OllyDbg完全教程 外掛程式［Plugins］

外掛程式［Plugins］

外掛程式是一個DLL，存放在OllyDbg的目錄中，用於增加 OllyDbg 的功能。您可以從 OllyDbg 的首頁上（http://home.t-online.de/home/Ollydbg）免費下載外掛程式開發套件
plug110.zip。

外掛程式可以設定斷點，增加標籤和注釋，修改寄存器和記憶體。外掛程式可以添加到主菜單和很多的視窗（比如反組譯碼視窗、記憶體視窗）的捷徑功能表中，也可以攔截快速鍵。外掛程式還可以建立MDI（多重文件介面）視窗。外掛程式還可以根據模組資訊和OllyDbg.ini檔案，將自己資料寫到.udd檔案中；並能讀取描述被偵錯工具的各種資料結構。外掛程式API包含了多達170
個函數。

許多第三方外掛程式都可以從Internet網上獲得，比如由網友TBD建立並維護的OllyDbg的論壇（http://ollydbg.win32asmcommunity.net）。

安裝外掛程式的方法：將DLL複製到外掛程式目錄［plugin directory］中，然後重新啟動Ollydbg。預設情況下，這個外掛程式目錄為ollydbg.exe檔案所在的目錄。

現在的版本中已經包含了兩個“原始”外掛程式： 書籤［Bookmark］ and 命令列［Command line］. 他們的原始碼都儲存在plug110.zip.檔案中。這些外掛程式都是免費的，您可以任意修改或使用它們。

技巧提示［Tips and tricks］

?OllyDbg 可以作為二進位編輯器使用。選擇視圖［View］→檔案［File］並選定需要查看的檔案。檔案不能大於剩餘記憶體數量。

?假使您修改了記憶體中的執行檔案，這時您想恢複修改的部分，但是您忘記哪裡被修改了，您可以把原始檔案當作備份進行載入，這樣您就可以找到修改的部分了。

分析前，先掃描 OBJ 檔案。這時 OllyDbg 會對已知 C 函數的參數進行解碼。

一些表格中包含了隱藏資料。可以通過增加列寬來顯示出來。

所有資料視窗（包括反組譯碼視窗），可以通過雙擊顯示相對的地址。

您可以通過 Ctrl +↑ 或 Ctrl+↓ 對資料視窗翻動一個位元組。

調試獨立的DLL［Debugging of stand-alone DLLs］

開啟DLL，也可以直接將其從資源管理員拖放到 OllyDbg 上。OllyDbg 會詢問您並將該檔案的全路徑作為參數傳遞給loaddll.exe.。然後連結庫被載入並停在代碼的入口（
<DllEntryPoint>）。您可以設定斷點，運行或跟蹤啟動代碼，等等。在初始化完成後，應該程式會再次暫停。這次停在標籤名為 Firstbp 的位置，其在立即進入主訊息迴圈之前。

現在，您可以調用DLL函數。從主菜單選擇“調試［Debug］|調用DLL輸出［Call DLL export］”。這時會彈出一個對話方塊。由於這個對話方塊是無強制回應對話方塊，因此您仍然能夠使用OllyDbg的全部功能，比如查看代碼、資料，查看斷點，修改記憶體等等。
選擇您想調用的函數。例如我們將開始使用 USER32.DLL 裡的MessageBox 函數。注意loaddll.exe 已經使用了這個連結庫，因此會假定這個 DLL 已經初始化而不再調用入口。MessageBox 這個函數名是通用函數名，實事上，這個函數有處理 ASCII 的 MessageBoxA 和處理 Unicode 的MessageBoxW 兩種。我們繼續往下看：