这里将之前学习《逆向工程核心原理》的笔记重新实现整理一遍，代码重新编写实现，以方便以后查阅。

编写运行HelloWorld程序

环境主要是Win7 32位系统，使用VS2010进行编程：

#include "windows.h"
int main()
{
	MessageBox(NULL, L"Hello World!", L"blog.csdn.net/ski_12", MB_OK);
	return 0;
}

MessageBox()函数用于弹框显示第二个参数的字符，其中第三个参数为框的标题内容。

点击工具栏下拉框的“Release”，然后点击“生成helloworld”即可编译生成exe文件：

运行helloworld.exe文件后会弹框显示如图内容：

寻找main()函数

接着明确一下逆向调试的任务：查找出helloworld.exe文件的main()函数。

使用Ollydbg打开helloworld.exe文件：

一开始调试器停止的地方为helloworld.exe程序执行的起始地址即EP（Entry Point入口点），其中左上角为代码窗口，右上角为寄存器窗口，左下角为数据窗口，右下角为栈窗口。

注：EP是Windows可执行文件的代码入口点，是执行应用程序时最先执行的代码的起始位置，依赖于CPU。

初次学习，先按部就班地逐一调试。按F7运行进入00D112B4的call指令所指的函数地址查看：

发现其中右侧一栏（Ollydbg的注释）含有几个红色标记的函数名称，其为代码中调用的API函数名称，是VC++启动函数，并非是需要查找的main()函数。继续下拉看到RETN指令，并没有发现main()函数，直接Ctrl+F9运行到该RETN指令，再F7跳出该函数。

注意：启动函数是编译器任意添加的代码，不是用户编写的代码。

继续F7执行00D112B9的jmp指令，跳转到指定的地址：

可以看到存在好几条的call指令，逐一按F7进行调试，遇到call指令F7进去查看是否是main()函数，若无则直接Ctrl+F9运行到该RETN指令，再F7跳出该函数。重复该操作直至遇到main()函数。其实也可以从右侧的注释区域显示的函数名称来排除是否为main()函数，若不是则直接按F8执行call指令但不进入该函数内部执行。调试到后面发现main字样：

可以猜测该函数为main()函数，F7执行call指令进入函数内部进行确认：

可以看到，右侧注释一栏显示了MessageBox()函数及其四个参数的值，包括之前编写代码时写入的字符串。这里call指令调用MessageBox()函数，其之前的4个push指令分别将该函数的4个参数以逆序的形式存入栈中。

至此，已经找到了main()函数。

快速找出指定代码的方法小结

1、代码执行法：

从EP或调试点出发，逐一按F8运行指令，当F8运行某一条指令弹框如下图时，即可确认是main()函数。仅适用于代码量少、功能明确的程序。

2、字符串检索法：

查看与分析的字符串列表。右键>Search for>All referenced text strings，找到MessageBox()函数输出的字符串字样，双击该项即可跳转到该地址。Ollydbg初次载入程序时会先进行一个预分析过程，会先查看进程内存，将程序中引用的字符串和调用的API摘录出来，整理到另外一个列表中。

可以在Dump窗口中查看该地址存储的数据，注意，是以00F01002地址存储的00F020F4为地址：

3、API检索法——在调用代码中设置断点：

编写的Windows程序要弹框显示内容，则需要用Win32 API向OS请求实现输出，本次程序的API为user32.MessageBoxW() API。即查看预分析的API列表。右键>Search for>All intermodular calls，然后直接输入“MessageBox”字符即可查找到该API，接着点击即可进入main()函数。

4、API检索法——在API代码中设置断点：

调试器并不能列出所有可执行文件的API函数调用列表，使用压缩器、保护器等工具对可执行文件进行压缩或保护后，可执行文件的文件结构就会发生改变，从而导致调试器无法列出API调用列表。这种情况下，DLL代码库被加载到进程内存后，可以直接向DLL代码库添加断点。编写的程序执行某种操作时，必须使用OS提供的API向OS提出请求，然后与被调用API对应的系统DLL文件就会被加载到应用程序的进程内存。依据这个，当无法列出API调用列表时，可以查看所有被加载的DLL文件中提供的所有API，再到其中找出相关的API即可。

右键>Search for>Name in all calls，输入“MessageBoxW”，然后在USER32模块中的Export类型找到相应的API：