ollydbg(ollydbg下载)

一、一些基本概念比特(bit)：二进制的一位字节(byte)：8比特的数据字(word)：2个字节长度二、8086的寄存器

寄存器是CPU内部高速存取数据的地方，比缓存更接近CPU的运算器。8086是16位cpu（字长16位）：

其CPU一次最多可处理16位数据寄存器最大宽度位16位寄存器与PU之间的通路位16位。地址20位，最大可寻址220=1MB2^{20}=1MB220=1MB 内存空间。

这些寄存器分三种：

通用寄存器：AX BX CX DX，每个寄存器又可以分为AH AL高8位和低8位分别使用。段寄存器：CS DS SS ES标志寄存器1. 通用寄存器

8086有14个寄存器：AX BX CX DX SI DI SP BP IP CS SS DS ES PSW。

2. 段寄存器CS：代码寄存器IP：指令指针寄存器

CPU读取指令的寻址=CS*16+IP，即从CS:IP处执行指令。读取指令后，IP值会自动增加指向下一条指令。

DS：存放数据的段地址。注意8086不支持对段寄存器直接赋值，需要用另一个通用寄存器赋值给它。SS：存放栈顶的段地址SP：栈顶的偏移地址。SS:SP指向栈顶元素。 8086入栈时从高地址向低地址增长，出栈后，SS:SP指向新的栈顶。

一段内存是放代码、数据还是栈，取决非于这几个段寄存器的设置。

3. 标志寄存器PSWOF：有符号数运算溢出标志DF：在串处理指令中，控制每次操作后si、di的增减。df=0每次操作后递增，df=1每次操作后递减。SF：相关指令执行后，其结果是否为负。为负则sf=1；否则sf=0。ZF：相关指令执行后，其结果是否为0。为0则zf=1；否则zf=0。PF：相关指令执行后，其结果的所有bit位中1的个数是否为偶数。为偶数则pf=1；否则pf=0。CF：在无符号数运算时，运算结果的最高有效位是否向更高位进位或从更高位借位。是则cf=1；否则cf=0。三、常用的汇编指令四、一些汇编伪指令

汇编指令是CPU认识的对应2进制的指令，而伪指令是给编译器看的。

1. 段定义 gment

段名 gment...段名 ends1232. 汇编结束

end13. 假设 assume

assume cs:codesg ; 假设代码寄存器和下面定义的codesg相关联codesg gment...codesg endnd4. 寻址方式()表示一个寄存器或者一个内存单元中的内容。EA表示偏移地址。SA表示段地址。idata表示常量。五、使用DosBox和Debug工具

64位操作系统无法直接使用Debug.exe工具了，需要安装一个DosBox，然后进行下面操作：

挂载本地磁盘，命令mount c: 本地文件夹把debug.exe masm.exe和要调试的程序放到本地文件夹然后就可以使用debug命令了。

常用的debug命令：

R ：查看更改cpu寄存器内容D：查看内存中内容E：改写内存中内容U：将内存中机器指令翻译成汇编指令T：执行一条机器指令A：以汇编格式在内存中写入一条指令一段代码示例(1) 新建一个1.asm文件：

code gmentassume cs:codes:mov ax,0025h mov cl,2 shl ax,cl mov ax,4ch int 21hcode endnd s(2) 启动DosBox挂载本地磁盘

mount c: d:/Documents/asm(3) 编译

# 提示输入内容可以一直回车c:masm 1.asm link 1.obj

这时生成1.exe

(4) debug加载

c:debug 1.exe(5) 使用指令查看

u六、使用OllyDbg反汇编和跟踪程序

OllyDbg通常称作OD，是反汇编工作的常用工具。下载地址：www.ollydbg.de

启动后，可以加载上篇编译的Hello.exe程序：

可以看出编译器编译、链接后的代码与手写的汇编代码还是存在很大的差异。

这里可以设置断点、跟踪程序，右侧还有一些寄存器的值可以查看。