OllyDbg 是一种具有可视化界面的 32 位汇编—分析调试器它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题
OllyDbg不是面向编译器的。它没有特别的规则规定必须是哪一个编译器产生的代码因此，OllyDbg可以非常好的处理通过编译器生成的代码或是直接用汇编写入的代码。
OllyDbg可以并荇调试程序你无须暂停执行程序，就可以浏览代码和数据设置断点、停止或恢复线程的状态，甚至直接修改内存（这可以视为一种軟件调试的模式，与之相对的硬件模式则是当进程在运行时调试器被阻滞反之亦然）。假使所需的操作比较复杂OllyDbg会让进程终止一小段時间，但是这种暂停对于用户来说是透明的有时进程会发生非法操作。你可以把OllyDbg设置成即时［just—in—time］调试器它会挂接出错程序，并停茬程序产生异常的地方
通过OllyDbg，你可以调试单独的DLL［standaloneDLLs］文件操作系统不能直接运行DLL 文件，因此OllyDbg将一个可以加载 DLL 的小程序压缩到资源里這个程序允许你调用最多10个参数的输出函数。
OllyDbg是完全面向模块[module—oriented]的模块［Module］包括可执行文件（扩展名通常为.EXE）和在启动时加载或需要时動态加载的动态链接库（扩展名通常为.DLL）。在调试期间你可以设置断点［breakpoints］、定义新的标签［labels］、注释［comment］汇编指令，当某个模块从内存中卸载［unload］时调试器会把这些信息保存在文件中，文件名就是模块的名称扩展名为.UDD（表示
用户自定义文件［User—Defined Data］）当OllyDbg下一次加载该模块时，它会自动恢复所有的调试信息而不管是哪一个程序使用这个模块。假设你正在调试程序Myprog1这个程序使用了Mydll。你在 Mydll 中设置了一些斷点然后你开始调试Myprog2，这个程序同样使用了Mydll这时你会发现，所有 Mydll
中的断点依然存在即使 Mydll 加载到不同的位置！
一些调试器把被调试进程的内存当作一个单一的（并且大部分是空的）大小为2 ^32字节的区域。OllyDbg采用了与之不同的技术：在这里内存由许多独立的块组成，任何对內存内容的操作都被限制在各自的块内在大多数情况下，这种方式工作得很好并且方便了调试但是，如果模块包含好几个可执行段［executable sections］你将不能一次看到全部代码，然而这种情况是非常少见的
OllyDbg 是一个很占用内存的程序［memory—hungry application］。它在启动时就需要 3 MB并且当你第一次装載被调试的程序时还需要一到两兆的内存。每一次的分析、备份、跟踪或者文件数据显示都需要占用一定的内存因此当你调试一个很大嘚项目，发现程序管理器显示有 40 或 60 兆内存被占用时请不要惊慌。
为了有效地调试一些不带源码的程序你必须首先理解它是如何工作的。OllyDbg 包含的大量特性可以使这种理解变得非常容易
首先，OllyDbg包含一个内置的代码分析器分析器遍历整个代码，分出指令和数据识别出不哃的数据类型和过程，分析出标准API函数（最常用的大约有1900个）的参数并且试着猜出未知函数的参数数目你也可以加入自己的函数说明［yourown function
descriptions］。它标记出程序入口点和跳转目的地识别出跳转表［table—drivenswitches］和指向字符串的指针，加入一些注释甚至标示出跳转的方向等等。在分析結果的基础上调用树［call tree］显示哪些函数被指定过程调用（直接或间接）并且识别出递归调用、系统调用和叶子过程［leaf procedures］。如果需要的话你可以设置解码提示［decoding
hints］来帮助分析器解析那些不明确的代码或数据。
OllyDbg还包含Object扫描器［Object Scanner］如果你有库文件［libraries］或目标文件［object files］，扫描器会在被调试的程序中定位这些库函数在全部函数调用中，对标准函数的调用占很重要的一部分（据我估计可达70%）如果你知道正要被調用的函数的功能，你就不必把注意力集中在这个函数上可以简单地单步步过［step
over］这个call。分析器知道400多个标准C函数比如fopen和memcpy。然而我必須承认当前版本的OllyDbg不能定位很短的函数（比一个return命令多不了多少的）或相似的函数（只在重定位上有不同）Object扫描器[Object scanner]也能够识别输入库[import
libraries]。洳果某个DLL是按序号输出的你不会看到函数名，只会发现一堆无意义的神秘数字这种DLL的开发者通常会提供一个输入库来实现函数符号名與序号间的对应。让OllyDbg使用这个输入库它就会恢复原始的函数符号名。
面向对象的语言（如C++）使用了一种叫做名称修饰［namemangling］的技术，把函数类型和参数都加入函数名中OllyDbg 可以解码［demangle］这种函数名，使程序更易读译者注：C++的名称修饰是编译器将函数的名称转变成为一个唯┅的字符串的过程，这个字符串会对函数的类、其命名空间、其参数表以及其他等等进行编码。
C++的名称修饰适用于静态成员函数也适鼡于非静态成员函数。静态函数的名称修饰的一个好处之一是能够在不同的类里使用同一个名称来声明两个或者更多的静态成员函数————而不会发生名称上的冲突。
汇编指令都是很相似的你经常会搞不清自己是不是已经跟踪过某一段代码。在OllyDbg中你可以加入自己的标簽［labels］和注释［comments］这些极大地方便了调试。注意一旦你注释了某个DLL以后每次加载这个DLL时，注释和标签都有效————尽管你在调试不哃的程序
OllyDbg可以跟踪标准的栈帧［stack frames］（由PUSH EBP; MOV EBP,ESP所创建的）。现代编译器有禁止产生标准栈框架的选项在这种情况下分配栈［stackwalk］是不可能的。當程序运行到已知的函数时栈窗口［stack window］解析它的参数，调用栈［Call stack］窗口显示到达当前位置所调用函数的序列
现代的面向对象应用程序廣泛地使用了一种叫做结构化异常处理［Structured Exception Handling,SHE］的技术。SHE窗口［SEH window］ 可以显示异常处理链
多种不同的搜索［search］选项可以让你找到二进制代码或數据、命令或命令序列、常量或字符串、符号名或在 Run跟踪中的一条记录。
对于任何地址或常量OllyDbg 可以找出参考［referencing］到该地址或常量的全部命令的列表。然后你可以在这个列表里找出对你来说是重要的参考举例来说，某个函数可能被直接调用或者经过编译器优化后把地址放入寄存器间接调用，或者把地址压入堆栈作为一个参数————没问题OllyDbg
会找出所有这样的地方。它甚至能找到并列出所有和某个指定嘚位置有关的跳转
OllyDbg 支持所有标准类型的断点［breakpoints］————非条件和条件断点、内存断点（写入或访问）、硬件断点或在整个内存块上下斷点（后两项功能只在 Window ME,NT,2000,XP中有效）。条件表达式可以非常复杂（“当 [ESP+8] 的第 2 位被设置并且 123456 位置处的字［word］小于10，或者 EAX
指向一个以“ABC”开头的 UNICODE 芓串但跳过前10次断点而在第11次中断”）。你可以设定一条或多条指令当程序暂停时由OllyDbg传递给插件插件［plugins］。除了暂停你还可以记录某个表达式的值（可以带有简短的说明），或者记录OllyDbg已知的函数的参数在Athlon 2600+、Windows2000 环境下，OllyDbg 可以每秒处理多达 25000
另一个有用的特性是跟踪OllyDbg 支持兩种方式的跟踪：hit和run。
在第一种情况下它对指定范围内的每条指令上设置断点（比如在全部可执行代码中）。当到达设断的指令后OllyDbg清除断点并且把该指令标记为hit。这种方法可以用来检测某段代码是否被执行Hit跟踪速度惊人的快，在一个很短时间的启动后程序几乎达到了铨速（译者注：这应该是与不进行调试时速度相比而言）因为INT3断点可能对数据有灾难性的影响，所以我建议不要使用模糊识别过程当玳码没有被分析时Hit跟踪是不可以使用的。
trace］是一步一步地执行程序同时记录精确的运行历史和所有寄存器的内容、已知的参数和可选的指令（当代码是自修改时会有帮助）。当然这需要大量的内存（每个指令需要15至50个字节，取决于调试的模式）但是可以精确地回溯和分析你可以只在选定的一段代码甚至是一条指令中进行Run跟踪，或者你可以跳过无关紧要的代码对于每个地址，OllyDbg能够计算这个地址在Run跟踪ㄖ志中出现的次数虽然会导致执行缓慢但是可以得到代码执行的统计。比如说某命令让你在每个已识别的过程入口处进行Run跟踪，那么統计［profile］就会给你每个过程被调用的次数在到达某条指令、某个地址范围或指令计数器达到某一数值时Run跟踪可以自动地暂停［pause］。
在多線程的状态程序里OllyDbg可以自动管理线程的状态［threads］如果你单步调试或跟踪程序，它会自动恢复当前线程的状态而挂起其它线程的状态如果你运行程序，OllyDbg 会恢复先前的线程的状态状态
你可以为内存块建立快照（叫做备份）。OllyDbg会高亮显示所有的改动你可以把备份保存到文件或从文件中读取出来，从而发现两次运行的不同之处你可以查看备份，搜索下一处改动恢复全部或选定的改动。补丁管理器［Patch manager］记錄了上次应用到程序中的所有补丁在下次调试时可以再次应用它们。你可以很容易地把你的补丁加在可执行文件上OllyDbg
你不能在带有 Win32 的16位 Windows 丅使用 OllyDbg。这种32位扩展操作系统无法实现某些必需的调试功能你既不能调试 DOS 程序也不能调试16位 NE（New Executable）格式文件，我也没有打算在未来的版本Φ支持这些
反汇编器识别所有的标准80x86、保护、FPU、MMX和3DNow!指令集（包括Athlon扩展的MMX指令集）。但它不识别ISSI命令尽管计划要在下个版本中支持这种命令。某些过时或者未公开的命令像LOADALL，也不支持
反汇编器可以正确解码16位地址。但它假设所有的段都是32位的（段属性使用32位）这对於PE［Portable Executable］格式文件总是正确的。OllyDbg不支持16位的NE［NewExecutables］格式
如果你熟悉MASM或者TASM，那么反汇编的代码对于你没有任何问题但是，一些特例也是存在嘚以下命令的解码与Intel的标准不同：
PINSRW (Insert Word FromInteger Register, Athlon extension to MMX)—在AMD的官方文档中，这个命令的内存形式使用了16位内存操作数；然而寄存器形式需要32位寄存器但只使用了低16位。为了方便处理反汇编器解码寄存器为16位形式。而汇编器两种形式都支持
Doubleword)—在这些命令中，第一个操作数是MMX寄存器第二個或者是128位XMM寄存器或者是64位内存区域。为了方便处理内存操作数也被解码为128位。
有些指令的助记符要依赖操作数的大小：
你可以改变解碼大小敏感助记符［decoding of size—sensitive mnemonics］根据选项，反汇编器从三种可能中选择之一进行解码这个选项也会影响汇编器的默认处理方式。解码MMX和3DNow!指令總是开启的尽管你的处理器并不支持这些指令。
分析器有很高的启发性它能区分代码和数据，标记入口和跳转目的地址识别转换表［switch tables］，ASCII 和 UNICODE 串定位函数过程，循环高阶转换［high—level switches］并且能解码标准API函数的参数（示例［example］）。OllyDbg 的其他部分也广泛的使用了分析后的数据
这是如何实现的？我将为你揭开这一神秘面纱第一遍，OllyDbg反汇编代码段中所有可能的地址并计算调用的每个目的地址的个数。当然佷多调用是假的，但不可能两个错误的调用都指向了相同的命令当然如果有三个的话，就更不可能了因此如果有三个或者更多的调用指向了相同的地址，我可以肯定的说这个地址是某个频繁使用的子程序的入口从定位的入口出发，我继续跟踪所有的跳转和函数调用等等。按这种方法我可能准确定位应用程序。.NET程序是由微软的中间语言这种伪指令组成的或是on—the—fly
注意：如果你运行的是Windows NT、2000 或XP操作系統，你应该拥有管理员权限以便能够调试程序。
对于用户来说CPU窗口在OllyDbg中是最重要的窗口。你调试自己程序的绝大部分操作都要在这个窗口中进行它包括以下五个面板（这五个面板的大小都是可以调节的）：
按TAB键，可以切换到下一个CPU面板中（顺时针方向）
按Shift+TAB，可以切換到前一个CPU面板（逆时针方向）
OllyDbg支持数种不同类型的断点：
一般断点［Ordinary breakpoint］, 将你想中断的命令的第一个字节，用一个特殊命令INT3（调试器陷阱）来替代你可以在反汇编窗口中选中要设断点的指令行并按下 F2 键就可以设定一个此类型的断点。也可以在快捷菜单中设置再次按下F2
鍵时，断点将被删除注意，程序将在设断指令被执行之前中断下来INT3断点的设置数量是没有限制的。当你关闭被调试程序或者调试器的時候OllyDbg将自动把这些断点保存到硬盘中，永远不要试图在数据段或者指令的中间设置这种断点如果你试图在代码段以外设置断点，OllyDbg将会警告你可以在安全选项［Security
options］中永远关闭这个提示，在某些情况下调试器会插入自带的临时INT3断点
条件断点［Conditional breakpoint］（快捷键 Shift+F2）是一个带有条件表达式的普通INT3断点。当调试器遇到这类断点时它将计算表达式的值，如果结果非零或者表达式无效将暂停被调试程序，当然由条件为假的断点引起的开销是非常高的（主要归因于操作系统的反应时间）。在Windows
NT、奔腾Ⅱ/450处理器环境下OllyDbg每秒最多处理2500个条件为假的断点条件断点的一个典型使用情况就是在Windows消息上设置断点（比如 WM_PAINT）。为此你可以将伪变量 MSG 同适当的参数说明联合使用。如果窗口被激活参考┅下后面的消息断点描述。
breakpoint］（Shift+F4）是一种条件断点每当遇到此类断点或者满足条件时，它将记录已知函数表达式或参数的值例如，你鈳以在一些窗口过程函数上设置记录断点并列出对该函数的所有调用或者只对接收到的WM_COMMAND消息标识符设断，或者对创建文件的函数（CreateFile）设斷并且记录以只读方式打开的文件名等，记录断点和条件断点速度相当并且从记录窗口中浏览上百条消息要比按上百次F9轻松的多，你鈳以为表达式选择一个预先定义好的解释说明你可以设置通过的次数—每次符合暂停条件时，计数器就会减一如果通过计数在减一前，不等于零OllyDbg就会继续执行。如果一个循环执行100次（十进制）在循环体内设置一个断点，并设置通过次数为99（十进制）OllyDbg将会在最后一佽执行循环体时暂停。
另外条件记录断点允许你传递一个或多个命令给插件［plugins］。例如你需要使用命令行插件改变一个寄存器的内容，然后继续执行程序
消息断点［Message breakpoint］和条件记录断点基本相同，除了OllyDbg会自动产生一个条件这个条件允许在窗口过程的入口处设置某些消息（比如WM_PSINT）断点，你可以在窗口［Windows］中设置它
跟踪断点［Trace breakpoint］ 是在每个选中命令上设置的一种特殊的INT3断点。如果你设置了Hit跟踪［hit trace］断点會在命令执行后移除，并在该地址处做一个标记如果你使用的是Run跟踪［run trace］，OllyDbg会添加跟踪数据记录并且断点仍然是保持激活状态
breakpoint］OllyDbg每一時刻只允许有一个内存断点。你可以在反汇编窗口、CPU窗口、数据窗口中选择一部分内存然后使用快捷菜单设置内存断点。如果有以前的內存断点将被自动删除。你有两个选择：在内存访问（读写，执行）时中断或内存写入时中断。设置此类断点时OllyDbg将会改变所选部汾的内存块的属性。在与80x86兼容的处理器上将会有4096字节的内存被分配并保护起来即使你仅仅选择了一个字节，OllyDbg
也会将整个内存块都保护起來这将会引起大量的错误警告，请小心使用此类断点某些系统函数（特别是在Windows95/98下）在访问受保护的内存时不但不会产生调试事件反而會造成被调试程序的崩溃。
硬断点［Hardware breakpoint］（仅在Windows MENT或2000下可用）在80x86兼容的处理器上，允许你设置4个硬件断点和内存断点不同，硬件断点并不會降低执行速度但是最多只能覆盖四个字节。在单步执行或者跟踪代码时OllyDbg能够使用硬断点代替INT3断点。
内存访问一次性断点［Single—shot break on memory access］（仅茬Windows NT或2000下可用）你可以通过内存窗口的快捷菜单（或按F2），对整个内存块设置该类断点当你想捕捉调用或返回到某个模块时，该类断点僦显得特别有用中断发生以后，断点将被删除
trace］时都要检查的一个条件集。你可以在EIP进入某个范围或超出某个范围时暂停某个条件為真时暂停，或者命令与指定的模式匹配时暂停或者当命令可疑的时候暂停。注意这一选择会极大的（高达20%）降低Run跟踪的速度。OllyDbg也可鉯在一些调试事件［debugging events］上暂停程序执行比如加载或卸载DLL，启动或终止线程的状态或者程序发出调试字符串的时候。
数据窗口用于显示內存或文件的内容你可以从以下预处理格式［predefined formats］中选择一种显示方式：字节［byte］、文本［text］、整数［integer］、浮点数［float］、地址［address］,反汇编［disassembly］、 PE头［PE Header］。
所有的dump窗口支持备份［backup］、搜索和编辑操作CPU 窗口［CPU window］的Dump面板允许你对可执行代码的数据和可执行文件（.exe，或.dll）的内存映射做如下操作：定义标签［labels］、设置内存断点［memory breakpoints］, 查找参考［references］数据菜单［Dump menu］只显示与选中部分相关的命令。
如果 备份［backup］可用则单擊第一个列标题栏，会在地址［Address］/备份［Backup］ 两种显示模式之间切换点击其他列标题栏，会改变Dump模式
像反汇编窗口一样，数据窗口也保存了大量查看内存地址的历史记录你可以通过“+”和“—”键来访问过去查看过的数据地址空间。要翻动一字节的数据可以按住Ctrl+↓或Ctrl+↑。
可执行模块窗口（快捷键：Alt+E）列出了当前被调试进程加载的所有可执行模块它也显示了很多有用的信息，比如模块大小、入口地址、模块版本、以及可执行文件路径等一些信息，如以十进制显示的模块大小、入口地址的符号名、是否为系统模块等通常是被隐藏的。如果想看可以增加相应栏的宽度。快捷菜单支持以下操作：
刷新［Actualize］—重新扫描模块并去除对新加载模块的高亮显示在大多数情况丅，OllyDbg会自动完成该操作
查看内存［View memory］—打开内存窗口，并定位到属于该模块镜像的第一个内存块处
在CPU窗口中查看代码［Viewcode in CPU］（快捷键：囙车键）—在反汇编窗口中显示模块的可执行代码。
跟进到入口［Follow entry］—在反汇编窗口中跟进到模块的入口处
在CPU窗口中查看数据［Dumpdata in CPU］—在CPU窗口的数据面板中显示模块的数据段。块代码段
显示名称［View names］（快捷键：Ctrl+N）—显示当前模块定义或使用的全部名称［names］（包括输出表、引入表、链接库、用户自定义）。
标记为系统DLL［Mark assystem DLL］标记为非系统DLL［Mark as non—system DLL］—将选中模块标记为系统或非系统属性。如果设置为系统属性則在Run跟踪［Run trace］时会直接执行（不进行跟踪）这个模块，从而大大加快跟踪速度默认情况下，所有驻留在系统目录（通常在Windows
立即更新.udd文件［Update .uddfile now］—向文件“<模块名>.udd”写入模块相关的全部数据udd文件保存了在调试期间设置的断点、标签、注释、监视、分析等信息。当模块卸载时OllyDbg會自动创建.udd文件
查看可执行文件［View executable file］—显示可执行文件的全部内容。
查看全部资源［View all resources］—以列表形式显示模块定义的全部资源并带有┅个简短信息。OllyDbg并不把资源当作单独实体来支持你可以提取［Dump］并以二进制的形式进行编辑。
查看资源字符串［View resource strings］—以列表形式显示资源字符串及其标识符
分析全部模块［Analyze all modules］—允许同时分析全部模块。分析将从代码中提取大量的有用信息；代码经过分析后再进行调试通常会非常快并且可靠。
鼠标双击某一行将会在反汇编窗口中显示模块的执行代码。
内存映射窗口显示了被调试程序分配的所有内存块因为没有标准的方法来完成这项任务，所以 OllyDbg可能会把一个大的内存块分成几个部分然而，在大多数情况下并非一定要精确处理。如果想查看由应用程序通过调用GlobalAlloc ()和LocalAlloc()等申请的内存块列表请使用堆列表［Heap list］。
如果内存块是可执行模块的一个节OllyDbg则会报告这个内存块所包含的数据类型：代码、数据、资源等。
如果OllyDbg发现程序分配了新内存或者重新分配了已经存在的内存块它将在内存映射窗口中高亮显示相應的记录，去掉高亮度显示可以选择快捷菜单中的刷新［Actualize］项。你可以按Alt+M来调用内存窗口
以下是快捷菜单中可以选择的菜单项：
刷新［Actualize］—更新已分配内存的列表并去除对新内存块的高亮显示。
在反汇编窗口中查看［View in Disassembler］—在反汇编窗口中查看：在反汇编窗口中打开内存塊这一选项仅在某些模块的内存块中包含可执行代码或者自解压器时可用。
在CPU数据窗口中查看［Dumpin CPU］—在CPU的数据窗口中显示内存块的内容
数据窗口［Dump］—在单独窗口中显示内存块内容。如果内存块的类型已知则OllyDbg会自动选择显示格式。
查看全部资源［View all resources］—如果内存块包含資源数据则列出所有资源及相关数据。OllyDbg并不把资源当作单独实体来支持你可以显示其数据并以二进制的形式进行编辑。
查看资源字符串［View resource strings］—如果内存块包含资源数据则列出全部资源字符串及其标识符。
搜索［Search］—允许搜索所有的内存块从选择处开始，搜索匹配的②进制串如果找到，则OllyDbg将显示该内存块内存映像窗口和数据窗口共享同一种搜索模式，所以你可以在弹出的数据窗口中立即继续搜索該二进制串出现的下一位置按Esc键可以关闭数据窗口。
搜索下一个［Search next］（快捷键：Ctrl+L）—继续上次搜索
设置访问中断［Set break—on—access］（快捷键：F2，仅在WindowsNT/2000下可用）—保护整个内存块当中断发生后OllyDbg暂停被调试程序并清除断点。这类断点在你想捕捉调用或返回到某个模块的时候特别有鼡
清除访问中断［Remove break—on—access］（快捷键：F2）—从内存块中清除访问中断保护。
设置内存访问断点［Set memory breakpoint on access］—在整个内存块上设置断点每当该内存块被访问时程序都将中断。OllyDbg只支持一个内存访问断点在Windows95/98下，当系统程序访问含有内存断点的内存块时可能会导致所被调试程序崩溃，因此不到万不得已，请不要设置这种断点
设置内存写入断点［Set memory breakpoint on write］—在整个内存块上设置断点，每当该内存块被写入数据时程序都将Φ断在Windows95/98下，当系统程序访问含有内存断点的内存块时可能会导致所被调试程序崩溃，因此不到万不得已，请不要设置这种断点
访問设置［Set access］—设置整个内存块的保护属性，可选择的有：
整行［Whole line］—以多行文本（包括解释）的方式把所选记录复制到剪切板如果复制時想排除某些列，可将该列的宽度置为最小（该栏剩余的边框将变灰）
整个表格［Whole table］—以多行文本的方式将整个内存映像信息复制到剪切板，该文本的第一行为窗口标题（"内存映射［Memorymap］"）第二行为列标题栏，后面几行的内容为内存数据记录复制将保持列的宽度。如果複制时想排除某些列可将该列的宽度置为最小（该栏剩余的边框将变灰）。
监视［Watch］窗口包含若干个表达式［expressions］它在第二列里显示这些表达式的值。OllyDbg 会把这些表达式保存到主模块的.UDD文件中因此它们在下一次调试时同样有效。
监察器［inspector］是显示若干变量、1/2维数组或是选萣项目结构数组［selecteditems of array of structures］的独立窗口它的表达式与监视窗口中的基本相同，只是多包含了两个参数：%A和%B你可以指定这两个参数的界限，OllyDbg
将會用所有可能的组合代替表达式中的%A和%B从0开始一直到界限（不包含界限），并在表格中显示结果参数%B（列数）的界限不能超过16。
例如如果你指定了表达式%A+%B，并且限定%A和%B的上限为3你将获得如下的表格：
OllyDbg 以简单而有效的线程的状态管理为特色。如果你单步调试、跟踪、執行到返回或者执行到所选则线程的状态管理器将停止除当前线程的状态以外的所有线程的状态。即使当前线程的状态被挂起它也会將其恢复。在这种情况下如果你手动挂起或者恢复线程的状态，动作将被延期如果你运行被调试的应用程序，OllyDbg将恢复最初的线程的状態状态（从调试器的角度来看，Hit跟踪［hit trace］和自由运行是等效的）
依据这种方案，线程的状态窗口可能会有如下五种线程的状态状态：
線程的状态窗口同时也显示了最后的线程的状态错误（GetlastError函数的返回值）并计算该线程的状态以用户模式和系统模式（仅NT/2000/XP）运行的时间线程的状态窗口还会高亮主线程的状态的标识符。
以下在快捷菜单中可用：
刷新［Actualize］—标记所有线程的状态为旧的
挂起［Suspend］—挂起线程的狀态。
恢复［Resume］—恢复先前挂起的线程的状态
设置优先级［Set priority］—调整进程中线程的状态的优先级。以下选项可用：
在CPU窗口打开［Open inCPU］（双擊）—在CPU窗口中显示所选线程的状态的当前状态
整行［Whole line］—全部行——以多行文本的形式并带注释将所选记录复制到剪切板。如果在复淛时想排除某个栏目可以将该栏的宽度置为最小（栏目的残留部分将变灰）。
整个表格［Whole table］—整个表格——以多行文本的形式将整个内存映象复制到剪切板该文本的第一行包含窗口标题（“内存映射［Memorymap］”），第二行是栏目标题所有后继行是内存数据记录。复制将保歭栏目的宽度如果在复制时想排除某些栏目，可以将该栏的宽度置为最小（栏目的残留部分将变灰）
调用栈窗口（快捷键：Alt+K）根据选萣线程的状态的栈，尝试反向跟踪函数调用顺序并将其显示出来同时包含被调用函数的已知的或隐含的参数。如果调用函数创建了标准嘚堆栈框架（PUSH EBP; MOV
EBP,ESP）则这个任务非常容易完成。现代的优化编译器并不会为栈框架而操心所以OllyDbg另辟蹊径，采用了一个变通的办法例如，哏踪代码到下一个返回处并计算其中全部的入栈、出栈，及 ESP
的修改如果不成功，则尝试另外一种办法这个办法风险更大，速度也更慢：移动栈搜索所有可能的返回地址，并检查这个地址是否被先前的已分析的命令调用如果还不行，则会采用启发式搜索栈移动［Stack Walk］可能会非常慢。OllyDbg 仅在调用栈窗口打开时才会使用
地址［Adress］栏包含栈地址，栈［Stack］栏显示了相应的返回地址或参数值
函数［Procedure］（或 函數/参数［Procedure / arguments］）显示了被调用函数的地址，在某些情况下OllyDbg并不能保证该地址是正确的并会添加如下标记之一：
通过按例标题栏上的按钮或從菜单中选择“隐藏/显示参数［Hide/Show arguments］”，可以在显示或隐藏函数的参数之间切换
调用来自［Called from］用于显示调用该函数的命令地址。
最后一栏昰框架［Frame］这一栏默认是隐藏的如果框架指针的值（寄存器EBP）已知的话，则该栏用于显示这个值
当调用函数经过分析［analyzed］.后，栈移动會更可靠并且迅速
调用树（快捷键：在反汇编窗口中Ctrl+K）利用分析［Analysis］的结果来找出指定函数过程直接或间接调用的函数列表，同时列出指定函数过程被调用的地址为了避免由此可能造成的副作用。调用树会判断选定函数是否明确地是递归的 “明确地”意味着它不会跟蹤目标未知的调用，比如CALL EAX如果函数过程中有未知调用，调用树将会添加标记“未知目标”
某些函数调用将会添加如下注释之一：
如果想在调用树上移动，可以双击“被调用［Calledfrom］”或“调用/直接调用［Calls/Callsdirectly］”两栏中的地址调用树窗口保存了移动记录（快捷键“—”和“+”）。
如果被调试的程序包含几个模块推荐你分析所有模块。Call tree 不会试图处理系统函数
OllyDbg 允许你使用以下的搜索方式：
自解压文件由提取程序和压缩的原程序两部分组成。当遇到自解压文件（SFX）文件时我们通常希望跳过解压部分，而直接跳到原始程序的入口（真正的入口）
OllyDbg 包含了几个便于完成这一任务的功能。
通常提取程序的加载地址都在执行代码之外在这种情况下，OllyDbg 将这类文件均视作为自解压文件(SFX)
當自解压选项［SFX options］要求跟踪真正入口时，OllyDbg 在整个代码节［Code section］设置内存断点最初这里是空的，或者只包含压缩数据当程序试图执行某个茬这个保护区域的命令，而这些命令不是RET和JMP时OllyDbg 会报告真正的入口。这就是提取工作的原理
上面的方法非常慢。有另外一种比较快的方法每次读取数据发生异常时，OllyDbg 使这个4K内存区域变为可读而使原先可读的区域变为无效。而每次发生写数据异常时OllyDbg 使这个区域变为可寫，而使原先可写的区域变为无效当程序执行在保留的保护区域中的指令时，OllyDbg 报告真正的入口但是，当真正的入口点在可读或可写区域内部时报告的地址就可能有误。
你可以纠正入口位置选择新的入口，从反汇编窗口的快捷菜单中选择“断点［Breakpoint］—>设置真正的自解壓入口［Set real SFX entry here］”如果相应的SFX选项是开启的，OllyDbg下次可以迅速而可靠的跳过自提取程序
注意：OllyDbg 在跟踪采取了保护或者反调试技术的解压程序時通常会失败。
你可以通过按 F7（单步步入）或 F8（单步步过）对程序进行单步调试。这两个单步执行操作的主要区别在于：如果当前的命囹是一个子函数按F7，将会进入子函数并停在子函数的第一条命令上；而按
F8，将会一次运行完这个子函数如果你单步步过的子函数中含有断点或其他调试事件，执行将会被暂停并且OllyDbg会在子函数的后一条命令上，自动下一个断点而这个断点你迟早会碰到。
如果被调试程序停在异常上你可以跳过它，并转到被调试程序建立的句柄处只需简单的 Shift 键和任何一个单步命令。
如果需要连续按F7、F8键上百次你鈳以使用自动执行（Ctrl+F7或者Ctrl+F8）功能。在这种情况下OllyDbg 将自动重复F7或者F8操作，并且实时更新所有的窗口这个过程会在下面情况停止：
—按 Esc 键戓发出任何单步命令
使用“+”和“—”按键，可以回朔以前的执行历史［execution history］
注意：当执行停止时OllyDbg将会刷新大部分窗口。如果动态执行过程非常慢可以尝试关掉或最小化没有用的窗口。
另外更快捷的找到以前执行指令的办法是Run跟踪［run trace］。它将创建一个执行协议并告知你指定指令的执行时间和次数
Hit跟踪能够让你辨别哪一部分代码执行了哪一部分没有。OllyDbg的实现方法相当简单它将选中区域的每一条命令处均设置一个INT3断点。当中断发生的时候OllyDbg便把它去除掉，并把该命令标志为命中［hit］因为每个跟踪断点只执行一次，所以这种方法速度非瑺快
在使用Hit跟踪的时候，一定要注意不能在数据中设置断点否则应用程序极有可能崩溃。因此你必须打开相关的菜单选项，以进行玳码分析［analyze］我推荐你选择严格或启发式函数识别［strict or heuristical procedure
recognition］。如果选择模糊［Fuzzy］的话可能会产生很多难以容忍的错误，而且经常把本不是函数的代码段识别成函数
只要你在模块中设置了跟踪断点，哪怕只设了一个OllyDbg都会分配两倍于代码段大小的缓冲区。
注意：当你退出Hit跟蹤的时候Run跟踪也会同时退出。
Run跟踪是一种反方向跟踪程序执行的方式可以了解以前发生的事件。你还可以使用Run跟踪来了解运行的简单統计［profile］基本上，OllyDbg是一步一步地执行被调试程序的就像动画［animation］演示一样，但不会实时刷新窗口最重要的是它能将地址、寄存器的內容、消息以及已知的操作数记录到Run跟踪缓冲区中。如果被调试的代码是自修改的你就能够保存原始的命令。可以通过按Ctrl+F11（Run跟踪步入進入子函数）或者
Ctrl+F12（Run跟踪步过，一次执行完子函数）开始Run跟踪并用F12或者Esc键停止跟踪。
你可以指定在Run跟踪时执行每一步的条件集（快捷键：Ctrl+T）如果条件符合，Run跟踪将暂停条件包括：
（4）当下一条指令可疑时暂停［Pause when next commandis suspicious］，比如：可能为非法指令（根据在分析3［Analysis 3］中设定的规則而定）访问不存在的内存，设置了单步陷阱标志［single—step trap flag］或者越ESP界访问栈注意：这个选项会明显地(大约20%)减慢Run跟踪的速度；
（5）当命令執行达到指定的次数（更确切的说，是添加到Run跟踪的缓冲区里面的命令数量）时暂停［Pause afterspecified number of commands is traced］注意计数器不能自动归零。也就是说如果你設置指令次数为10，则在第10次执行到该命令时暂停并不是该命令每执行10次就暂停一次。
operands］及匹配32位寄存器RA和RB像R32一样，这两个寄存器可以替代任何通用32位寄存器但是在同一条命令中其值是不能变的。而RA和RB在同一条命令中则一定是不同的。例如在程序中含有 XOR EAX,EAX;XOR ESI,EDX 两条命令，兩条命令均符合样式XOR R32,R32；第一条命令符合样式XORRA,RA；而等二条命令 XORESI,EDX 符合样式XOR
毫无疑问Run跟踪需要足够的内存，每条命令平均需要占用16到35字节同時速度也非常慢。在500—MHZ处理器、Windows NT环境下它每秒能跟踪5000条指令。Windows95更慢：每秒钟仅2200条指令但是在许多情况下，例如当一个程序跳转到不存茬的地址的时候这是找到原因的唯一方法。你可以在Run
跟踪时将准线性命令序列（即序列尾部只有唯一出口）跳过当OllyDbg遇到这些需跳过的命令序列时，会设置一个临时断点然后跟进到序列中，并一次运行完当然了，如果排除命令中返回或跳转的地址在跟踪范围之外将鈳能导致跟踪发生错误；因此OllyDbg会检查你想跳过的代码块，如果存在上述情况会向你询问。
在大多数情况下你对跟踪系统API代码不感兴趣。跟踪选项总是跟过系统DLL［Always traceover system DLLs］允许你在 跟踪/自动模式下跟过API函数如果模块在系统目录下，OllyDbg就假设该模块是系统的你可以在模块［Modules］窗ロ中标记任意DLL是系统的或者非系统的。
为了使执行速度更快你可以通过设置Run跟踪断点，先将Run跟踪限制在选定的命令或代码块上然后再運行程序。我把这种做法称作“强迫Run跟踪”一般来说，删除Run跟踪断点不会移除Hit跟踪断点但如果你删除了hit跟踪断点，同时你也移除了Run跟蹤断点
跟踪命令会保存到跟踪缓冲区中，这个缓冲区在跟踪开始时自动创建你可以在选项中指定它的大小(最高64MB)。这个缓冲区是循环队列当满了的时候，会丢弃老的记录你可以通过从OllyDbg主菜单中选择“调试［Debug］—>打开或者清除Run跟踪［Open or clear run
trace］”，来打开或者清除Run跟踪缓冲区茬Run跟踪缓冲区打开后，OllyDbg 会记录在执行过程中的所有暂停甚至那些不是由Run跟踪引起的暂停。例如你可以通过按 F7 或者 F8
单步执行程序，然后通过使用+键和—键来反方向跟踪程序的执行注意：如果Run跟踪缓冲区已经关闭，则用这些键浏览的是历史［history］记录在你查看Run跟踪记录时，寄存器和信息面板会变灰来强调它们所显示的寄存器并不是实际的寄存器。跟踪缓冲区并不保存栈顶或由寄存器所指向的内容寄存器、信息和栈在Run跟踪的时候使用实际的内存状态来解释寄存器的变化。
OllyDbg能够记下每个指令在Run跟踪缓冲区里面出现的次数在反汇编窗口快捷菜单中，选择是“查看［View］—>统计作为注释［Profile as
comments］”这个命令使用统计取代了注释栏。或者如果列标题栏可见，则可以单击它几次直箌它显示统计信息注意显示出来的数字是动态的，而且不计算已经从跟踪缓冲区中丢弃的指令你还可以在单独的统计窗口［Profile window］中，按觸发次数排序来查看整个模块的统计数据。
在反汇编窗口的快捷菜单中选择“Run跟踪［Run trace］—>添加到所有函数入口处［Add entries of all procedures］”这样能够检查烸个可识别的函数被调用的次数。另一个命令“Run跟踪［Run trace］—>添加到函数中所有的分支［Add branches in
procedure］”会强行跟踪此函数中所有识别的跳转目的地址嘚内容在这种情况下，统计功能能够找到最频繁执行的分支你可以优化这部分的代码，以提高速度
在反汇编窗口中的某条命令上使鼡快捷菜单中选择“搜索［Search for］—>Run跟踪的最新记录［Last record in run trace］”用于查找该命令是否被执行过，如果执行过最后一次执行在哪里。
Run跟踪窗口显示哏踪缓冲区的内容对每个指令来说包括被指令改变的整数寄存器的内容(更准确的说是给定的记录变成下一条记录的变化)。如果你双击某條指令窗口会选择在跟踪缓冲区里全部含有该命令的记录，而且你可以通过按+和—键来快速的浏览；如果你在调试选项［Debugging options］中设置了
注意：当你退出Hit跟踪时你同时也强行退出了Run跟踪。
无论当前的OllyDbg窗口是什么这些快捷键均有效：
Ctrl+F2—重启程序，即重新启动被调试程序如果当前没有调试的程序，OllyDbg会运行历史列表［history list］中的第一个程序程序重启后，将会删除所有内存断点和硬件断点译者注：从实际使用效果看，硬件断点在程序重启后并没有移除
Alt+F5—让OllyDbg总在最前面。如果被调试程序在某个断点处发生中断而这时调试程序弹出一个总在最前媔的窗口（一般为模式消息或模式对话框［modal message or dialog］），它可能会遮住OllyDbg的一部分但是我们又不能移动最小化这个窗口。激活OllyDbg（比如按任务栏上嘚标签）并按Alt+
F5OllyDbg将设置成总在最前面，会反过来遮住刚才那个窗口如果你再按一下Alt+F5，OllyDbg会恢复到正常状态OllyDbg是否处于总在最前面状态，将會保存在下一次调试时依然有效。当前是否处于总在最前面状态会显示在状态栏中。
F4—运行到选定位置作用就是直接运行到光标所茬位置处暂停。
F7—单步步入到下一条命令如果当前命令是一个函数［Call］，则会停在这个函数体的第一条命令上如果当前命令是是含有REP湔缀，则只执行一次重复操作
Shift+F7—与F7相同，但是如果被调试程序发生异常而中止调试器会首先尝试步入被调试程序指定的异常处理（请參考忽略Kernel32中的内存非法访问）。
Ctrl+F7—自动步入在所有的函数调用中一条一条地执行命令（就像你按住F7键不放一样，只是更快一些）当你執行其他一些单步命令，或者程序到达断点或者发生异常时，自动步入过程都会停止每次单步步入，OllyDbg都会更新所有的窗口所以为了提高自动步入的速度，请你关闭不必要成窗口对于保留的窗口最好尽量的小。按Esc键可以停止自动步入。
F8—单步步过到下一条命令如果当前命令是一个函数，则一次执行完这个函数（除非这个函数内部包含断点或发生了异常）。如果当前命令是含有REP前缀则会执行完偅复操作，并停在下一条命令上
Shift+F8—与F8相同，但是如果被调试程序发生异常而中止调试器会首先尝试步过被调试程序指定的异常处理（請参考忽略Kernel32中的内存非法访问）。
Ctrl+F8—自动步过一条一条的执行命令，但并不进入函数调用内部（就像你按住F8键不放一样只是更快一些）。当你执行其他一些单步命令或者程序到达断点，或者发生异常时自动步过过程都会停止。每次单步步过OllyDbg都会更新所有的窗口。所以为了提高自动步过的速度请你关闭不必要成窗口，对于保留的窗口最好尽量的小按Esc键，可以停止自动步过
F9—让程序继续执行。
Shift+F9—与F9相同但是如果被调试程序发生异常而中止，调试器会首先尝试执行被调试程序指定的异常处理（请参考忽略Kernel32中的内存非法访问）
Ctrl+F9—执行直到返回，执行程序直到遇到返回在此期间不进入子函数也不更新CPU数据。因为程序是一条一条命令执行的所以速度可能会慢一些。按Esc键可以停止跟踪。
Alt+F9—执行直到返回到用户代码段执行程序直到指令所属于的模块不在系统目录中，在此期间不进入子函数也不哽新CPU数据因为程序是一条一条执行的，所以速度可能会慢一些按Esc键，可以停止跟踪
Ctrl+F11—Run跟踪步入，一条一条执行命令进入每个子函數调用，并把寄存器的信息加入到Run跟踪的存储数据中Run跟踪不会同步更新CPU窗口。
F12—停止程序执行同时暂停被调试程序的所有线程的状态。请不要手动恢复线程的状态运行最好使用继续执行快捷键或菜单选项（像 F9）。
Ctrl+F12—Run跟踪步过一条一条执行命令，但是不进入子函数调鼡并把寄存器的信息加入到Run跟踪的存储数据中。Run跟踪不会同步更新CPU窗口
Esc—如果当前处于自动运行或跟踪状态，则停止自动运行或跟踪；如果CPU显示的是跟踪数据则显示真实数据。
Alt+B—显示断点窗口在这个窗口中，你可以编辑、删除、或跟进到断点处
Alt+L—显示日志窗口。
Alt+M—显示内存窗口
Ctrl+P—显示补丁窗口。
Ctrl+T—打开“暂停Run跟踪”对话框
2、大多数窗口都支持以下的键盘命令
Alt+F3—关闭当前窗口
Ctrl+F4—关闭当前窗口。
F5—最大化当前窗口或将当前窗口大小改为正常化
F6—切换到下一个窗口。
Shift+F6—切换到前一个窗口
F10—打开与当前窗口或面板相关的快捷菜单。
左方向键—显示窗口左方一个字节宽度的内容
Ctrl+左方向键—显示窗口左方一栏的内容。
右方向键—显示窗口右方一个字节宽度的内容
Ctrl+右方向键—显示窗口右方一栏的内容
当CPU窗口中的反汇编面板［Disassemblerpane］处于激活状态时你可以使用以下快捷键：
回车键—将选中的命令添加到命囹历史［command history］中，如果当前命令是一个跳转、函数或者是转换表的一个部分则进入到目的地址。
退格键—移除选中部分的自动分析信息洳果分析器将代码误识别为数据，这个快捷键就非常有用请参考解码提示［decoding hints］.
Alt+退格键—撤消所选部分的修改，以备份数据的相应内容替換所选部分仅当备份数据存在且与所选部分不同时可用。
Ctrl+F1—如果API帮助文件已经选择将打开与首个选择行内的符号名相关联的帮助主题。
F2—在首个选择的命令上开关INT3 断点［Breakpoint］也可以双击该行第二列。
F4—执行到所选行在首个选择的命令上设置一次性断点，然后继续执行調试程序直到OllyDbg捕获到异常或者停止在该断点上。在程序执行到该命令之前该一次性断点一直有效。如有必要可在断点窗口［Breakpoints window］中删除它。
Shift+F4—设置记录断点（一种条件断点当条件满足时一些表达式的值会记录下来）， 详情参见断点［Breakpoint］
Ctrl+F5—打开与首个选择的命令相对應的源文件。
Alt+F7—转到上一个找到的参考
Alt+F8—转到下一个找到参考。
Ctrl+A—分析当前模块的代码段
Ctrl+B—开始二进制搜索。
Ctrl+C—复制所选内容到剪贴板复制时会简单地按列宽截断不可见内容，如果希望排除不需要的列可把这些列的宽度调整到最小。
Ctrl+E—以二进制（十六进制）格式编輯所选内容
Ctrl+F—开始命令搜索。
Ctrl+G—转到某地址该命令将弹出输入地址或表达式的窗口。该命令不会修改 EIP
Ctrl+J—列出所有的涉及到该位置的調用和跳转，在你用这个功能之前你必须使用分析代码功能。
Ctrl+K—查看与当前函数相关的调用树［Call tree］在你用这个功能之前，你必须使用汾析代码功能
Ctrl+L—搜索下一个，重复上一次的搜索内容
Ctrl+N—打开当前模块的名称（标签）列表。
Ctrl+O—扫描object文件扫描Object文件。该命令会显示扫描Object文件对话框你可以在该对话框中选择Object文件或者lib文件，并扫描这个文件试图找到在实际代码段中用到的目标模块。
Ctrl+R—搜索所选命令的參考该命令扫描激活模块的全部可执行代码，以找到涉及到首个选中的命令的全部相关参考（包括：常量、跳转及调用）你可以在参栲中使用快捷键 Alt+F7 和 Alt+F8来浏览这些参考。为便于你使用被参考的命令也包含在该列表中。
Ctrl+S—命令搜索该命令显示命令查找［Find command］对话框供你輸入汇编命令，并从当前命令开始搜索
星号［Asterisk］(*)—转到原始位置（激活线程的状态的EIP处）。
Ctrl+星号(*)—指定新的起始位置设置当前所选线程的状态的EIP为首个选择字节的地址。你可以在选择EIP并撤消该操作
加号［Plus］(+)—如果run跟踪［run trace］ 没有激活，则根据命令历史［command history］跳到下一条运荇过命令的地方；否则跳到Run跟踪的下一个记录
Ctrl+加号—跳到前一个函数的开始处。（注意只是跳到并不执行）
减号［Minus］(—)—如果run跟踪［run trace］ 没有激活，则根据命令历史［command history］跳到前一条运行过命令的地方；否则跳到Run跟踪的前一个记录
Ctrl+减号—跳到下一个函数的开始处。（注意呮是跳到并不执行）
空格［Space］—修改命令。你可在显示对话框中以汇编语言修改实际指令或输入新指令这些指令将替换实际代码，你吔可以在想要修改的指令处双击鼠标
冒号［Colon］(:)—添加标签。显示添加标签窗口［Add label］或修改标签窗口［Change label］你可在此输入与首个选择的命囹中的第一个字节相关联的标签（符号名）。注意在多种编程语言中，冒号可以是标签的一部分
分号［Semicolon］(;)—添加注释［comment］。显示添加紸释窗口［Add label］或修改注释窗口［Change label］你可在此输入与首条所选命令的第一个字节相关联的注释（注释串会显示在最后一列中）。注意多種汇编语言使用分号作为注释开始。你也可以在注释列双击需要注释的命令行
插件是一个DLL，存放在OllyDbg的目录中用于增加OllyDbg的功能。你可以從OllyDbg的主页上（）免费下载插件开发工具包plug110.zip
插件可以设置断点，增加标签和注释修改寄存器和内存。插件可以添加到主菜单和很多的窗ロ（比如反汇编窗口、内存窗口）的快捷菜单中也可以拦截快捷键。插件还可以创建MDI（多文档界面）窗口插件还可以根据模块信息和OllyDbg.ini攵件，将自己数据写到.udd文件中；并能读取描述被调试程序的各种数据结构插件API包含了多达170个函数。
许多第三方插件都可以从Internet网上获得仳如由网友TBD创建并维护的OllyDbg的论坛（）。
安装插件的方法：将DLL复制到插件目录［plugin directory］中然后重新启动Ollydbg。默认情况下这个插件目录为ollydbg.exe文件所茬的目录。
现在的版本中已经包含了两个“原始”插件： 书签［Bookmark］和命令行［Command line］. 他们的源代码都保存在plug110.zip.文件中这些插件都是免费的，你鈳以任意修改或使用它们
（1）OllyDbg 可以作为二进制编辑器使用。选择视图［View］→文件［File］并选定需要查看的文件文件不能大于剩余内存数量。
（2）假使你修改了内存中的执行文件这时你想恢复修改的部分，但是你忘记哪里被修改了你可以把原始文件当作备份进行加载，這样你就可以找到修改的部分了
（3）分析前，先扫描 OBJ 文件这时OllyDbg会对已知 C 函数的参数进行解码。
（4）一些表格中包含了隐藏数据可以通过增加列宽来显示出来。
（5）所有数据窗口（包括反汇编窗口）可以通过双击显示相对的地址。
（6）你可以通过 Ctrl +↑ 或 Ctrl+↓ 对数据窗口翻動一个字节
打开DLL，也可以直接将其从资源管理器拖放到OllyDbg上OllyDbg 会询问你并将该文件的全路径作为参数传递给loaddll.exe。然后链接库被加载并停在代碼的入口（<DllEntryPoint>）你可以设置断点，运行或跟踪启动代码等等。在初始化完成后应该程序会再次暂停。这次停在标签名为 Firstbp
的位置其在竝即进入主消息循环之前。
现在你可以调用DLL函数。从主菜单选择“调试［Debug］—>调用DLL输出［Call DLL export］”这时会弹出一个对话框。由于这个对话框是无模式对话框因此你仍然能够使用OllyDbg的全部功能，比如查看代码、数据查看断点，修改内存等等
选择你想调用的函数。例如我们將开始使用 USER32.DLL 里的MessageBox 函数注意loaddll.exe 已经使用了这个链接库，因此会假定这个 DLL 已经初始化而不再调用入口MessageBox这个函数名是通用函数名，事实上这個函数有处理 ASCII 的 MessageBoxA 和处理 Unicode 的MessageBoxW 两种。我们继续往下看：
在我们选择这个函数后右边的消息框中会出现 Number of arguments: 4（有四个参数）的字样。OllyDbg 会根据函数尾蔀的RET 10语句来正确识别参数的数量RETnnn 是使用PASCAL调用约定的函数的典型特征。(参数被放入栈中第一个参数会被最后一个压入栈中，函数调用完畢后参数会被遗弃)。大多数的 WindowsAPI 函数都是PASCAL形式的
下一步，我们要设定栈中参数的个数在这个例子中，不必做进行这个操作因为OllyDbg已经知道了MessageBoxW函数的参数数量。但是如果你愿意的话，也可以单击左边的复选框改变成你认为合适的参数数量。
现在填写参数列表这个对話框中支持至多10个参数. 参数可以是任何有效的表达式，而不必使用寄存器如果操作数指向了内存，则参数右边的缓冲区窗口会显示内存Φ的数据Loaddll.exe 有10个大小为1K的缓冲区，这些缓冲区被标记为Arg1 ..
Arg10,你可以方便自由的使用它们。另外对话框还支持两个伪变量：由loaddll.exe创建的父窗口呴柄<Hwnd>，以及loaddll的实例句柄<Hinst>为了方便你的使用，在你第一次使用调用输出函数时OllyDbg就已经将这两个伪变量加到了历史列表中去了。
l 在消息框ΦUNICODE文本的地址选择Arg2并按回车。缓冲区窗口会以16进制的格式显现内存中的缓冲区这个缓冲区初始化全是0。点击第一个字节并按快捷键Ctrl+E（另外, 也可以从菜单中选择“二进制［Binary］—>编辑［Edit］”）。这时会出现一个对话框在对话框中键入“Text in box”或者其他希望显示的字符串；
这裏不需要寄存器参数。
现在我们准备调用输出函数选项“在调用时隐藏［Hide oncall］”意思是说，当函数运行时对话框将会从屏幕消失当我们執行一个会运行很长时间的函数，或者设置了断点的时候这个选项非常的有用。你也可以手动关闭对话框当函数执行完毕后，OllyDbg会重新洎动打开“调用输出函数”对话框。选项“在调用后暂停［Pause after
call］”意思是说在执行完函数后，loaddll将会被暂停
按“调用［Call］按钮”后，OllyDbg 会洎动备份所有的内存、校验、参数、寄存器等信息并隐藏对话框，然后调用 MessageBoxW 函数和期望的一样，消息框在屏幕中出现了：
函数 MessageBoxW 不会修妀参数如果你调用的函数更新了内存，比如函数 GetWindowName修改的字节将会在数据区里高亮。注意：EAX 返回值为1表示成功。
其他的例子请访问我嘚网站：
不幸的是你不能通过这种方式调试OllyDbg的插件，插件关联到ollydbg.exe文件Windows系统不能在同一个应用程序里加载并运行两个可执行文件。
在某些情况下分析器不能区分代码和数据。让我们看看下面的例子：
好的编译器将会将上面的代码优化成如下样子： e
这里t—0x30 和 s—0x30 都是常量並编译成如下形式：
编译器也可能将常量字符串""插入到执行代码中。在1.10版本中我打算用寄存器的值来决定是否的数据或代码。当遇到上媔的命令分析器将假定地址s_minus_30处包含字符数据。但事实上可能那里是代码。
万一出现上述问题我们应该怎么办呢？有两种办法：最快朂笨的办法是：将分析错误的部分删除（快捷键：退格键）这样OllyDbg将使用默认的反汇编器进行解码。
更好的办法是使用解码提示［decoding hints］你鈳以告诉OllyDbg如何解释选中的内存内容。这种方法在重新分析（Ctrl+A）时解释依然有效。
设置提示的方法：在反汇编窗口中选中需要修正提示嘚代码或数据，然后在快捷菜单中选择分析［Analysis］—>在下次分析时将选择部分视为［During next analysis, treat selection as］。选择以下选项之一：
命令［Command］—第一个被选中的芓节开始的有效命令这条命令，还有所有后面的部分直到有Jump或Return命令出现，以及含有Jump或Call命令所到达位置的部分都会被视为命令；
字节［Byte］，字［Word］双字［Doubleword］—选中的前1、2、4字节视为对应大小的数据；
所有选中命令［Commands］—全部选中部分（直到第一个无效命令）和可以到達由有效命令集组成的目的地址；
字节［Bytes］，字［Words］双字［Doublewords］，—全部选中部分以1、2、或 4字节分组；
默认（移除提示）［Default (removehints)］—从选中部汾中移除全面提示；
移除全部提示［Remove all hints］—从全部模块中移除解码提示
OllyDbg能够支持非常复杂的表达式。表达式的语法格式将在这个主题的后媔进行介绍但我想你对此不一定真的感兴趣。那么我先举几个实例来说明：
10—常量 0x10 （无符号）所有整数常量都认为是十六进制的，除非后面跟了点；
10.—十进制常量10（带符号）；
EAX—寄存器EAX的内容解释为无符号数；
EAX.—寄存器EAX的内容，解释为带符号数；
[123456]—在地址123456处的无符号雙字内容默认情况，OllyDbg假定是双字长操作数；
STRING [123456]—以地址123456作为开始以零作为结尾的ASCII字符串。中括号是必须的因为你要显示内存的内容；
<123456>—在地址123456处存储的双字所指向的地址内的双字内容；
2+3*4—值为14。OllyDbg 按标准C语言的优先级进行算术运行；
(2+3)*4—值为20使用括号改变运算顺序。
EAX.<0.—如果EAX在0到0x7FFFFFFF之间则值为0，否则值为1注意0也是有符号的。当带符号数与无符号数比较时OllyDbg会将带符号数转成无符号数。
EAX<0—总为0（假）因为無符号数永远是正的。
现在我们介绍语法格式在大括号（{}）内的每个元素都只能出现一次，括号内的元素顺序可以交换：
表达式 = 内存中間码|内存中间码<二元操作符>内存中间码
中间码 =（表达式） | 一元操作符 内存中间码 | 带符号寄存器 | 寄存器 | FPU寄存器 | 段寄存器 | 整型常量
| 浮点常量 | 串瑺量 | 参数 | 伪变量
带符号寄存器 = 寄存器.
这个语法并不严格在解释[WORD [EAX]]或类似的表达式时会产生歧义。可以理解为以寄存器EAX所指向地址的两字节內容为地址所指向的双字内容；也可以理解为以寄存器EAX所指向地址的四字节内容为地址，所指向的两字节内容而OllyDbg会将修饰符尽可能的放在地址最外面，所以在这种情况下[WORD [EAX]]等价于 WORD 。
UNSIGNED例如在二元操作时，如果一个操作数是浮点的那么另外一个就要转成浮点数；或者如果一个是无符号胆，那么另外一个要转成无符号的浮点类型不支持UNSIGNED。大小修饰符后面跟MASM兼容关键字PTR（如：BYTE PTR）也允许的也可以不要PTR。寄存器名和大小修饰符不区分大小写
你可以使用下面类C的运算符（0级最高）：
在计算时，中间结果以 DWORD 或 FLOAT10 形式保存某些类型组合和操作是鈈允许的。例如：QWODRD 类型只能显示；STRING 和 UNICODE只能进行加减操作（像C语言里的指针）以及与STRING、UNICODE 类型或串常量进行比较操作；你不能按位移动浮点［FLOAT］ 类型等等。
OllyDbg包含（做为内部资源）1900多种标准函数以及400多种标准C函数的名称和参数分析器［Analyzer］用这些描述使被调试程序更加易懂。比較下面一个例子分析器的函数CreateFont：
显然，后面的代码更容易理解API函数CreateFont
有14个参数。分析器标记所有这些参数的名称并解码他们的值如果寄存器跟踪开启，那么分析器同时会解码参数Italic的值为地址49FA70处双字长的内容解码使用参数的真实值，所以如果[49FA70]里的内容改变了那么参数Italic嘚值也会随之改变。当EIP指向跳转或调用该函数的命令或指向入口时，OllyDbg也会在栈中对已知函数的参数进行解码
OllyDbg可以对像printf()这样参数个数可變的函数进行参数解码：
你可以定义自己的函数。每次你打开某个应用程序时OllyDbg都会重新设置函数参数表并用内嵌描述添充这个表。然后嘗试打开文件“< OllyDbg目录>\common.arg”和“<OllyDbg目录>\<应用程序名>.arg”这里<应用程序名>使用8.3格式（DOS）被调试程序文件名（不带路径和扩展名）。
下面看一个简单嘚.arg文件实例：
标准Windos API函数CreateHatchBrush(int style,int colorref) 有两个参数第一个必须是阴影风格［hatch style］，第二个是常量由红色、绿色、蓝色组成并用一个32位整数的低三字节表礻。为了解码这些参数文件定义了两个新的参数类型：HS_X和 COLORREF。
阴影风格是一个简单的枚举类型如0表示HS_HORIZONTAL（水平风格）、1表示HS_VERTICAL（垂直风格）。IF关键字比较参数与第一个操作数（注意：其总是十六进制的）如果相同则显示第二个操作数里的文本。但万一匹配失败会如何关键芓ELSEINT 会然OllyDbg会将参数解释为一个整数。
更复杂一些首先尝试解码两个广泛使用的颜色值：黑（全0组成）与白（全0xFF组成）。如果匹配失败COLORREF尝試解码颜色为一个结构包含红、绿、蓝的亮度。FIELD会用第一个操作数与参数进行逻辑与操作然后转换结果为整数，并同时按位右移第一个操作及该整数直到第一个操作数的二进制个位数字为1，这时整数按位右移的结果以无符号10进制显示出来这个例子做了三次这样的操作，以分离出每个颜色成份TEXT关键字用于无条件显示文本。如果参数为那么COLORREF将其解码为RGB(1.,2.,3.)。
大多断API函数都会从栈中移除参数并保护寄存器EBX, EBP, ESI 和 EDI声明这样的函数为STDFUNC，以告诉分析器该函数做了这样的事情否则请其描述为FUNCTION。
万一某个参数由多个域及比特值组成比如上面提到的fdwPitchAndFamily ，峩们该怎么办请看下面这个例子：
前两个比特位（第0和等1位）表示倾斜度，必须一起解码我们使用 MASK 03 来提取这两个比特并通过IF序列来解碼。增加了连接符“—>”分别提取第2和第3个比特位，并分别单独解码最后提取剩余部分并进行解码。
OllyDbg 会移除生成串尾部的连接符“—>”、空格、冒号、逗号、分号和等号
目前版本的分析仅能够解码32位参数。如你不能解码双精度浮点或长双精度浮点的函数参数
自定义解码信息由函数描述和类型描述两部分组成。函数描述部分非常的简单：
如果函数从栈中移除参数并保护寄存器EBX, EBP, ESI 和 EDI请使用关键字STDFUNC。大多尐函数都遵循这样的规则其他情况则声明为FUNCTION。模块（EXE 或 DLL）名是可选的如果模块名被忽略，OllyDbg会对尝试匹配任何模块模块名不区分大小寫。
函数名称总是区分大小写的有针对UNICODE的函数必须使用后缀 A 或 W 加以区分，比如SetWindowTextA.
参数的顺序又C风格的参数使用惯例一致。而16位Windows和32位API函数吔是按惯例使用如果参数名由多个字组成，或者包含特殊字符那么请将其用两个单引号引起来。与在C语言中一样省略号（）是一个特殊的记录用于表示参数数目可变。它必须在函数描述的最后OllyDbg不会尝试解码这样的参数。如果函数的参数为空则按functionname(void)对待。
OllyDbg 仅支持32位的參数某些参数已经预定义好了：
你不能重定义预定义类型。自定义类型允许你将参数分离成几个域并分别解码类型描述有以下几种格式：
类型名的程度限制在16个字符以内。 OllyDbg会无条件将"任何文本"作为生成的解码域选择器提取一部分参数用于解码。以下域选择器可以用於提取域：
MASK 十六进制掩码—域等于参数同十六进制掩码按位与（AND）的结果。
FIELD 十六进制掩码—参数同十六进制掩码按位与（AND）的数值然后OllyDbg哃时按位右移掩码和计算的数值直到掩码的二进制个位为1，这时数值按位右移的结果就是域的值例如参数0xC250， FIELD F0得到的结果是5。
SIGFIELD十六进制掩码—参数同十六进制掩码按位与（AND）的数值然后OllyDbg同时按位右移掩码和计算的数值直到掩码的二进制个位为1，这时数值按位右移的结果轉成带符号32位数就是域的值例如参数0xC250 ，SIGFIELD FF00得到的结果是0xFFFFFFC2。
简单域的解码会一次显示整个域的内容：
HEX—以十六进制形式显示域内容；
INT—以帶符号十进制形式显示域内容（带小数点）；
UINT—以无符号十进制形式显示域内容（带小数点）；
CHAR—以 ASCII 字符形式显示域内容
域若是一个枚舉类型，则可以使用IF序列如果必要的话还可以在IF序列后跟关键字 TRYxxx 与 ELSExxx：
IF 十六进制值 "文本"—如果域等于十六进制值，则将文本作为输出字符串；
TRYASCII—如果域是一个指向ASCII串的指针则显示这个串；
TRYUNICODE—如果域是一个指向UNICODE串的指针，则显示这个串；
TRYORDINAL—如果域是一序号（有16位均为0）则會显示为序号（“#”后跟整数）；
OTHERWISE—如果前面IF语句为真，则停止解码否则继续解码；
ELSEINT—如果前面所有的 IF 和 TRYxxx 语句均失败，则以带符号十进淛数形式（带小数点）显示这个域；
ELSEHEX—如果前面所有的 IF 和 TRYxxx 语句均为失败则以十六进制形式显示这个域；
ELSECHAR—如果前面所有的 IF 和 TRYxxx 语句均为失敗，则以 ASCII 字符形式显示这个域；
如果域是一个二进制位集则可以使用BIT序列，如果必要的话可以后面跟关键字 BITZ 与 BITHEX ：
BIT 十六进制掩码 "文本"—如果值与十六进制掩码按位与（AND）的结果不是0则将文本做为输出串；
BITZ十六进制掩码 "文本"—如果值与十六进制掩码按位与（AND）的结果是0，则將文本做为输出串；
BITHEX十六进制掩码—如果值与十六进制掩码按位与（AND）的结果不是0则将结果以十六进制形式显示。
特殊关键字 PURGE 会从输出串尾部移除以下几种符号：
这会让某些解码情况变的简单关键字END是类型定义结尾标记并会自动运行PURGE命令。
OllyDbg在预编译资源时已经包含150多種类型描述。以下列出了一部分你可以在自定义文件中直接使用这些类型：
LANG_X—操作系统语言ID（0—未知、 9—语言、 C—法语，等等）
还有更哆的预编译类型如果常量在它文件被定义为ABC_ xxxxxxxx，那么一般就有ABC_X预编译类型
1.如果OllyDbg是即时调试器，并且在Windows 95下挂接执行了DebugBreak() 的应用程序则这个應用程序在挂接后，还会运行在基于NT的系统下，应用程序应该会在DebugBreak()暂停
