od笔记

od调试快捷键

alt+F9，在动态链接库无法断下时，用此键返回程序时断下。
alt+B，断点编辑器
ctrl+N,打开应用程序的导入表（输入表）
ctrl+F8，自动单步步过
Enter，查看被调函数内容
- ，返回上一级，+返回下一级

od出现假死现象：用od调试一些加壳程序， 程序跑到断点（包括硬件断点）时，od会出现假死现象。解决方法是打开配置文件ollydbg.ini，如果“Restore windows”是一个很大的值，现在只需要设“Restore window=0”即可

调试方式之：
1、
查找->所有模块间调用->输入要查找的api->右键 在每个调用到的xxxxx上设置断点
2、
ctrl+N -> 输入要查找 的api -> 右键 在每个参考上设置断点

EAX——– 扩展累加寄存器
EBX——–扩展基址寄存器
ECX——–扩展计数寄存器
EDX——–扩展数据寄存器
ESI ——–扩展来源寄存器
EDI ——–扩展目标寄存器
EBP——–扩展基址指针寄存器
ESP——–扩展堆栈指针寄存器
EIP——–扩展指令指针寄存器

以下3个寄存器有特殊的性质不可随意使用，其它均可随意用。
EBP：主要是用于栈和栈帧
ESP：指向当前进程的栈空间地址
EIP：总是指向下一条要被执行的指令

为啥要找 “ call “.
call XXX；等于 push eip； 然后 jmp XXX；
call有以下几种方式：
——-call 404000h；直接跳到函数或过程的地址
——-call eax ；函数或过程地址存放在eax
——-call dword ptr