X64Dbg-命令详解

值

很多命令都接受表达式和值作为参数.下面是所有受支持的数值:

数字

默认情况下,所有数字都解释为16进制,也可以在值前加x或0x作为前缀来表明该数值为16进制.

如果想要该数字解释为10进制,可以在数字前面加一个点: .123 = 7B

变量

变量可以选择以$开头,并且只能存储一个DWORD(在x64上为QWORD).这意味着myvar和$myvar是等同的.

寄存器

除浮点寄存器外的所有寄存器(如RAX、EAX、AL)都可以用作变量.

像XMM0、YMM0以及ST(0)这样的浮点寄存器不能用作变量使用,但它们可以通过字符串格式的浮点类型进行记录.目前不支持AVX-512寄存器.

标志

调试标志可以作为输入,在标志名称前加_即为有效输入.示例如下:

1

_cf、_pf、_af、_zf、_sf、_tf、_if、_df、_of、_rf、_vm _ac、_vif、_vip以及_id

内存位置

可以使用以下表达式对内存位置进行读取或写入.

标签/符号

用户定义的标签和符号是一个有效的表达式(它们解析到所述标签/符号的地址).

DLL导出

从指定模块获取API地址可以使用module.dll:api、module:api或module:ordinal

1
2
3
4
5

ntdll.dll:ZwContinue
ntdll:memcmp
ntdll.memcmp
ntdll:1D
:LuoExport

模块基地址

可以使用下述命令来获取模块的基地址.

1

module、module:0、module:base、module:imagebase、module:header

RVA/文件偏移

• RVA->VA:module+rva或module:$rva
• FOA->VA:module:#offset

1
2
3
4
5
6
7

//RVA->VA
ntdll.dll:$1000
:$1000

//FOA->VA
ntdll.dll:#400
:#400

模块入口点

可以使用下述命令来获取模块的入口点.

1

module:entry、module:oep、module:ep

表达式

调试器允许使用基本表达式.除了计算之外,还允许使用类C语法进行变量赋值.

运算符

1. 圆括号/方括号:(1+2),[1+6]比其他运算有优先权
2. 一元负号/二进制非/逻辑非:-1,~1,!1
3. 乘法/除法:2*3,6/3,5%3
4. 加法/减法:1+3,5+2
5. 左/右移动/轮换:1«2,10»1,1«<2,1»>2
6. 小于(等于)/大于(等于):4<10,3>6,1<=2,6>=7
7. 等于/不等于:1==1,2!=6
8. 二进制与:12&2
9. 二进制异或:2^1
10. 二进制或:2|8
11. 逻辑与:0&&3
12. 逻辑或:0||3
13. 逻辑隐含:0->1

快速赋值

更改内存、变量、寄存器或标志.

• a?=b:?可以是任何非逻辑运算符.a可以是任何寄存器、标志、变量或内存位置.b可以是被确定为表达式的任何东西.
• a++/a–:a可以是任何寄存器、标志、变量或内存位置.

表达式函数

字符串

模块

进程信息

常规函数

内存

反汇编

跟踪

内存指针

函数

引用

参数

假设此时堆栈顶部为返回地址

异常

插件

• _plugin_registerexprfunction
• _plugin_registerexprfunctionex
• _plugin_unregisterexprfunction

变量

调试器支持以下三种类型的变量:

• 用户变量:用户通过var/mov创建变量

• 系统变量:由x64Dbg创建的变量,可读可写,但不能删除

• 只读变量:由x64Dbg创建的变量,可以读取,但不能写入和删除

设置变量

可以通过以下方式进行变量设置

1
2
3
4

mov myvar, 1234
mov $myvar, 1234
myvar = 1234
$myvar = 1234

保留变量

• $res/$result:常规结果变量

• $resN/$resultN:可选的其他结果变量(N=1-4)

• $pid:被调试进程的PID

• $hp/$hProcess:被调试进程的handle

• $lastalloc:alloc命令的最后结果

• $breakpointcondition:控制条件断点命中时的暂停行为

• $breakpointcounter:断点命中的次数

• $breakpointlogcondition:条件断点的日志条件.它不能用于控制日志记录行为

条件断点

当断点命中时,x64Dbg将执行下述操作.

• 将系统变量$breakpointexceptionaddress设置为触发断点的地址(内存地址)
• 将命中计数器增加1
• 将系统变量$breakpointcounter设置为命中计数器的值
• 如果设置了中断条件,计算表达式的值(默认为1)
• 如果设置了快速恢复且中断条件为0:
  • 跳过接下来的步骤继续执行被调试对象,这也将跳过执行插件回调和GUI更新
• 如果设置了日志条件,计算表达式的值(默认为1)
• 如果设置了命令条件,计算表达式的值(默认为1)
• 如果中断条件求值结果为1(或非0值):
  • 打印标准日志消息(如果断点设置为静默,则不支持标准日志消息)
  • 执行插件回调
• 如果设置了日志文本且日志条件表达式求值结果为1(或非0值):
  • 格式化并打印日志文本(参考字符串格式化)
• 如果设置了命令文本且命令条件表达式求值结果为1(或非0值):
  • 将系统变量$breakpointcondition设置为中断条件
  • 将系统变量$breakpointlogcondition设置为日志条件
  • 执行命令文本
  • 将中断条件设置为$breakpointcondition的值.因此,如果在脚本中修改$breakpointcondition的值,你就能控制调试对象是否被中断
• 如果中断条件求值结果为1(或非0值):
  • 中断调试对象并等待用户继续执行

如果上述条件表达式无效,则将触发该条件.(即无效的条件表达式作为条件将导致断点始终中断、打印日志以及执行命令)

在平时的调试过程中,命中计数器的值会无条件进行递增,可以调用下述API函数进行重置.

1
2

//对addr处命中计数器的值进行重置.若hitCount未指定,默认为0
ResetBreakpointHitCount(addr,hitCount) 

条件表达式示例如下:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

//永不中断的条件断点
0

//当EAX和ECX都为1时中断
EAX==1&&ECX==1

//当第一个参数为1时中断
arg.get(0)==1

//当EAX是一个有效地址时中断
mem.valid(EAX)

//当命中计算器的值为3时中断
$breakpointcounter==3

//当线程ID为0x1C0时中断
tid()==1C0

//当ECX指向一个包含LuoHun的UTF-16字符串时中断
strstr(utf16(ECX), "LuoHun")

条件跟踪

当跟踪命中时,x64Dbg将执行下述操作:

• 将跟踪计数器增加1

• 将系统变量$tracecounter设置为跟踪计数器的值

• 如果设置了中断条件,计算表达式的值(默认为0)

• 执行插件回调(允许插件更改终端条件)

• 如果设置了日志条件,计算表达式的值(默认为1)

• 如果设置了命令条件,计算表达式的值(默认为中断条件)

• 如果设置了日志文本且日志条件表达式求值结果为1:

  • 格式化并打印日志文本(参考字符串格式化).要将日志重定向到文件,请使用TraceSetLogFile

• 如果设置了命令文本且命令表达式求值结果为1:

  • 将系统变量$tracecondition设置为中断条件
  • 将系统变量$tracelogcondition设置为日志条件
  • 执行命令文本
  • 将中断条件设置为$tracecondition的值.因此,如果在脚本中修改$tracecondition的值,你就能控制调试对象是否被中断

• 如果中断条件求值为1:

  • 打印标准日志条件
  • 中断调试对象并等待用户继续执行

如果想要通过日志跟踪记录所有指令的地址和汇编,可以使用下述命令

1

{p:cip} {i:cip}

字符串格式

基本语法如下:

1
2
3

//?是表达式可选的类型
//若要在结果中输出{ 或 },可将它们转义为{{ 或 }}
{?:expression}

简单类型如下:

复杂类型如下:

参考链接

x64Dbg帮助文档