首页
社区
课程
招聘
67
[原创]x64dbg使用技巧与实用插件合集
发表于: 2021-3-16 13:22 66049

[原创]x64dbg使用技巧与实用插件合集

2021-3-16 13:22
66049

本文是针对刚开始接触X64dbg的新人写的实用技巧和插件合集

前言

萌新一个,接触逆向时间不长,但因为很喜欢x64dbg这款调试器,所以花了一些时间去了解,x64dbg的这类帖子相对较少,本贴的初衷是希望其他新人在学习的时候可以多一些参考,少一些时间精力的浪费。希望大家为我的帖子指正错误和做补充。

 

以下均基于Mar 12 2021版本x64dbg官方版本,可到官方网站直接下载

 

官方网站:https://x64dbg.com/

第一次运行

双击x96dbg,出现三个弹窗,会生成x96dbg.ini文件。当你需要把整个程序文件夹移动到其他路径时,最好把这个ini删除,重新双击让它再生成。当你需要把它加到发送到菜单中的时候,也推荐添加x96dbg,它会自动选择用x32还是x64dbg打开。

 

你需要做些什么设置

外观

  • 字体大小调整 选项——外观——字体——最右边那个数字(图右)(我个人用12)
  • 主题选择 选项——主题——选择你喜欢的(图左),也可以在Github搜索x64dbg theme,或者百度搜索x64dbg 配色,使用别人的配色方案文件

选项设置

  • 事件

    推荐萌新只勾选入口断点(这样相当于OD设置为 第一次暂停于主模块入口点)

  • 引擎

    保持默认即可,需要特别说明的是禁用数据压缩将数据保存于应用程序目录,所指的数据是指调试相关数据,默认保存在调试器db文件夹下。调试引擎选项里的GleeBug,据作者以前博客内容说是跟踪速度会比默认的Titan快很多,但我试了没什么感觉。

  • 异常

    保持默认

  • 反汇编

    仅在CIP处显示自动注释——勾选之后界面会更整洁,该有的自动注释也还是有的,自行体验取舍

    模块名最长长度——默认-1不限制,如果遇到比较长的文件名,调试起来界面观感会比较差(图左),OD的限制长度为8,自行取舍。

    值前加0x前缀——x64dbg里默认以16进制显示数值(不显示0x),如果你需要表示十进制,可以在前面加点,汇编里输入加点10进制需要设置XEDparse引擎(图右)。

  • 图形界面

    其他选项根据个人需要调整,一般保持默认,特别说明一项

    图形缩放模式——这里指的是x64dbg流程图功能 是否支持缩放,勾选后流程图操作体验会稍微接近IDA。流程图功能会在后面提到

  • 杂项

    其他选项根据个人需要调整,一般保持默认

    可以将搜索引擎改为百度:https://www.baidu.com/s?wd=@topic 遇到不认识的函数选中,右键,符号名称帮助,直接进行查询。

使用技巧篇

  • 收藏夹参数

    这里直接贴上官方文档对于收藏夹的使用说明:

    如果你在工具的命令行添加 %PID%,它将被调试对象(如果不进行调试或0)的(十进制) PID 替换。

    如果你添加%DEBUGGEE%,则它将添加调试对象(不带引号)的完整的路径。

    如果你添加 %MODULE%,则将添加在当前反汇编中模块(不带引号)的完整路径。

    如果你添加 %-????-%,则它将执行无论你放在何处的 ????字符串格式。示例:%-{cip}-%将会用 cip 的十六进制值替换。

所以你可以这样 "C:\Tools\DIE\die.exe" %DEBUGGEE% 添加你常用的工具(记得路径加双引号),然后把收藏夹——收藏工具箱选上。点击Die图标,将会启动并且分析当前在调试的模块。这样的方法好过安装什么PE查看器插件,让专业的工具做专业的事

 

  • 流程图

    在反汇编窗口按下G键切换到流程图,再按G回来。建议配合图形缩放模式设置,可以用Ctrl+滚轮进行缩放。

    右键点击脱离后,可以与反汇编窗口同时使用,让我想起ret-sync那个插件,后面插件篇再说(我一般还是用IDA,但万一有人喜欢这种呢)

  • Ctrl+G 跳转到

    可以直接输入API,会自动补全。默认是输入VA,如果要输入RVA需要这样: :$RVA

    例: :$0 跳到基址处

    如果需要输入FOA可以这样: :#FOA 或者按下Ctrl+Shift+G 再输入FOA

  • 按H键进入高亮模式

    此时单击需要高亮显示的内容即可高亮显示,再次按下H,点击空白处可以取消。(也可以设置一直启用高亮,但有误点的问题)

  • 数据库

    (或者是Database)

    遇到过几次x64dbg数据丢失,写了很多注释就没了,这种情况千万不要慌张,因为你每次关闭x64dbg自动保存的时候,都会把上次的数据文件做备份(.bak),这时候可以试着点击还原备份数据库

  • x64dbg计算器

    个人觉得比系统自带计算器好用,可以一边调试一边计算(非模态+置顶),不用切来切去,支持x64dbg的各种表达式

  • 右键——显示指令提示

    会显示汇编指令对应的解释,对于初学者很有帮助,有一个王苏汉化的版本,是将这些帮助文本也完全汉化了的。(自行搜索)

  • 文件——改变命令行

    可以支持带参数调试

  • 复制各种格式的数据

    选中你要的部分——右键二进制——编辑——复制数据

  • 少数情况下64位系统使用x64dbg调试32位程序界面卡顿问题

    这个问题很玄学,我遇到了,搜了网上也有一个朋友遇到过,我身边的同学也有极少数遇到的,这里给出解决方法。

    x32dbg.exe——右键属性——兼容性——调成Windows 7 (那个遇到同样问题的博主是这么解决的)

    但是我这么设置后还是卡顿,后来装了个叫xAnalyzer的插件,又恢复了。(我的情况是这个插件和兼容性设置缺一不可,不然就会卡顿,非常奇葩,重装了系统还是一样,在此做个记录,防止有人再遇到)

  • ESP硬件断点

    寄存器窗口空白处右键

  • 自动跟踪

    简单说一下使用方法,因为我的了解也不是很深

    右键——追踪记录——启动运行跟踪——点击菜单栏 跟踪(N)——步进\步过直到条件满足

    在暂停条件或者命令里类似这样设置:eip==地址

    接着就可以在跟踪窗口查看跟踪结果了。

  • 切换XX

    切换断点、切换书签,这类命名在最初给我带来了一些困扰和误解,后来发现切换的意思就是 设置/取消设置。点一下是设置,再点一下就取消设置,所以命名为切换。

    这里顺带一说,x64dbg的搜索结果,内存窗口,跟踪结果,几乎所有带地址的地方,都是支持直接F2设置断点的,各位可以多加利用提高效率。

插件推荐篇

以下主要详细介绍我平时常用的插件,建议大家按照需求来安装(插件放在release\x32或者x64\plugins目录下,以.dp32或.dp64结尾)

Scylla(脱壳与导入表修复)

  • 自带的插件,个人觉得比OD+ImpREC更方便快捷

    常见的脱壳流程:x64dbg停在需要脱壳的地址上,点击Scylla的图标启动,会自动为你设定IAT info里的OEP为当前地址,点击dump。

    修复导入表:点击IAT Autosearch,有可能提示:高级搜索结果和普通搜索结果不同,是否使用高级搜索结果。一般都选是,接着点Get Imports,自动获取需要修复的函数。我遇到过高级搜索反而搜不到的情况,这时候可以试试点否之后再点Get Imports。确认结果无误后点Fix Dump,选中刚才Dump出的文件,会生成SCY结尾的文件。

xAnalyzer(代码分析辅助)

https://github.com/ThunderCls/xAnalyzer

 

该插件对调试程序的API函数调用进行检测,自动添加函数定义,参数和数据类型以及其他补充信息,安装以后可以让x64dbg与OllyDbg的使用体验更接近。

 

效果如图,可以在插件菜单里把自动分析(Automatic Analysis)打开。我个人不喜欢插件自动添加很多注释,会让页面看起来很乱,所以一般在需要分析的时候通过右键菜单来让它分析当前函数。

 

SwissArmyKnife(导入Map文件)

https://github.com/Nukem9/SwissArmyKnife

 

[招生]科锐逆向工程师培训(2025年3月11日实地,远程教学同时开班, 第52期)!

最后于 2021-3-16 13:35 被Endali编辑 ,原因: 添加附件
上传的附件:
收藏
免费 67
支持
分享
赞赏记录
参与人
雪币
留言
时间
mb_owaabxox
感谢你的积极参与,期待更多精彩内容!
2024-11-22 15:57
mb_xexyszcr
感谢你的积极参与,期待更多精彩内容!
2024-11-12 03:07
qiantang
你的分享对大家帮助很大,非常感谢!
2024-11-5 16:24
寒羽oy
这个讨论对我很有帮助,谢谢!
2024-10-16 13:40
kotoriseed
为你点赞~
2024-5-15 10:54
mb_becypene
为你点赞~
2024-5-10 17:32
sky东
为你点赞~
2024-4-1 09:59
bwner
为你点赞~
2024-1-15 15:49
mb_qwbxqovn
为你点赞~
2023-11-11 19:28
杀丶戮
为你点赞~
2023-5-25 01:08
jcfie
为你点赞~
2023-4-3 15:53
gudqs7
为你点赞~
2023-3-16 11:38
luluting
为你点赞~
2023-3-4 17:20
PLEBFE
为你点赞~
2023-1-14 03:39
nekaxi
为你点赞~
2022-11-13 09:33
霸气压萝莉
为你点赞~
2022-11-13 00:09
Grav1ty
为你点赞~
2022-11-12 23:21
时间刺客
为你点赞~
2022-11-5 23:41
letleon
为你点赞~
2022-10-27 06:03
zhang_derek
为你点赞~
2022-10-2 17:58
tian_chen
为你点赞~
2022-9-23 12:02
yuyuaqwq
为你点赞~
2022-8-29 21:30
1cy
为你点赞~
2022-7-18 02:12
青衣骑士
为你点赞~
2022-3-3 11:07
骇客技术
为你点赞~
2022-3-1 10:22
zhczf
为你点赞~
2022-2-13 00:42
mb_riykzklu
为你点赞~
2022-1-6 16:44
耿念
为你点赞~
2021-11-25 11:01
guyioo
为你点赞~
2021-10-20 16:27
Jaychouzzk
为你点赞~
2021-10-9 19:23
程序原
为你点赞~
2021-9-30 21:19
旺仔_小可爱
为你点赞~
2021-9-27 03:53
mb_hgrbqfun
为你点赞~
2021-9-26 12:55
euzen
为你点赞~
2021-8-20 23:27
从黎明到衰落
为你点赞~
2021-8-12 10:08
ISh_LLL
为你点赞~
2021-8-3 14:30
HelloMyself
为你点赞~
2021-7-2 23:55
饥愚
为你点赞~
2021-6-12 18:57
羔羊羊羊
为你点赞~
2021-5-27 12:28
YenKoc
为你点赞~
2021-5-14 10:57
liu牛
为你点赞~
2021-5-5 15:15
Anowhere
为你点赞~
2021-4-30 20:31
shell800
为你点赞~
2021-4-19 01:18
库尔
为你点赞~
2021-4-16 10:26
v0id_
为你点赞~
2021-4-16 09:09
option
为你点赞~
2021-4-16 08:06
PlumpBoy
为你点赞~
2021-4-15 08:24
ZSYL
为你点赞~
2021-4-12 16:12
小僧空尽
为你点赞~
2021-4-11 02:57
LynGod
为你点赞~
2021-4-8 16:24
zhenwo
为你点赞~
2021-4-6 18:13
裂空座
为你点赞~
2021-4-3 22:24
Himeko
为你点赞~
2021-3-31 15:21
speedboy
为你点赞~
2021-3-31 10:04
chaoslito
为你点赞~
2021-3-31 09:30
黑手鱼
为你点赞~
2021-3-31 09:27
wem
为你点赞~
2021-3-27 07:02
bluefish蓝鱼
为你点赞~
2021-3-26 23:44
mb_goxyneyf
为你点赞~
2021-3-26 16:00
风中小筑V
为你点赞~
2021-3-25 18:48
kanxue
为你点赞~
2021-3-25 10:47
阿修
为你点赞~
2021-3-25 10:23
我困我困
为你点赞~
2021-3-17 11:03
pureGavin
为你点赞~
2021-3-16 23:33
APT_华生
为你点赞~
2021-3-16 21:33
zgzxp
为你点赞~
2021-3-16 19:23
2DCoXrq
为你点赞~
2021-3-16 14:06
打赏 + 2.00雪花
打赏次数 2 雪花 + 2.00
收起 
赞赏  zhenwo   +1.00 2021/04/06
赞赏  kanxue   +1.00 2021/03/25 感谢分享~
最新回复 (58)
雪    币: 2640
活跃值: (4911)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
介绍的很详细,感谢分享
2021-3-16 13:33
0
雪    币: 578
活跃值: (823)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
谢谢分享,插件使用点赞
2021-3-16 19:23
0
雪    币: 37330
活跃值: (7295)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
4
没啥,明天我发个更全的,盖过他。
2021-3-16 20:50
2
雪    币: 3935
活跃值: (3711)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
5
不错哟,支持一下
2021-3-16 21:36
0
雪    币: 123
活跃值: (316)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
介绍的很详细,感谢分享
2021-3-16 21:38
0
雪    币: 191
活跃值: (293)
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
7
thx for sharing
2021-3-16 23:26
0
雪    币: 14938
活跃值: (18115)
能力值: ( LV12,RANK:290 )
在线值:
发帖
回帖
粉丝
8
感谢分享
2021-3-16 23:33
0
雪    币: 8719
活跃值: (2085)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
感谢分享,很详细
2021-3-17 09:04
0
雪    币: 143
活跃值: (956)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
感谢分享,很详细
2021-3-25 08:22
0
雪    币: 1378
活跃值: (3067)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11

大佬,我用滚轮缩放不了...默认  滚轮是滚动条上下移动.      ctrl+滚轮是滚动条上下快速移动..请问你用的版本是什么?

Mar 12 2021版本x64dbg 这个吗?

我懂了

设置 -> 图形界面 -> 图形缩放

好像就是因为图形缩放导致的卡顿..但是设置了 兼容性 win7 就解决了..

感谢分享了很多实用技巧..

最后于 2021-3-25 21:03 被风中小筑V编辑 ,原因:
2021-3-25 18:42
0
雪    币: 1278
活跃值: (1265)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
12
感谢分享,很详细
2021-3-25 18:44
0
雪    币: 150
活跃值: (547)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
兄弟,关于内存断点断不到你想要的位置怎么办?只能用硬件断点才能断到准确的位置,麻烦回复下谢谢
2021-3-25 18:52
0
雪    币: 1620
活跃值: (3594)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
14
Rare Mango 兄弟,关于内存断点断不到你想要的位置怎么办?只能用硬件断点才能断到准确的位置,麻烦回复下谢谢
可以把断不下来的文件和断点位置发一下嘛,我只遇到过因为随机基址,或者在程序申请的空间里下断点断不下来的问题
2021-3-25 20:59
0
雪    币: 6541
活跃值: (6011)
能力值: ( LV5,RANK:65 )
在线值:
发帖
回帖
粉丝
15
感谢分享,非常不错!
2021-3-26 13:12
0
雪    币: 52
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
16
非常感谢,这正是我需要的!
2021-3-26 15:33
0
雪    币: 102
活跃值: (2370)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
17
mark
2021-3-26 16:53
0
雪    币: 1278
活跃值: (1265)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
18

你好,我有一个问题想请教一下,在IDA和x64dbg的同步调试中,我在本地是直接开箱可用的,但是在连机测试中,把x64dbg放在一台x64 win7虚拟机,ida7.5放在主机中,其中idb配置文件是HelloWorld.exe.idb,sync配置文件和idb文件放在同一目录,名为HelloWorld.exe.sync,该同样一份的sync配置文件在虚拟机的用户home目录中,可是我启动插件之后,x64dbg却直接报错,但是查看x64dbg日志却没有什么有用的日志。

[sync] enable sync
[sync] probing sync
[sync] sync aborted


请问我这样操作有问题吗?
另外,能否共享一下您的x64dbg的ret-sync插件,也有可能我编译的插件有问题。

最后于 2021-3-26 17:02 被10ngvv编辑 ,原因:
2021-3-26 17:02
0
雪    币: 1620
活跃值: (3594)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
19
10ngvv 你好,我有一个问题想请教一下,在IDA和x64dbg的同步调试中,我在本地是直接开箱可用的,但是在连机测试中,把x64dbg放在一台x64 win7虚拟机,ida7.5放在主机中,其 ...
配置文件名字就是.sync,不要加其他东西,另外记得防火墙里加一个端口规则,允许你设置那个端口通过。
2021-3-26 18:01
0
雪    币: 1278
活跃值: (1265)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
20
Endali 配置文件名字就是.sync,不要加其他东西,另外记得防火墙里加一个端口规则,允许你设置那个端口通过。

刚刚在对比本地的和连机的网络链接情况,发现是配置不生效,知道是我配置文件名字错了的问题
同样谢谢你的回复

另外,还想再请教一个问题,我在同时使用x64dbg和OD对一个加壳的软件进行脱壳,我在OD上对session进行设置断点,配合忽略特定异常,很容易跳转到正确的OEP。但是我用x64dbg时,我发现即使我设置了忽略00000000~FFFFFFFF的异常,在我设置一次性内存断点后,还是会一直断下来,得手动删除这个一次性断点(尽管已经禁用了),然后再次设置一次性的内存执行断点时,又断不下来,感觉哭笑不得。。是不是我理解错了什么?

最后于 2021-3-26 22:57 被10ngvv编辑 ,原因:
2021-3-26 18:20
0
雪    币: 21
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
hmw
21
刚好需要,谢谢分享;
2021-3-26 22:19
0
雪    币: 558
活跃值: (4397)
能力值: ( LV3,RANK:35 )
在线值:
发帖
回帖
粉丝
22
感谢分享
2021-3-29 21:56
0
雪    币: 515
活跃值: (3332)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wem
23
谢谢分享
2021-3-31 05:09
0
雪    币: 639
活跃值: (131)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
这个好在还在更新,不像OD早就不更新了。
2021-4-2 19:36
0
雪    币: 263
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
25
你好,那个计算器可以单独打开用吗,就是不开64dbg,单独打开计算器,我现在还在用系统的十六进制计算器
2021-4-3 14:32
0
游客
登录 | 注册 方可回帖
返回

账号登录
验证码登录

忘记密码?
没有账号?立即免费注册