给定表达式MOV EDI, EAX处的断点，一旦遇到断点，如何自动记录/写入引用的字符串？

#1 楼

选择MOV EDI, EAX指令并按Shift + F4打开“条件日志断点”窗口。在该窗口中，将eax指定为表达式，将暂停程序设置为Never，将表达式的Log值设置为Always：



按“确定”按钮，运行程序，现在只要按该指令，引用的字符串将记录到OllyDbg的日志窗口。

评论

关于下面blabb的回答，是的，我上面的回答是针对OllyDbg 2的。

–詹森·格夫纳（Jason Geffner）
2014年2月7日在20:27
如果某些内存DWORD已更改，是否有日志记录方式？

– ST3
2015年2月18日在8:47


#2 楼

在odbg版本1.10
中，只会将log eax而不是字符串
放在表达式框中，视情况而定放置STRING [EAX]或UNICODE [eax]
，或者使用普通eax选择pointer to ascii or unicode string下拉框中的decode expression as来记录字符串

日志数据，项目0
消息= eax = 1001590 [eax] = 74636868字符串[eax] = hhctrl.ocx Unicode [eax] =

odbg 210将自动解码表达式

01012475  INT3: plain eax = 1001590 ASCII "hhctrl.ocx"
                dword ptr eax = 74636868 (1952671848.)
                ascii string ptr eax = hhctrl.ocx