# X64Dbg 介绍->表达式

log "{?:expression}"

log "HelloWorld"   ===> HelloWorld

log "{(1+2)}"   ==> 3  //这里省略的显示部分,也就是 ?: 可以直接在{}写自己的表达式

_cf_pf_af_zf_sf_tf_if_df_of_rf_vm_ac_vif_vip_id

log "CF的值是:{_cf}"  ===> CF的值是1

[module]:0/base/imagebase/header

```cpp
可以使用Log输出

```cpp
log "base =:0x{:0} oep = :0x{abc.exe.oep}"
--->
base = 0x00400000 oep = 0x00401520

?的方式
log "base =:0x{:0} oep = :{?oep}"
--->
结果同上

[module].dll.[api]
[module]:[api]
[module]:[ordinal]

user32.dll.MessageBoxA    ---> 显示对应的地址
user32.MessageBoxA
user32.dll:MessageBoxA
--->log使用方式
log "user32.MessageBoxA Addr= 0x{user32.MessageBoxA}"
----->结果
user32.MessageBoxA Addr= 0x76570A50

()        括号
[]        中括号
-1 ~1 !0  负数 取反 逻辑非
+-*/  %    加减乘除取余
<< >> <<< >>> 无符号左移(shl无符号 sal有符号) 无符号右移(shr sar)
> < <= >= != 大于小于 等运算
& | ! ^ || && -> 等符号

utf8(addr)             -->以utf-8解析地址输出utf-8字符串
utf16(addr)            -->同上,只不过是utf16
strstr(str1,str2)      -->同C库函数,查找A字符里面是否包含B字符串
streq(str1,str2)       -->比较两个字符串
strlen(str)            -->计算字符串的长度

strstr(utf8(reg/addr),"This")  ---> 结果返回1
streq(utf8(00040004E),"abc")   ---> 结果返回0
strlen(utf8(0040004E))         ---> 结果返回0x2B
strlen("abc")            ---> 结果返回3

mod.party(addr) ---> 获取模块的模式编号, addr = 0则是用户模块,1则是系统模块
mod.base(addr)  --->  获取模块基址
mod.size(addr)  --->  返回模块大小
mod.hash(addr)  --->  返回模块hash
mod.entry(addr) --->  返回模块入口
mod.system(addr)--->  如果addr是系统模块则为true否则则是false
mod.user(addr)  --->  如果是用户模块则返回true 否则为false
mod.main()      --->  返回主模块基地址
mod.rva(addr)   --->  如果addr不在模块则返回0,否则返回 addr所位于模块的 RVA偏移
mod.offset(addr)--->  获取地址所对应的文件偏移量,如果不在模块则返回0
mod.isexport(addr) ---> 判断该地址是否是从模块导出的函数,true是 false则不是
mod.fromname(str)  ---> 获取模块的基址,注意是str是str
str 0 mod.fromname("ntdll.dll")

mod.party(0x77960000) --> 返回1 0x77960000是NTDLL,属于系统模块
mod.party(0x00401000) --> 返回0 0x00401000是用户模块
mod.base(0x00401111)  --> 返回  0x00400000 
mod.size(0x00401111)  --> 返回模块大小 
mod.hash(0x00401111)  --> 返回哈希值  16进制
mod.entry(0x00401111) --> 返回OEP入口点
下面同上 不演示

peb()   ---> 获取PEB的地址
teb()   ---> 获取TEB的地址
tid()   ---> 获取当前线程的ID
kusd()  ---> 查询X64Dbg 应该是获取用户共享数据 地址

log "Peb Addr = 0x{peb()} teb addr = 0x{teb()} tid = 0x{tid()}"
--->
peb Addr = 0x268000
teb addr = 0x26b000
tid      = 0x1E30

tid = {d:tid()}
tid == 7728

bswap(value) 进行字节交换,也就是反转.
ternary(condition,val1,val2) 判断参数1的条件,如果条件为0则返回,否则返回val1 val2
GetTickCount(); 获取刻度值 

bswap(0x12345678)  --->  0x78563412

mem.valid(addr) 判断addr是否有效,有效则返回True
mem.base(addr)  或者当前addr的基址
mem.size(addr)  获取当前addr内存的大小
mem.iscode(addr) 判断当前 addr是否是可执行页面,成功返回TRUE
mem.decodepointer(ptr) 解密指针,相当于调用了API. DecodePointer ptr

ReadByte(addr / reg); 从addr或者寄存器中读取一个字节内存并且返回
Byte(addr) byte(addr)  同上

-------------
ReadWord(addr)  Word(addr) word(addr) 同上 读取两个字节
ReadDDword(addr) Dword(addr) dword(addr) 同上 读取四个字节
ReadQword(addr) Qword(addr) qword(addr) 同上 读取8个字节,但是只能是64位程序方可使用
ReadPtr(addr) 从地址中读取指针(4/8字节)并返回读取的指针值
ReadPointer(addr) ptr(addr) Pointer(addr) pointer(addr) 都同上

ptr(mod.main()) --> 00905A4D
byte(mod.main()) --> 0x0000004D

dis.len(addr)      获取addr处的指令长度。
dis.iscond(addr)   判断当前addr位置是否是条件指令(比如jxx) 返回值: 是的话True 否则False
dis.isbranch(addr) 判断当前地址是否是分支指令   返回值: 同上
dis.isret(addr)    判断是否是ret指令          返回值: 同上  
dis.iscall(addr)   判断是否是call指令         返回值: 同上  
dis.ismem(addr)    判断是否是内存操作数        返回值: 同上
dis.isnop(addr)    判断是否是nop             返回值: 同上
dis.isunusual(addr)判断当前地址是否指示为异常地址 返回值: 同上
dis.branchdest(addr)：将指令的分支目标位于（如果按 Enter 键，它将遵循什么）。addr
dis.branchexec(addr)：如果 分支 at 要执行，则为 true。addr
dis.imm(addr)       获取当前指令位置的立即数(这一行指令中出现的立即数)
dis.brtrue(addr)：指令在 的分支目标。addr
dis.brfalse(addr)：下一条指令的地址（如果指令 at 是条件分支）。addr
dis.next(addr)：    获取addr的下一条地址
dis.prev(addr)：    获取addr上一条低地址
dis.iscallsystem(addr) 判断当前指令是否是系统模块指令
dis.mnemonic(addr)返回addr的助记符号,可以当作参数给 字符串函数使用 straddrstr.streq(dis.mnemonic(cip), "cpuid")
dis.text(addr)：以字符串的形式返回指令文本。可用作与条件,或者其它函数的输入参数.
dis.match(addr, str)：正则表达式匹配,str是正则表达式,判断addr是否命中
例：您可以使用 来查看可以匹配的内容。dis.match(rip,"text.+,0x1")

ref.count() 获取当前参考视图中引用的个数
ref.addr(index); 获取当前EIP位置引用此函数的第几个index函数地址. 

arg.get(index); 获取当前函数堆栈中的第几个参数,假设返回地址在堆栈上,并且我们在函数内部.
arg.set(index,value);设置的索引位置的值为

ex.firstchance()：最后一个异常是否为第一次机会异常。
ex.addr()：最后一个异常地址。例如，导致异常的指令的地址。
ex.code()：最后一个异常代码。
ex.flags()：最后一个异常标志。
ex.infocount()：上次异常信息计数（参数数）。
ex.info(index)：最后一个异常信息，如果索引超出范围，则为零。

typedef struct _EXCEPTION_RECORD {
  DWORD                    ExceptionCode;
  DWORD                    ExceptionFlags;
  struct _EXCEPTION_RECORD *ExceptionRecord;
  PVOID                    ExceptionAddress;
  DWORD                    NumberParameters;
  ULONG_PTR                ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;

$res / $result    ---> 保存了常规结果的变量
$resN / $resultN  ---> 可选的其它结果变量 N的取值为1 - 4 不能超过5 也不能为0
$pid              ---> 保存了当前进程的Pid
$hp / $hprocess   ---> 保存了调试的可执行句柄
$lastalloc        ---> 保存了最后一次使用脚本命令alloc之后的结果
$breakpointcondition ---> 控制条件断点命令中的暂停行为
$breakpointcounter  ---> 在计算条件断点的条件之前 设置的断点的命中计数器
$breakpointlogcondition  --->条件断点的日志条件
$breakpointerexceptionaddress  --->异常断点设置的异常地址
$breakpointlogcondition        --->日志条件变量

mov $res,1
mov $res,1
mov $res1,2
mov $res2,3
mov $res3,4
mov $res4,5
log "{$res}{$res1}{$res2}{$res3}{$res4}"
log "pid = {$pid}"
log "最后一次申请的内存地址为{$lastalloc}"
log "条件断点暂停条件变量 {$breakpointcondition}"
log "条件断点的计数变量 {$breakpointcounter}"
log "条件断点的日志条件变量 {$breakpointlogcondition}"
ret-->
12345
pid = 9B8
最后一次申请的内存地址为0
条件断点暂停条件变量 0
条件断点的计数变量 0
条件断点的日志条件变量 0

 ResetBreakpointHitCount(addr,newCount) 对addr地址设置为新的计数变量

eax ==  && ebx == ; 如果eax ==  并且 ebx == 断下  

byte(addr) == 0x4d    如果取出的内存结果为0x4d 则断下 (可以不加前缀) 

$breakpointcounter ==    
($breakpointcounter % ) ==  

tid() == C0 

strstr(utf8(ecx),"d:\\123") 
或
strstr(utf16([esp + 4]),"123")  == 1   包含123得时候断下
strstr(utf16([esp + 4]),"123") != 1    不包含123得时候断下