置断点h作用就是R要程序运行S 咯这里就暂停 :e6：CT4Te3C7 16.6A57CA.631910FF0C3OWOONIW WOKI FTR DS： LEI>I+10,50ADD EDI, 16FUGHPUSH rusH FUEHL9EDI-Itst 00403000OD W139i? OHP. fltc132. G-lobilJCLloc；地址00403000DD4a3Dia004030200040303000<10304000403050 oo4J3oea 0C4J307aF35Dr3

11、u005T4S6OO CDFO?-0O_U 5电606600 lc£4lccc 60674600 9EL5OOOO 66470700 钢就M魄黄TOMB 09629100 26666400 LJH912OO 口 ST54T2OO C12O57OO flu67o66o_u 135C3FE_U 666B564O& 宫 64a 逹匚03 31 5627600羽4170S361BE县CD43BL1£053BI174£C44174阴SF10000001000000HemSiKe = 40C (1024.) riagE =jeFTEClciBal Alloc和血血Ki

12、rt £ 10 CZ5. D粧 blbdFufString TE - FFFFFFFF1.SiriiifTonap - "S-sl. Dial*"0012TFCS 0012TFCC COI£P COI£T cai2TFn0 CaiETFDC con£fFEO C012FFE4 rm ouTJPsTC930736 FFFFFFFF 7FFBDOOO 00543936 0J2FFC8 FFTFSeZO FFKFFFFF 70339973 Trflian匚aTLtl.7Ca30Y38EEH褪尾部SE处理程序IlLai-.mO 7广口 Ifi

13、TlCa:E醴 ICX EDK IBS 卫£P TBF ISI TDIIIPCFA13IIDTFLSTO STIST?ST?ST4STSSTeSTYoooooonoOOlFFBO7C92EB947FFDMOOO0012FFC4OOIZFFFO FFFFFFFF 7C93073e00401000ES匚SSSBSFEGS0023OOIE00230023003E ooaoLas tErr00000245empty «nipt y empty empty Empty empty empty erupt Tntdll. KiTastEyfitnt dll. 丁闪旳门日3止<O块

14、鳧口直32tJ號位3维FULL0 (FFFFFFFF) CFfFFFfFF)0 (riFFrrFF) 0 (JfFfKTFF) TrFIFOOO (TfERMjmAmjW 啊眄E期码F a. 34Z15£41£433549Te oooooooooooooooac -&.e354e3033e5&0B4E +TORM 虹1*8 00000(31 5.055E£O&Te741T35- -3.12794166559674： -UBORH BBCO OOOIOJL 1 4D912G744e3529957（相当于SoftlCE 中的F9）F8:单步步过

15、。每按一次这个键执行一条反汇编窗口中的一条指令，遇到CALL等子程序不进入其代码。（相当于SoftlCE 中的F10）命令1I暂停程序入口点调试中我们经常要用到的快捷键有这些:F2:设置断点，只要在光标定位的位置（上图中灰色条）按F2键即可，再按一次F2键则会删除断点。F7:单步步入。功能同单步步过（F8）类似，区别是遇到CALL等子程序时会进入其中，进入后首先会停留在子程序的第一条指令上。（相当于SoftICE 中的F8）F4:运行到选定位置。作用就是直接运行到光标所在位置处暂停。（相当于SoftICE 中的 F7)F9:运行。按下这个键如果没有设置相应断点的话，被调试的程序将直接开始运行。

16、（相当于SoftICE中的F5）CTR+F9执行到返回。此命令在执行到一个 ret （返回指令）指令时暂停，常用于从系统领空返回到我们调试的程序领空。（相当于 SoftICE 中的F12）ALT+F9执行到用户代码。可用于从系统领空快速返回到我们调试的程序领空。（相当于SoftICE 中的 F11）现在我们开始正式进入破解。今天的目标程序是看雪兄加密与解密第一版附带光盘中的 镜像打包中的CFF Crackme #3，采用用户名/序列号保护方式。原版加了个 UPX的 壳。刚开始学破解先不涉及壳的问题，我们主要是熟悉用OllyDBG来破解的一般方法。我这里把壳脱掉 来分析，附件是脱壳后的文件，直接

17、就可以拿来用。先说一下一般软件破解的流程：拿到一个软件先别 接着马上用OllyDBG调试，先运行一下，有帮助文档的最好先看一下帮助，熟悉一下软件的使用方法， 再看看注册的方式。如果是序列号方式可以先输个假的来试一下，看看有什么反 应，也给我们破解留下一些有用的线索。如果没有输入注册码的地方，要考虑一下是不是读取注册表或Key文件（一般称keyfile ，就是程序读取一个文件中的内容来判断是否注册），这些可以用其它工具来辅助分析。如果这些都不是，原程序只是一个功能不全的试用版， 那要 注册为正式版本就要自己来写代码完善了。有点跑F面进入正题：编的），界面如图:题了，呵呵。获得程序的一些基本信息后

18、，还要用查壳的工具来查一下程序是否加了壳，若没壳的话看 看程序是什 么编译器编的，如VC、Del phi、VB等。这样的查壳工具有P EiD和FI。有壳的话我们要 尽量脱了壳后再来用OllyDBG调试，特殊情况下也可带壳调试。我们先来运行一下这个 crackme （用P EiD检测显示是Delp hiCrackers For Freedoa CracMKe v3.0Unregistered |74-GF>-1ER-9S4Register no叩!Quit the CrackMe匚口血Add bytes CFFRel. Date 5/03/2000This if the official

19、CFF CrackMe f you can manage to erack it, mail Wiam&ZSenal to; acidbytes 旳icmx 广let这个 crackme钮上点击一下,。我们在那个“ Register now ! ”按已经把用户名和注册码都输好了，省得我们动手 将会跳出一个对话框：Beeear off!Ip. 、|l“确再JI”来入手。启动OllyDBG,好了，今天我们就从这个错误对话框中显示的“ Wrong Serial, try aga in!选择菜单 文件-> 打开 载入CrackMe3.exe文件，我们会停在这里：II mx數据00441:

20、71 00441273 00441釘5 00441278 00441260 00441 00441?67 004412SC 0044121 0044123J 1/11 ga5E 5IECS3C4 J4M 60114=400E« E848FCrFM 电屹C44DCI 3100E&页朋FFFFAl WC4；400 3E00SA n012440DTTIR 1 T 卞 STTTFF回匚第rUSK EBPM07 ElP, ESFADD ESP,叩匚HO/ E猷，CrackMeS.00441 l&O CALL C00405668HO/ E,驸CIRD FTR DS： 442C44

21、 HO/ EAX. DORI PTR DM EM fML Cr4cHfle3.004XETeHD7 EAK, DORJ PTR DS： 4EC4 n/珊口町 FTK D3： EWtH07 EDK, CrackNle3.00441 rdlT r>-r.nlrMn* 111*1/iTTfl tiA在上苗代码后的注释栏中规击或 按分号匚英文输入肓式可輪 入如團所示的注释ASCII Crackers Fcr Freed.«r CrackMe t3.我们在反汇编窗口中右击，出来一个菜单，我们在查找-> 所有参考文本字串 上左键点击:Xsii2Cliphoar d 书签 去除花指鲁创

22、逹标签运行脚本fflOlI yBump 脱売调 1OllyFl PTY 閣表 用rEiuinperJSH壳调试进程I餐级字石参苕寸00 I也可以用这个插 件来查字串B 当前模块中的名椒咖）Ctrl竹卜斯育模块中的名称卜命令Ctrl+F卜命令序刿Ctrl+Sr常量二讲制字串（1Ctrl+B卜b所育模块间的调用rh爾有命筹r所百命毋序列占i京里卜所亩5支X1 所百董考丈本字事1卜用户定文的标签 r用戶矩文的庄釋当然如果用上面那个超级字串参考+ 插件会更方便。但我们的目标是熟悉OllyDBG的一些操作，我就 尽量使用OllyDBG自带的功能，少用插件。好了，现在出来另一个对话框，我们在这个对话框里右

23、击， 选择“查找文本”菜单项，输入“ Wrong Serial, try again! ”的开头单词“ Wrong （注意这里查找内 容要区分大小写）来查找，找到一处：地址QM4QFM00440FF00440F4C 00440F5A 00440F5J DM4OTT4 倔叽冲宇串MOV ED釘 Ci-icldfle3.切 4-亡®-比宓p 辰生mV EM, CzkHTCiCM 巾蔭血徉必 I 用里戸 II *ReJstereJ User"MVE涉豹衣m OW左主，或衽光标指示的II *GF-T54-IEl-a54-UO V El于王一圭 004-1 4rhy. Cr ackH

24、 e cr aclce J su-cces zfully*ME朋E,匚Fdldfl必CID4必E丄恢凹牛薩iScCongratE! lou szackd this 匚i臣吐W色LHDWBh tEc酬£.切44mM丨 ASCII r护包ar oH! “ASCII 1ASCII 1畏汇端宙口中跟隨电.EnterP00440FSE HOV ECI, CrickfltS. 00*4103000440F93 HOV EDI, CrLcW1»3. 0044103（： OD昭OTCE ftSCIT Fo ffane Hit*"于mV EOT Ei-IfWiia oa<4l

25、lljgriltry在我们找到的字串上右击，再在出来的菜单上点击“反汇编窗口中跟随”，我们来到这里:HEl數据產汇骗0440F79 a)440f7E 00440FS3 00440185 CM440FSA 00440FeC M斗肛IF班 04?l0F93 00440r9e 044CIF9D 0斗斗OF盯 0440FA4 0440FAB 00440FA7 0440?AS 0440fA9 OC440FAC 00440fBl 00440FE4 0440FB9 CM440FBA 00440FBr M440rCl 0440FC2 CX440rC3 IWi ri « iiTl n dBA GCID

26、WO IMOV EDrCracldle3.004410K： XI 44£C4C 3E00EB EECOfFIEE IS&A 00E9 e01044tSA e；lD44M 44EC44C 3B00ES CCOFFT 咒CO5A59罰&4:69110&e ciomc3D4S rcEGC3EgEBEH595D复制 二进制注释 斷点® JCT跟踪 RUN跟踪ar沁卫"agai Hl!ASCHI”I 两CII "壮皿 Sfryial,屯rp ag和fiT27FCIA1££FCIF0此处宵新EIF數站窗口中跟随C-trl+

27、tffiy * *卜遠里荫乍我们都能直搭看 到如果想找我看还肓没有 别的参芳的话I我m可以 在比标所在行点右键，选择 簾单直按參考立即数直挾惹考ID炭地址© cti-m 1竟看立即数也k宜找见上图,反汇騙m En«.,CracWfle3.O044l0eC mv EniCra.cidfls3.oo44ioac这里討应仗汇蹒甯口中光 标斯在的位置就星我们这里对应的是其祂的参琴,在 这行上jK击可以跳到反匸編 窗口中的对应位置为了看看是否还有其他的参考，可以通过选择右键菜单查找参考-立即数，会出来一个对话框:H 参考住于 CrackIe3:C0DE fl常量 41O0C分别双击上

28、面标出的两个地址，我们会来到对应的位置:MOV EAX,DWORD PTR DS:442C44MOV EAX,DWORD PTR DS:EAX CALL CrackMe3.0043D068JMP SHORT CrackMe3.00440FA4P USH 0MOV ECX,CrackMe3.00441080MOV EAX,DWORD PTR DS:442C44MOV EAX,DWORD PTR DS:EAXCALL CrackMe3.0043D06800440F79 |. BA 8C104400 ASCII "Wro ng Serial,try agai n!" 00440F

29、7E |. A1 442C4400 00440F83 |. 8B0000440F85 |. E8 DEC0FFFF 00440F8A |. EB 1800440F8C |> 6A 0000440F8E |. B9 80104400 ASCII "Beggar off!"00440F93 |. BA 8C104400 ASCII "Wro ng Serial,try agai n!" 00440F98 |. A1 442C4400 00440F9D |. 8B0000440F9F |. E8 C4C0FFFFMOV EDX,CrackMe3.0044

30、108CMOV EDX,CrackMe3.0044108C我们在反汇编窗口中向上滚动一下再看看:00440F2C |. 8B45 FC00440F2F |. BA 14104400MOV EAXQWORD PTR SS:EB P-4MOV EDX,CrackMe3.00441014ASCII "Registered User" 00440F34 |. E8 F32BFCFF 关键，要用 F7 跟进去 00440F39 |. 75 51 这里跳走就完蛋 00440F3B |. 8D55 FC 00440F3E |. 8B83 C8020000 00440F44 |. E8 D

31、7FEFDFF 00440F49 |. 8B45 FC 00440F4C |. BA 2C104400 ASCII "GFX-754-IER-954" 00440F51 |. E8 D62BFCFF 关键，要用 F7 跟进去 00440F56 |. 75 1A 这里跳走就完蛋 00440F58 |. 6A 00 PUSH 0 00440F5A |. B9 3C104400 ASCII "CrackMe cracked successfully"CALL CrackMe3.00403B2CJNZ SHORT CrackMe3.00440F8CLEA EDX

32、,DWORD PTR SS:EBP-4 MOV EAX,DWORD PTR DS:EBX+2C8 CALL CrackMe3.00420E20MOV EAX,DWORD PTR SS:EBP-4MOV EDX,CrackMe3.0044102CCALL CrackMe3.00403B2CJNZ SHORT CrackMe3.00440F72MOV ECX,CrackMe3.0044103C00440F5F |. BA 5C104400MOV EDX,CrackMe3.0044105CASCII "Congrats! You cracked this CrackMe!" 00

33、440F64 |. A1 442C4400 00440F69 |. 8B00 00440F6B |. E8 F8C0FFFF 00440F70 |. EB 32 00440F72 |> 6A 00 00440F74 |. B9 80104400 ASCII "Beggar off!" 00440F79 |. BA 8C104400 ASCII "Wrong Serial,try again!" 00440F7E |. A1 442C4400 00440F83 |. 8B00 00440F85 |. E8 DEC0FFFF 00440F8A |. E

34、B 18 00440F8C |> 6A 00 00440F8E |. B9 80104400 ASCII "Beggar off!" 00440F93 |. BA 8C104400 ASCII "Wrong Serial,try again!" 00440F98 |. A1 442C4400 00440F9D |. 8B00 00440F9F |. E8 C4C0FFFFMOV EAX,DWORD PTR DS:442C44MOV EAX,DWORD PTR DS:EAXCALL CrackMe3.0043D068JMP SHORT CrackMe

35、3.00440FA4PUSH 0MOV ECX,CrackMe3.00441080MOV EDX,CrackMe3.0044108CMOV EAX,DWORD PTR DS:442C44MOV EAX,DWORD PTR DS:EAXCALL CrackMe3.0043D068JMP SHORT CrackMe3.00440FA4PUSH 0MOV ECX,CrackMe3.00441080MOV EDX,CrackMe3.0044108CMOV EAX,DWORD PTR DS:442C44MOV EAX,DWORD PTR DS:EAXCALL CrackMe3.0043D068大家注意看

36、一下上面的注释，我在上面标了两个关键点。有人可能要问，你怎么知道那两个地方是关键 点？其实很简单，我是根据查看是哪条指令跳到“ wrong serial,try again ”这条字串对应的指令来决定的。如果你在 调试选项 ->CPU 标签中把“显示跳转路径”及其下面的两个“如跳转未实现则显示灰色 路径”、“显示跳转到选定命令的路径”都选上的话，就会看到是从什么地方跳到出错字串处 的：地址匡汇骗I注释a0440F2T CW440r34 OOMOFSg Oa44OF3I CW44OT 迎 CH4DF44 00440r4'9 a44Qr4C moFip44Qr5e a44or5A O

37、tH收F寸 aO44OF6-4 OCTHOr 矽 a0440F6I ao44or70 OOUOF72 Oa44Or74 00440FT?ant4orTi LOUDFSm tXH代F與 t»440F8A 044orec 00440r5I a44or93 aO4-4OF9C 0044aF9l) M440FST 004血存琳我们在这按F2设个断点I占.00441014UJLLL LracjaneJ. 0040382匚 m SHORT CrMkNe3.00440F3C LEA EDI, DWOEE FTR SS：EBF-4_ E6 f血JfLfJ加5LI3D55 F>3B33 C渝SD

38、CKhmr EAX. WWOED FTR DS: EM吃C£ 黑/什在机器码7E EL前S示ffi那 中 實話牛方向向下的箭头*示这里是芸 黒辛$往下跳转.如果是向上的箭帀巧 讥头则表示是向上跳转B9 3匚iLHgjuBA. SCitMUOAl 442MOO3B0O常鑒注意机器码6A 00前面那 吕扎CID个符号，S里表示跳转目 蛊器标，在这条扌旨令上单击一FA1也:就可以看到跳转路徑BOOES伽TFFW1U1 jllJl# ur acjmej. UU4络luJCNIOV EDX, CrichHe3. 00441 DSCMOV EAX nwOEE FTR DS: 4盤CM MlOY

39、ER nWEI FTR DS: lEASQFMBS S01CW4CQBk e匚 1 W400XI 445C44C03BOOES CiCOrFFF盟DO000C船匚狎*- AKCALL Cracldyi«3 0O«DOe3mr SHORT CrackWe3.00-14aFW rU5H 0WOV 眈托 CrackHeS. 00441030MOV EDX, CrackHeS. 00441 DaCNIOV E區 nWOEE FTR DS: 442C44J MOV EAI. nmOBJ FTR DS: EAil Ml Cra=lJ1e3.0043D05310真 KAI. FAYASC

40、IIstar eJ Uzer关禮要甫門跟逬去 这里跡走就圭蛋ASCII "GFK=754-IEK-?54" 关键J要用FT跟逬去 这里走就完蛋iKSCII ASCII*SCII ASCIICIT tfCClI*匚ricMJfe cfictsd succassFully*Cgg7包ts! Toil crd this Cr ackMe! *Beetar off!""Wrotj Stri *!_, try igiiiJ "Eeggar off!"*Wrcing Serial* try a呂din!"我们在上图中地址00440F2C

41、处按F2键设个断点，现在我们按F9键，程序已运行起来了。我在上面 那个编辑框中随便输入一下，如 CCDebuger,下面那个编辑框我还保留为原来的“ 754-GFX-IER-954”， 我们点一下那个“ Register now! ”按钮，呵，OllyDBG跳了出来，暂停在我们下的断点处。我们看一 下信息窗口，你应该发现了你刚才输入的内容了吧？我这里显示是这样： 堆栈 SS:0012F9AC=00D44DB4, (ASCII "CCDebuge广)EAX=00000009上面的内存地址00D44DB4中就是我们刚才输入的内容，我这里是 CCDebuger。你可以在 堆栈SS:0012

42、F9AC= 00D44DB4,(ASCII "CCDebuger")这条内容上左击选择一下，再点右键，在弹出菜单中 选择“数据窗口中跟随数值”，你就会在下面的数据窗口中看到你刚才输入的内容。而EAX=00000009指的是你输入内容的长度。如我输入的 CCDebuger是9个字符。如下图所示：年L CPU L主线程，複块L Crackle3M旦凶曰文件迪 査看的 调试Q）勵牛疋）选项 窗口观兰因I g也 刮两 兰匡I到 刮 勺蓟卫地址）（EK数据肅助01）o' X0D440P2F 00440P34 0D440P39 仙魁OF調 0C440P3E 0040P44 00

43、44049 0044：OP4C 00440rSl 004tQP56 0C440PSS 0C440r5k 0D440P5F 0D440PB4 CC4407Sa 0D440rSB CC440r70 0040P72 兀魁QF輕 0044079 0044：QPYE 0D440P33 n044：0rS5EAXooaaooOT厨匸编HOV lAX, TffQEl PTR SS: EEF-4 lOT IDI.Cr4cl(He3.00441014CALL C：r«hMe3 O04O3B2CJHZ SHORT Cric:W1t3.00440FS匚 i£h IDX. WED FTR S5： E

44、Ef=lA寄存爲（FFU）5 Al ECX EDX EEX Esr E肝 ESI EDIOQOOOOM TTD1902A OQ14O60e aD4MS3O aCJl£F33C ai2EE0 aD451BO craw 13B45 FCEA 14104400蹈 F32BF：FF75 51eE55 r匚,3跖3 ceo2oao(!rov iwc.TffaKD ftk de： eix+ecs EQ DTFEFDFF SE45 FCBAES75曲阳£AAleBooE0EEGA阳EAAlSEDO5E DSC?F%t7 CATCALL CrachHe3. 04EO(E2O W lAX,

45、JWOKD PTR S£: EBP-4 WOT :EDI. Crack；e3.00441 垃C CALL CrackMe3. 0040362C JflZ SHORT CrackMe3. 00<440F72 TUSH 0 rniT ICX,CracJsHe3.004410：3C HZ IDX,CtiC!WJe3.004410EC rof lAX,IffaEI FTIt DS： 442CU HOT TAX,TffOim PTR DS: EAJt CALL CrackHe3. 00430056 JMF SHORT Ci-«W1*3.0044CFA4 TUSH 0 MOY I

46、CX.Ct-»cWWIe3.Oa41Oe0 HOV IDX,CricW?e3.004410eC roy lAK.IlffOKD FTa de： 442C41 WW lAX.WlKD PTR DE: EM .&LLI>ack«E3.004GD06e2C104400De2BFCFP lAOC3C104400 5C10440a 442C4400FeCOFFF?3£00 ecio<oa 8C104400 442C4100ASIZIIsterad Ue总关罹妾嵌T跟进去 这里跳走耽完蛋ASCII （?FK-T54-rEL-95 关權，要电即踉进去 遠里跳

47、走就完蚩ASCII ASCIIASCIIASCIIEiraQ44OT2Cll5EE32.7TDie02A匚kWe cracks"Colka+s! You"Ss苜邕af ctf!" Fgg Seri 込 tZ ST EOES cs ss ns7SG3OOlT0230023OOIBMOCListnErrEFL地址0DE44EB400E44IC400D44ID4CCB44IS4 的D4虹F4拷贝窗格到剪贴板 修改数据 數据窗口中跟随地址内中的数据43437449EC0043 <34<t51000界面选项TJU'iLUJ ucr LRj ururui

48、E號:I监点位干 CrackHe3 00440F2C现在我们来按F8键一步步分析一下:7434肌oo岔47465S2D00743444OO00000000oo00000000nnhe'Hf Oai2f99C 1Oai£F9AJO3012r9W OO12r9AJ0012F9AC0012F9BOger I . . t4D.UE. *4二世也-GFH-IEK-9S4. t4D.t4D.U. .?Cr tckHtS. 00440F2C3缝漲位HULL0 (TFFFFFFF) 0 (TPFPFPfFj0 (TPFFFFfFj 0 (FPFFFPfF：) TFFDFOOO CFFPEET

49、flRJVCCESS ®COTO,肛，HE,盘,US, F-1.53C2032359e54&355-UHDET hfi54 OOOOOOOC -E. 89-4S469e512795503.3T0'944181133696192D.血曲gm汨甜D56鼻甜E -1. 122O2714233749rrE l.OOOCOOOOOnOOOMOOC -巴阴05四9£巴巴闻SEH tSSfflftA'堆栈ffi 口中的数据00000202STO STIET2ET3£T4 STSETfiSTIemp tyemp ty emp iy emp ty amp i

50、y emp ty emp tjf 聲ptyOO12FBCcQ000440FEAOOlFSBOOOD4&1BOOOD44DB4代珑FgD4VASm雹叮bu岂trI暂停00440F2C |. 8B45 FCMOV EAXQWORD PTR SS:EB P-4我们输入的内容送到EAX我这里是“ CCDebuger00440F2F |. BA 14104400ASCII "Registered User"00440F34 |. E8 F32BFCFF关键，要用F7跟进去00440F39 |. 75 51这里跳走就完蛋MOV EDX,CrackMe3.00441014CALL

51、 CrackMe3.00403B2CJNZ SHORT CrackMe3.00440F8C当我们按 F8 键走到 00440F34 |. E8 F32BFCFF按一下F7键，进入这个CALL,进去后光标停在这一句:Jhei厨匚漏CALL CrackMe3.00403B2C 这一句时，我们注釋CHtU理,M4O3B2I00403521£3IMRH TOTf*光标#在这里n地址底es示法* :器任色时表示ft们现在执行到这条指令我们所看到的那些PUSHEBX PUSHESI等都是调用子程序保存堆栈时用的指令，不用管它，按F8键一步步过来，我们只关心关键部分：00403B2C /$ 53P

52、USH EBX00403B2D |. 56PUSH ESI00403B2E |. 57PUSH EDI00403B2F |. 89C6MOVESI,EAX；把EAX内我们输入的用户名送到ESI00403B31 |. 89D7MOVEDI,EDX;把 EDX内 的数据“ RegisteredUser” 送到 EDI00403B33 |. 39D0CMPEAX,EDX; 用“ Registered User ”和我们输入的用户名作比较00403B35 |. 0F84 8F000000JE CrackMe3.00403BCA; 相则跳00403B3B |. 85F6TESTESI,ESI; 看看 ESI 中是否有数据，主要是看看我们有没有输入用户名00403B3D |. 74 68JE SHORT CrackMe3.00403BA7;户名为空则跳00403B3F |. 85FFTEST EDI,EDI00403B41 |. 74 6BJE SHORT CrackMe3.00403BAE00403B43 |. 8B46 FCMOV EAX,DWORD PTR DS:ESI-4; 用户名长度送 EAX00403B46 |. 8