吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 26881|回复: 158
上一主题 下一主题
收起左侧

[原创] x64dbg使用技巧与实用插件合集

    [复制链接]
跳转到指定楼层
楼主
dadapa 发表于 2021-3-16 13:57 回帖奖励

本文是针对刚开始接触X64dbg的新人写的实用技巧和插件合集

前言

萌新一个,接触逆向时间不长,但因为很喜欢x64dbg这款调试器,所以花了一些时间去了解,x64dbg的这类帖子相对较少,本贴的初衷是希望其他新人在学习的时候可以多一些参考,少一些时间精力的浪费。希望大家为我的帖子指正错误和做补充。

以下均基于Mar 12 2021版本x64dbg官方版本,可到官方网站直接下载

官方网站:https://x64dbg.com/

第一次运行

双击x96dbg,出现三个弹窗,会生成x96dbg.ini文件。当你需要把整个程序文件夹移动到其他路径时,最好把这个ini删除,重新双击让它再生成。当你需要把它加到发送到菜单中的时候,也推荐添加x96dbg,它会自动选择用x32还是x64dbg打开。

你需要做些什么设置

外观

  • 字体大小调整    选项——外观——字体——最右边那个数字(图右)(我个人用12)
  • 主题选择            选项——主题——选择你喜欢的(图左),也可以在Github搜索x64dbg theme,或者百度搜索x64dbg 配色,使用别人的配色方案文件

选项设置

  • 事件   

    推荐萌新只勾选入口断点(这样相当于OD设置为 第一次暂停于主模块入口点)

  • 引擎   

    保持默认即可,需要特别说明的是禁用数据压缩将数据保存于应用程序目录,所指的数据是指调试相关数据,默认保存在调试器db文件夹下。调试引擎选项里的GleeBug,据作者以前博客内容说是跟踪速度会比默认的Titan快很多,但我试了没什么感觉。

  • 异常

    保持默认

  • 反汇编

    仅在CIP处显示自动注释——勾选之后界面会更整洁,该有的自动注释也还是有的,自行体验取舍

    模块名最长长度——默认-1不限制,如果遇到比较长的文件名,调试起来界面观感会比较差(图左),OD的限制长度为8,自行取舍。

    值前加0x前缀——x64dbg里默认以16进制显示数值(不显示0x),如果你需要表示十进制,可以在前面加点,汇编里输入加点10进制需要设置XEDparse引擎(图右)。

  • 图形界面

    其他选项根据个人需要调整,一般保持默认,特别说明一项

    图形缩放模式——这里指的是x64dbg流程图功能 是否支持缩放,勾选后流程图操作体验会稍微接近IDA。流程图功能会在后面提到

  • 杂项

    其他选项根据个人需要调整,一般保持默认

    可以将搜索引擎改为百度:https://www.baidu.com/s?wd=@topic    遇到不认识的函数选中,右键,符号名称帮助,直接进行查询。

使用技巧篇

  • 收藏夹参数

    这里直接贴上官方文档对于收藏夹的使用说明:

    如果你在工具的命令行添加 %PID%,它将被调试对象(如果不进行调试或0)的(十进制) PID 替换。

    如果你添加%DEBUGGEE%,则它将添加调试对象(不带引号)的完整的路径。

    如果你添加 %MODULE%,则将添加在当前反汇编中模块(不带引号)的完整路径。

    如果你添加 %-????-%,则它将执行无论你放在何处的 ????字符串格式。示例:%-{cip}-%将会用 cip 的十六进制值替换。

    所以你可以这样 "C:\Tools\DIE\die.exe" %DEBUGGEE%  添加你常用的工具(记得路径加双引号),然后把收藏夹——收藏工具箱选上。点击Die图标,将会启动并且分析当前在调试的模块。这样的方法好过安装什么PE查看器插件,让专业的工具做专业的事

  • 流程图

    在反汇编窗口按下G键切换到流程图,再按G回来。建议配合图形缩放模式设置,可以用Ctrl+滚轮进行缩放。

    右键点击脱离后,可以与反汇编窗口同时使用,让我想起ret-sync那个插件,后面插件篇再说(我一般还是用IDA,但万一有人喜欢这种呢)

  • Ctrl+G 跳转到

    可以直接输入API,会自动补全。默认是输入VA,如果要输入RVA需要这样: :$RVA

    例: :$0  跳到基址处

    如果需要输入FOA可以这样:  :#FOA   或者按下Ctrl+Shift+G 再输入FOA

  • 按H键进入高亮模式

    此时单击需要高亮显示的内容即可高亮显示,再次按下H,点击空白处可以取消。(也可以设置一直启用高亮,但有误点的问题)

  • 数据库

    (或者是Database)

    遇到过几次x64dbg数据丢失,写了很多注释就没了,这种情况千万不要慌张,因为你每次关闭x64dbg自动保存的时候,都会把上次的数据文件做备份(.bak),这时候可以试着点击还原备份数据库

  • x64dbg计算器

    个人觉得比系统自带计算器好用,可以一边调试一边计算(非模态+置顶),不用切来切去,支持x64dbg的各种表达式

  • 右键——显示指令提示

    会显示汇编指令对应的解释,对于初学者很有帮助,有一个王苏汉化的版本,是将这些帮助文本也完全汉化了的。(自行搜索)

  • 文件——改变命令行

    可以支持带参数调试

  • 复制各种格式的数据

    选中你要的部分——右键二进制——编辑——复制数据

  • 少数情况下64位系统使用x64dbg调试32位程序界面卡顿问题

    这个问题很玄学,我遇到了,搜了网上也有一个朋友遇到过,我身边的同学也有极少数遇到的,这里给出解决方法。

    x32dbg.exe——右键属性——兼容性——调成Windows 7   (那个遇到同样问题的博主是这么解决的)

    但是我这么设置后还是卡顿,后来装了个叫xAnalyzer的插件,又恢复了。(我的情况是这个插件和兼容性设置缺一不可,不然就会卡顿,非常奇葩,重装了系统还是一样,在此做个记录,防止有人再遇到)

  • ESP硬件断点

    寄存器窗口空白处右键

  • 自动跟踪

    简单说一下使用方法,因为我的了解也不是很深

    右键——追踪记录——启动运行跟踪——点击菜单栏 跟踪(N)——步进\步过直到条件满足

    在暂停条件或者命令里类似这样设置:eip==地址

    接着就可以在跟踪窗口查看跟踪结果了。

  • 切换XX

    切换断点、切换书签,这类命名在最初给我带来了一些困扰和误解,后来发现切换的意思就是 设置/取消设置。点一下是设置,再点一下就取消设置,所以命名为切换。

    这里顺带一说,x64dbg的搜索结果,内存窗口,跟踪结果,几乎所有带地址的地方,都是支持直接F2设置断点的,各位可以多加利用提高效率。

插件推荐篇

以下主要详细介绍我平时常用的插件,建议大家按照需求来安装(插件放在release\x32或者x64\plugins目录下,以.dp32或.dp64结尾)

Scylla(脱壳与导入表修复)

  • 自带的插件,个人觉得比OD+ImpREC更方便快捷

    常见的脱壳流程:x64dbg停在需要脱壳的地址上,点击Scylla的图标启动,会自动为你设定IAT info里的OEP为当前地址,点击dump。

    修复导入表:点击IAT Autosearch,有可能提示:高级搜索结果和普通搜索结果不同,是否使用高级搜索结果。一般都选是,接着点Get Imports,自动获取需要修复的函数。我遇到过高级搜索反而搜不到的情况,这时候可以试试点否之后再点Get Imports。确认结果无误后点Fix Dump,选中刚才Dump出的文件,会生成SCY结尾的文件。

    xAnalyzer(代码分析辅助)

    https://github.com/ThunderCls/xAnalyzer

    该插件对调试程序的API函数调用进行检测,自动添加函数定义,参数和数据类型以及其他补充信息,安装以后可以让x64dbg与OllyDbg的使用体验更接近。

    效果如图,可以在插件菜单里把自动分析(Automatic Analysis)打开。我个人不喜欢插件自动添加很多注释,会让页面看起来很乱,所以一般在需要分析的时候通过右键菜单来让它分析当前函数。

SwissArmyKnife(导入Map文件)

https://github.com/Nukem9/SwissArmyKnife

没什么好解释的,分析C程序的时候用IDA生成MAP文件,然后用这个插件加载。分析delphin程序推荐用Interactive Delphi Reconstructor先分析,再生成MAP文件用,还有其他程序也同样。MAP文件可以让你的分析进度大大加快,减少分析一些已知的库函数。

x64dbg_tol(中文搜索支持)

https://bbs.pediy.com/thread-261942-1.htm

必装插件,虽然官方在某个版本开始改善了对中文的支持,但他们在博客上也说了,可能会不全,建议自行安装插件。我自己测试了,嗯,他们说的没错。装了这个插件就能搜到之前搜不到的中文字符串了。

ScyllaHide(反反调试)

https://github.com/x64dbg/ScyllaHide

x64dbg官方开发的开源反反调试插件,同类插件也有好几个,但官方的用得人比较多且更新快,所以这边推荐官方的插件。使用方法也很简单,插件菜单——Options——Loaded里可以选择自带的绕过方案(过一般的反调试可以用Basic甚至直接用自带的 调试——高级——隐藏调试器)

试了下VM3.x的反调试可以用自带的VM方案直接过掉(反而OD的StrongOD插件不行)

Ret-Sync (IDA x64dbg\OD 同步调试插件)

https://github.com/bootleg/ret-sync

https://bbs.pediy.com/thread-252634.htm

可以让IDA和x64dbg\OD\windbg进行同步调试,支持在IDA中直接进行单步、下断点、运行等操作,x64dbg将会与IDA保持同步,提高你调试效率的神器,关于安装、使用说明可以参考官方github说明(更详细)和看雪的帖子。

这里要特别提一点,如果你需要在虚拟机里用x64dbg,实体机里用IDA,需要创建两个.sync文件,内容都为

[INTERFACE]
host=192.168.128.1(实体机IP)
port=9234(端口)

一个在装了IDA的机器上,放在你需要调试的程序目录下(跟IDA生成的IDB文件放一起)

一个放在安装了动态调试器的机器上,用户文件夹根目录(C:\Users\你的用户名)

这样就可以实现虚拟机和实体机同步调试了

E-ApiBreak(常用断点设置)

https://www.52pojie.cn/forum.php?mod=viewthread&tid=1384349

OD上常用的一个工具,现在x64dbg也有了。简单易用,不多说明。

E-Debug(分析易语言程序必备)

https://www.52pojie.cn/forum.php?mod=viewthread&tid=1374290

原作者githubhttps://github.com/fjqisba/E-debug-plus

最开始我在OD上用这个插件,可以让分析易语言的效率倍增。最近发现有人移植到x64dbg了,在此推荐一波,打开后会自动识别易语言库函数并且注释。

HotSpots(用来寻找事件断点)

https://github.com/ThunderCls/xHotSpots

下拉框选择对应语言,按下按钮可以在按钮事件处理函数 下断点。

  • 漏洞利用

    最后对于研究漏洞利用的同学(因为我们最近也刚开始学),我发现两个好用的插件:

    ERC.Xdbg(二进制漏洞挖掘辅助,帮你找溢出点之类的)

    https://github.com/Andy53/ERC.Xdbg  (官方提供五篇教学文档,关于插件的实战,非常详细)

    checksec (检测各个模块的各种安全措施状态)

    https://github.com/klks/checksec

    以上就是一些适合萌新的实用插件推荐,其他还有一些没提到的好用的插件,各位可以在底下补充。当然随着你的学习,后面也会需要用到其他类型的插件,甚至自己写插件。可以到官方的插件页面逛逛(http://plugins.x64dbg.com/),翻翻官方的手册

x64dbg插件.7z (2.07 MB, 下载次数: 4316)


我把个人觉得必备的几个插件打包了,下载覆盖相应文件夹即可。(xAnalyzer,SwissArmyKnife,x64dbg_tol,ScyllaHide,BaymaxTools,xHotSpots)其他插件如果需要自行下载即可

免费评分

参与人数 30吾爱币 +41 热心值 +30 收起 理由
老鱼干 + 1 我很赞同!
hwt1995511 + 1 + 1 谢谢@Thanks!
wdfdiablo + 1 + 1 我很赞同!
dbgcode + 1 + 1 用心讨论,共获提升!
bullshit + 1 + 1 谢谢@Thanks!
TYFLWAPJ + 2 + 1 用心讨论,共获提升!
weakptr + 1 + 1 谢谢@Thanks!
zhangbaida + 3 + 1 用心讨论,共获提升!
Eros + 1 + 1 我很赞同!
♂成成の + 1 + 1 用心讨论,共获提升!
snzyj + 2 + 1 用心讨论,共获提升!
carrot2017 + 1 热心回复!
yuan71058 + 1 + 1 谢谢@Thanks!
Link_Stark + 2 + 1 我知道为什么会有:少数情况下64位系统使用x64dbg调试32位程序界面卡顿问题.
qidanei624 + 1 + 1 谢谢@Thanks!
跃龙门 + 1 + 1 谢谢@Thanks!
Emil + 3 + 1 非常好用,一下子就喜欢上x64dbg了~
loocall + 1 + 1 谢谢@Thanks!
公主月月 + 1 + 1 我很赞同!
xiaohf + 1 + 1 谢谢@Thanks!
Hmily + 7 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
dogbutcat + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
赤小瞳 + 1 + 1 用心讨论,共获提升!
执笔写墨白 + 1 + 1 谢谢@Thanks!
peakranger + 1 + 1 用心讨论,共获提升!
园川桃香 + 1 + 1 谢谢@Thanks!
bailemenmlbj + 1 + 1 谢谢@Thanks!
asdfghjk_0001 + 1 + 1 谢谢@Thanks!
孤客浮舟 + 1 + 1 用心讨论,共获提升!
木水车 + 1 + 1 谢谢@Thanks!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

推荐
就是随便看看 发表于 2021-5-19 15:58
本帖最后由 就是随便看看 于 2021-5-19 16:10 编辑
dadapa 发表于 2021-5-19 08:07
首先用52论坛网盘里提供的那个7.5,记得绿化,然后安装Python3,记得添加环境变量。记得防火墙里加用的那 ...

还是不行
安装的是这个版本 Windows x86-64 executable installer  3.8.5
程序安装的时候有添加到路径的选项,我勾选了
端口的添加参照的下面链接
https://jingyan.baidu.com/article/624e74590da64d34e8ba5aa0.html

[Python] 纯文本查看 复制代码
[INTERFACE]
host=192.168.128.1(实体机IP)
port=9234(端口)


之前安装过其他版本的Python

图像 003.jpg (15.94 KB, 下载次数: 0)

图像 003.jpg

图像 003.jpg (13.74 KB, 下载次数: 0)

图像 003.jpg

图像 000.jpg (33.17 KB, 下载次数: 0)

图像 000.jpg

图像 002.jpg (52.38 KB, 下载次数: 0)

图像 002.jpg

图像 001.jpg (31.94 KB, 下载次数: 0)

图像 001.jpg

图像 001.jpg (32.02 KB, 下载次数: 1)

图像 001.jpg

图像 001.jpg (12.42 KB, 下载次数: 0)

路径勾选的示意图

路径勾选的示意图
推荐
就是随便看看 发表于 2021-5-18 20:46
dadapa 发表于 2021-3-25 08:25
我们老师是建议我们用x64dbg,因为开源,更新快。

楼主,Ret-Sync (IDA x64dbg\OD 同步调试插件)
插件ida报错怎么解决?IDA7.0   IDA7.5   IDA7.2都是这个问题
[sync] default idb name: CM.exe
[sync] sync enabled
[sync] cmdline: "C:\Python27\python.exe" -u "D:\IDA7.0\plugins\retsync\broker.py" --idb "CM.exe"
[sync] module base 0x400000
[sync] hexrays #7.0.0.170914 found
[sync] hexrays version >= 7.2 is needed
[sync] broker started
[sync] plugin loaded
[sync] broker finished
[sync] idb is disabled
沙发
lock6969 发表于 2021-3-17 09:46
3#
木水车 发表于 2021-3-17 10:02
谢谢楼主分享,支持,学习。
4#
孤客浮舟 发表于 2021-3-17 10:25
可以可以
5#
sghh611 发表于 2021-3-17 10:28
谢谢楼主分享,支持,学习。
6#
hyasp 发表于 2021-3-17 17:11
谢谢分享 十分有用
7#
winddyj 发表于 2021-3-17 19:50
不错不错,收藏了,自己去gibhub下载太麻烦
8#
jackiehappy 发表于 2021-3-21 12:35
收藏了,感谢楼主分享~
9#
你猫临死前 发表于 2021-3-21 22:36
强.终于看到x64dbg比较好的帖子
10#
你猫临死前 发表于 2021-3-22 00:27
想要楼主的配色~~
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-28 22:42

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表