Ollydbg的條件

Question

我需要Ollydbg的暫停時，寄存器中包含特定字符串。任何方式，我可以做到這一點？

Answer 1

我不清楚地瞭解你。你完全無法在一個寄存器中加載字符串:)你可以在加載數據上設置一個斷點。例如 - >你的價值「祝你有美好的一天！」，在這個地址上設置一個BP。每當裝入字符串時，Olly都會中斷。否則我無法理解你的問題。

但仍然在這裏一點點的教程。

首先我裝我的PE文件，並發現了一個字符串「GAMMA」它的配置創建PROGRAMM的onlinegame。

http://img7.imagebanana.com/img/hu6kg56k/findstr.png

現在，讓我們發現它在轉儲。雙擊參考文獻中的「GAMMA」，現在我們就是disasm窗口，雙擊PUSH或在轉儲部分中執行並轉到字符串表達式。選擇你的字符串並設置一個像下面這樣的硬件。

http://img7.imagebanana.com/img/pejyx72i/bp.png

按下F9鍵或在奧利頂部的播放按鈕，我們打破在那裏我們的串裝在第一點。當然，如果你想找到一個特定的地方，你必須邁出一步，直到你找到你的觀點。

http://img6.imagebanana.com/img/f7w15fr6/hwbp1.png

編輯：

您可以跟蹤代碼F7，看的時候串從棧調用。

Answer 2

您使用的是什麼版本的OllyDbg？
你有沒有試過版本2.0？它有一些條件檢查可以幫助你（儘管我不確定OllyDbg是否可以觀看特定的註冊表）。

Trace -> Set condition...

Answer 3

嘗試OllyStepNSearch
它給你一個簡單的方法，使調試停止時，寄存器中的一個具有特定的字符串

Answer 4

右擊你的密碼，然後選擇

搜索>所有intermodular調用

找的RegQueryValueEx或RegCreateKeyEx功能。他們在ADVAPI32.DLL

你應該知道哪些參數設置字符串寫入。

看這裏：https://msdn.microsoft.com/en-us/library/windows/desktop/ms724875%28v=vs.85%29.aspx