求od使用断点方法。

一、条件断点：

使用方法(如)：

在当前行按[Shift+F2]键->条件断点(这个不太好用，因为程序BUG偶尔失效)。

在当前行按[Shift+F4]键->条件记录断点(只要设置上条件语句和按什么条件生效就可以了)。

条件语句(如)：

EAX == 00401000                      当EAX的值为00401000时。

[EAX] == 05201314                    比如EAX的值为00401000，而地址00401000处所指向的值等于5201314时，即EAX的值表示为指针。

[[EAX]] == 05201314                  比如EAX的值为00401000，地址00401000处所指向的值为00402000，而地址00402000处所指向的值等于5201314时，即EAX的值表示为指针的指针。

EAX == 05201314 &&EBX == 0x05201314 当EAX的值等于5201314(十进制)，并且EBX的值等于5201314(十六进制)时。

[EBP+8] == WM_COMMAND                 

[[EBP+8]] == 05201314                 

byte ptr[EAX] == 'y'                  

[EAX] == "coderui"                   比如EAX的值为00401000，而地址00401000处所指向的字符串为“coderui”时，即EAX的值表示为指针。

[[EAX+4]+4] == WM_LBUTTONUP         

二、消息断点：

原理：就是在消息函数上设置条件断点。

步骤：

1、使用[Ctrl+G]呼出“表达式跟随窗口”，输入“TranslateMessage”，然后回车。

2、在“转到”的位置上使用[Shift+F4]呼出“条件记录断点设置窗口”。

3、在“条件”中输入如下语句“[[ESP+4]]==当前按钮句柄&&[[ESP+4]+4]==WM_LBUTTONUP”。

4、把“暂停程序”设置为“按条件”，其他都为默认，然后确定。

5、点击按钮后，程序会停在“TranslateMessage”函数的系统领空中。

6、查看内存，对代码段下“内存访问断点”，然后经过多次[F9](运行)，就会找到关键的处理代码了。

用 OD 捕获按钮事件，可以尝试以下办法：

1、通过编写好的脚本来获取按钮事件：

先将以下脚本保存至 .txt 文件中：

var Addr

mov Addr,401000

loop:

find Addr,#740E8BD38B83????????FF93????????#

cmp $RESULT,0

je Exit

add $RESULT,0A

bp $RESULT

add $RESULT,1

mov Addr,$RESULT

jmp loop

Exit:

ret

用OD载入 Delphi 程序，右键 运行脚本-->打开，选择上面保存的文件，运行，如果d出了script finished 窗口就表示找到按钮事件断点位置。

2、用资源编辑工具+十六进制编辑工具来查找：

首先用ResScope或者其他工具打开目标程序，在RCData中能够找到窗体的资源信息，例如

  object Form1: TForm1

    object Button1: TButton

      Caption = 'Button1'

      OnClick = Button1Click

    end

  end

  此时假设我们要找“Button1”按钮事件，记住OnClick的名字（在这里就是Button1Click）

  然后再用WinHex打开程序，查找事件名“Button1Click”，如下图所示： 事件名的前一个字节就是事件名的长度，再前面就是事件地址了：

找到地址后，用 OD载入程序，直接Ctrl+G前往该地址。

1：用OD打开软件！ 2：点击选项——调试选项——异常，把里面的√全部去掉！CTRL+F2重载下程序！ 3：一开是程序就是一个跳转，在这里我们按SHIFT+F9，直到程序运行，记下从开始按F9到程序 运行的次数！ 4：CTRL+F2重载程序，按SHIFT+F9（次数为程序运

---