什么是动态分析与静态分析

动态分析是指破解者利用调试器跟踪软件的运行，寻求破解的路径。
代码动态调试技术，一般是通过观察程序在运行过程中的状态，如寄存器内容，函数执行结果，内存使用情况等等，分析函数功能，明确代码逻辑，挖掘可能存在的漏洞。
动态分析技术中最重要的工具是调试器，分为用户模式和内核模式两种类型。用户模式调试器是指用来调试用户模式应用程序的调试器，工作在Ring3级，例如OllyDbg、x64dbg、Visual C++等编译器自带的调试器。内核模式调试器是指能调试操作系统内核的调试器，例如WinDbg。

用高级语言编写的程序有两种形式。一种程序是被编译成机器语言在CPU上执行的，例如Visual C++。机器语言与汇编语言几乎是对应的，因此，可以将机器语言转化成汇编语言，这个过程称为反汇编（Disasembler）。例如，在x86系统中，机器码“EB”对应的汇编语句是“jmp shortxx”。
另一种程序是一边解释一边执行的，编写这种程序的语言称为解释性语言，例如Visual Basic 3.0/4.0、Java。这类语言的编译后程序可以被还原成高级语言的原始结构，这个过程称为反编译（Decompiler）。
所谓静态分析，是指通过反汇编、反编译手段获得程序汇编代码或源代码，然后根据程序清单分析程序的流程，了解模块所完成的功能。

断点

（以下适用于OllyDBG和x96dbg）
Ctrl+G打开跟随指令窗口

int3

int3断点，机器码是0xCC，因此也被称为CC指令。
使用INT3断点的优点是可以设置无数个断点，缺点是改变了原程序机器码，容易被软件检测到。例如，为了防范API被下断，一些软件会检测API的首地址是否为0xCC（以此判断是否被下断）。

硬件断点

使用DRx调试寄存器，DRx调试寄存器共有8个（DRO~DR7），每个寄存器的特性如下。
。
DRO~DR3；调试地址寄存器，用于保存需要监视的地址，例如设置硬件断点。
·DR4~DR5；保留，未公开具体作用。
·DR6：调试寄存器组状态寄存器。
DR7：调试寄存器组控制寄存器。
设断方法是在指定的代码行单击右键，执行快捷菜单中的“Breakpoint”→
“Hardware，on execution”（“断点”→“硬件执行”）命令（也可以在命令行中设置“HE地址”）。
删除硬件断点稍有些麻烦。单击菜单项“Debug”→“Hardware breakpoints”（“调试”→“硬件断点”），打开硬件断点面板，如图2.26所示，单击“Delete x"删除

内存断点

ollyDbg可以设置内存访问断点或内存写入断点，原理是对所设的地址赋予不可访问/不可写属性，这样当访问/写人的时候就会产生异常。OllyDbg截获异常后，比较异常地址是不是断点地址，如果是就中断，让用户继续操作。
内存断点只能下一个。
选中需要下断点的地址区域，单击右键，执行快捷菜单中的“Breakpoint”→
“Memory，on write”（“断点”→“内存写入”）命令

内存访问一次性断点

Windows对内存使用段页式的管理方式。在OllyDbg里按“Alt+M”快捷键显示内存，可以看到许多个段，每个段都有不可访问、读、写、执行属性。在相应的段上单击右键，会在快捷菜单中发现一个命令“Set break-on-access”（在访问上设置断点），其快捷键是“F2”，用于对整个内存块设置该类断点。这个断点是一次性断点，当所在段被读取或执行时就会中断。中断发生以后，断点将被删除。如果想捕捉调用或返回某个模块（例如脱壳），该类断点就显得特别有用了。

消息断点

Windows本身是由消息驱动的，如果调试时没有合适的断点，可以尝试使用消息断点。当某个特定窗口函数接收到某个特定消息时，消息断点将使程序中断。消息断点与INT3断点的区别在于：INT3断点可以在程序启动之前设置，消息断点只有在窗口被创建之后才能被设置并拦截消息。
当用户单击一个按钮、移动光标或者向文本框中输入文字时，一条消息就会发送给当前窗体。
所有发送的消息都有4个参数，分别是1个窗口句柄（hwnd）、1个消息编号（msg）和2个32位长（long）的参数。Windows通过句柄来标识它所代表的对象。例如，在单击某个按钮时，Windows通过句柄来判断单击了哪一个按钮，然后发送相应的消息来通知程序。

View–>Windows列出参数
右键条目，执行“Message breakpoint on ClassProc”（在ClassProc上设置消息断点）弹出如下设置窗口，设置消息类型和中断类型。

条件断点

在调试过程中，我们经常希望断点在满足一定条件时才会中断，这类断点称为条件断点。0llyDbg的条件断点可以按寄存器、存储器、消息等设断。条件断点是一个带有条件表达式的普通INT3断点。当调试器遇到这类断点时，断点将计算表达式的值，如果结果非零或者表达式有效，则断点生效（暂停被调试程序）。条件表达式的规则描述请参考OllyDbg的帮助文档。

按照寄存器中断：
shift+f2设置条件表达式

未完待续(