ODbgScript的介绍

调试程序，程序逆向工作，加密解密都存在大量的重复工作，ODbgScript就是一个让你从重复而又枯燥的
劳动中解脱的一个工具。OllyScript是OLLYDBG的一个功能增强插件(Plugin)，OllyScript使用的脚本语言
是一个种类汇编的语言。你使用它来控制OLLYDBG和进行脚本运算。
它的内部机制是一种解释执行的方式，当然，大侠luocong开发了一个和这个功能相近的插件OM，所不同的
是OM是运行在虚拟机上的，而ODbgScript是解释执行。现在ODbgScript在世界上有大量的使用者和他们发布
了大量的脚本，你能好好的利用它。

ODbgScript帮助文档

OD脚本编写资料

OD脚本指令大全

可以使用“//”在任何地方进行注释。
块注释必须另外起一行并以 “”作为结束，“*/”也必须另起一行。

| | AO | | 在OllyDbg中执行“自动步过” [Animate over]操作。
相当于在OllyDbg中按下CTRL+F8 | 例：
ao | | ASK 问题 | | 显示一个提示输入框，让用户输入，结果保存变量$RESULT中（如果用户按了取消键，则$RESULT=0）。
$RESULT_1中放着输入的长度.
(注:程序将判读你输入的是字符,$RESULT_1的结果是输入字符数的数目,整型/2,中文数2) | 例:
ask “Enter new EIP”
cmp $RESULT, 0
je cancel_pressed
mov eip, $RESULT | | ASM 地址, 指令 | | 修改指定地址的指令。
并将修改后的汇编指令长度保存到保留变量$RESULT中 | 例：
asm eip, “mov eax, ecx” //将当前指令修改为 mov eax,ecx | | ASMTXT 文件 | | 汇编指定文件中的指令
将汇编指令长度保存到保留变量$RESULT中
并将汇编指令行数保存到保留变量$RESULT_1中 | 例：
asmtxt EIP,”myasm.txt”//将myasm.txt文件中的asm转成opcode后写入EIP. | | ATOI str [, base=16.] | | 转换字符串到16进制整型,[可以将任何进制转成16进制整型]
返回结果放到 $RESULT | 例：
itoa “F” //字符串”F”转成了整型,结果会等于F
itoa “10”, 10. //字符串”10”代表十进制,结果会等于A | | BC 地址 | | 清除指定地址的断点 | 例：
bc 401000 //清除401000处的断点
bc x //清除X(变量值)处的断点
bc eip //清除当前EIP处的断点 | | BP 地址 | | 在指定地址设断点 | 例：
bp 401000 //在401000处下断点
bp x //在X(变量值)处下断点
bp eip //在当前EIP处下断点 | | BPCND 地址, 条件 | | 在指定地址处，设置条件断点。 | 例：
bpcnd 401000, “ECX==1” //当 代码执行到401000且 ecx等于1 时，程序暂停 | | BPD 函数字符串 | | 清除调用函数断点,函数为字符串表示. | 例:
bpd “GetVersion” //取消呼叫GetVersion的断点 | | BPHWC 地址 | | 删除指定地址处的硬件断点 | 例：
bphwc 401000 //清除 401000处的断点
bphwc //不接地址默认清楚全部 等同于bphwcall | | BPHWCALL | | 清除所有的硬件断点 | 例：
BPHWCALL //清除所有的硬件断点 | | BPHWS 地址, 模式 | | 在指定地址，设置硬件断点。有三种模式： “r” - 读取, “w” - 写入 或者 “x” - 执行.
此断点只支持1个字节的动作. | 例：
bphws 401000, “x” //当执行到此地址时产生中断.
Bphws 401000,”r” //当读取401000的时候产生中断 | | BPL 地址, 表达式 | | 在指定地址处设置记录断点，将表达式的结果记录到记录窗口中。 | 例：
bpl 401000, “eax” // 每次执行到401000时，都将eax寄存器的结果记录 | | BPLCND 地址, 表达式, 条件 | Logging onCoNDition> | 在指定地址处设置记录断点，如果条件为真时，将表达式的结果记录到记录窗口中。 | 例：
bplcnd 401000, “eax”, “eax > 1” //如果执行到401000时，满足eax>1，则将eax寄存器的结果记录 | | BPMC | | 清除内存断点。 | 例：
bpmc | | BPRM 地址, 大小 | | 在指定地址处，设置一个内存读取断点。 “大小” 是指内存中的字节大小。 | 例：
bprm 401000, FF //在401000中设置内存读断点,内存中的大小为FF | | BPWM 地址, 大小 | | 在指定地址处，设置一个内存写入断点。“大小” 是指内存中的字节大小。 | 例：
bpwm 401000, FF //在401000中设置内存写断点,内存中的大小为FF | | BPX 函数字符串 | | 设置调用函数断点,函数为字符串表示.
返回下了断点的地址数量,结果保存在保留变量$RESULT中. | 例:
bpx “GetVersion” //下呼叫GetVersion断点,断下的语句为call [xxxxx] | | BUF var | string/dword variable to a Buffer | 转换字符串变量到缓冲区 | 例:
mov s, “123”
buf s
log s // output “#313233# | | CMP 目的操作数, 源操作数 | | 比较 目的操作数与源操作数的大小，和其对应的汇编指令作用相同
可以是各种数值,甚至可以是字符串(对大小不敏感). | 例：
cmp y, x //比较两个变量(Y和X)的大小,
cmp eip, 401000 //比较EIP和401000的大小
这里可以设置比较的数的长度 比如 cmp [eip],#ff25#,2 这里比较EIP所在的指令 前两个字节是否是FF25
测试代码如下：
00581DAC $- FF25 C0B55B00 jmp dword ptr [5BB5C0] | | CMT 地址, 字符串 | | 在指定地址处，加入注释。 | 例：
cmt eip, “这是入口” //当前地址处 加上“这是入口”的注释 | | COB | | 发生中断后，让脚本继续执行（移除EOB指令） | 例：
COB | | COE |
（移除EOE指令） | 发生异常后，让脚本继续执行 | 例：
COE | | DBH | | 隐藏调试器 | 例：
dbh | | DBS | | 对隐藏的调试器操作进行恢复，不再隐藏。 | 例：
dbs | | DEC 变量 | | 对变量进行减一操作 | 例：
dec v //V=V-1 | | DIV 目的操作数, 源操作数 |