x64dbg使用技巧及upx手动脱壳

x64dbg是一款开源的动态调试工具，广泛应用于Windows平台的软件逆向工程中。

安装

x64dbg官网地址：x64dbg

区别

动态反汇编调试（Dynamic Disassembly Debugging）是指在程序运行时动态地反汇编机器码，从而获取指令级别的执行信息和内存访问情况，以辅助调试和分析程序。动态反汇编调试需要借助特殊的调试工具，如GDB、x64dbg、Ollydbg等，通常用于调试崩溃、死锁、内存泄漏等问题。

静态反汇编调试（Static Disassembly Debugging）是指对程序进行反汇编分析，不需要运行程序，只需要对程序进行静态分析就可以获得指令级别的执行信息和内存访问情况，以辅助调试和分析程序。静态反汇编调试需要使用特殊的工具，如IDA Pro、Binary Ninja等，通常用于逆向工程、恶意代码分析、漏洞挖掘等方面。

x64dbg使用技巧

认识x64dbg窗口

左上区域为反汇编窗口。当程序运行时，其源代码会被编译成机器码，这是计算机硬件直接执行的指令集。反汇编窗口允许用户查看这些机器码对应的汇编指令。

左下角区域为数据窗口，用于展示和编辑程序运行时的内存数据。

右上区域为寄存器窗口，该窗口用于显示和解释当前线程环境下CPU寄存器的各种状态值和内容。

右下角区域为堆栈窗口。堆栈窗口用于显示当前线程的栈，堆栈窗口会随着ESP（Extended Stack Pointer）寄存器的变化而变化，ESP指向当前栈顶元素的地址。

调试技巧

断点设置：
- 使用F2键可以快速在当前汇编指令处设置断点。
- 可以通过在断点界面右键点击“编辑”来设置断点条件，如寄存器值变化或特定内存地址访问等。
单步执行：
- F7键用于单步步入，即如果当前行是函数调用，则进入该函数内部。（遇到call指令，进入call函数的实现处继续执行汇编指令）
- F8键用于单步步过，即执行当前行，如果当前行是函数调用，则执行完该函数后继续执行下一行。（遇到call指令，执行call函数，之后接着执行call指令的下一条指令）
快速定位：
- Ctrl+G组合键可以快速定位到指定的内存地址或代码地址。
- 在汇编窗口或内存窗口中，输入地址后按下Enter键也可以实现快速跳转。
高亮显示：
- 按下H键后，双击要高亮的文本，可以实现高亮显示，便于跟踪和观察。
- 在寄存器窗口右键点击寄存器名称，选择“高亮”，可以高亮显示该寄存器在反汇编窗口中的引用。
数据查看：
- 使用Dump窗口查看内存中的数据，可以切换视图以不同格式（如十六进制、字符串、Unicode字符串、浮点等）展示数据。
- 在寄存器窗口查看当前寄存器的值，注意关注指令执行前后寄存器值的变化。

断点分类

代码断点：在程序的汇编代码上设置的断点。当程序执行到该断点时，会暂停执行。这是最基本的断点类型，用于控制程序的执行流程。
内存断点：在特定内存地址上设置的断点。当程序访问（读取或写入）该内存地址时，会触发断点。内存断点对于监测内存访问和修改非常有用。
硬件断点：利用CPU的硬件调试寄存器设置的断点。与软件断点相比，硬件断点不占用程序的内存空间，且通常具有更高的性能。但是，由于硬件断点的数量有限（通常只有几个），因此需要谨慎使用。
条件断点：在满足特定条件时触发的断点。用户可以在设置断点时指定一个条件表达式，只有当该表达式为真时，断点才会触发。条件断点对于过滤不必要的断点触发非常有用。
消息断点：在某些特定的Windows消息（如按键消息、鼠标消息等）发生时触发的断点。这对于分析GUI程序的交互行为非常有帮助。

寄存器

在x64dbg中，寄存器主要可以分为以下几类：

通用寄存器：这些寄存器是程序执行代码时最常用也最基础的寄存器。在x64架构中，这些寄存器包括rax、rbx、rcx、rdx、rsp、rbp、rsi、rdi等，它们分别用于存放各种数据和执行各种操作。例如，rax通常用于存放函数调用的返回值，rsp作为栈顶指针指向栈的顶部，rbp作为栈底指针或用于定位栈中的局部变量等。
标志寄存器：标志寄存器中包含了CPU执行指令过程中的一系列状态信息，如进位标志（CF）、奇偶标志（PF）、零标志（ZF）、符号标志（SF）和补码溢出标志（OF）等。在x64架构下，原来的eflags寄存器升级为64位的rflags寄存器，但高32位并未新增功能，保留为将来使用。
指令寄存器：在x64架构中，32位的eip指令寄存器升级为64位的rip寄存器。它指向下一条要执行的指令的地址，是CPU工作的核心。
其他专用寄存器：除了上述通用寄存器外，x64架构还引入了其他专用寄存器，如控制寄存器（cr0-cr4及cr8）、段寄存器、调试寄存器等，它们各自承担着不同的功能，共同支持CPU的正常运行。