2026/9/19 19:04:08
FEATURED · 精选文章 
x64dbg 内存断点命令条件SetMemoryBreakpointCommandCondition完全指南【免费下载链接】x64dbgAn open-source user mode debugger for Windows. Optimized for reverse engineering and malware analysis.项目地址: https://gitcode.com/gh_mirrors/x6/x64dbg本文基于 x64dbg 官方命令参考文档深入讲解SetMemoryBreakpointCommandCondition内存断点命令条件命令的用法、参数语义、底层实现原理与实战场景。你将掌握如何为内存断点GUARD_PAGE 断点设置命令的执行门槛区分断点中断条件与命令执行条件以及条件表达式求值失败时的回退行为从而在逆向分析与恶意软件动态调试中实现命中不中断、仅按条件执行脚本的精细化控制。命令总览SetMemoryBreakpointCommandCondition用于设置内存断点的命令条件command condition。它是 x64dbg 条件断点控制命令族Conditional Breakpoint Control中针对内存断点BPMEMORY类型的一员。官方文档对其核心语义的定义如下当命令条件未指定时命令会在调试器将要中断break时执行否则命令只在条件满足时执行。也就是说该命令本身不决定调试器是否暂停它只决定命中断点时绑定的命令command text是否被执行。语法SetMemoryBreakpointCommandCondition arg1 [, arg2]参数含义是否必填arg1内存断点的地址必填[arg2]命令条件表达式未指定时使用默认条件可选结果该命令不设置任何结果变量result variables。成功与否只能通过命令行的反馈输出如 No such breakpoint 或 Cant set command condition on breakpoint判断。与其他内存断点命令的分工x64dbg 的内存断点由一系列SetMemoryBreakpoint*命令协同管理SetMemoryBreakpointCommandCondition只负责其中一个字段。与之配套的命令包括SetMemoryBPX/membp/bpm在指定地址所在的整个内存区域上创建内存断点基于GUARD_PAGE机制。参数arg3可指定a读写执行默认、r读、w写或x执行SetMemoryBreakpointCommand设置断点命中时执行的命令文本command textSetMemoryBreakpointCondition设置断点中断条件break condition条件每次命中时求值只有结果不为0调试器才停止SetMemoryBreakpointCommandCondition本文设置命令条件控制命中后是否执行 command textSetMemoryBreakpointLogCondition设置日志条件控制日志文本是否输出SetMemoryBreakpointFastResume设置快速恢复命中且中断条件为0时直接继续运行SetMemoryBreakpointSilent静默模式抑制标准日志输出SetMemoryBreakpointSingleshoot一次性断点。一个典型的内存断点完整配置流程是bpm 401000, 0, r ; 对 0x401000 所在内存区域设置读断点 SetMemoryBreakpointCommand 401000, log \hit: {p:eax}\ SetMemoryBreakpointCommandCondition 401000, eax41424344 SetMemoryBreakpointCondition 401000, 1命令条件在断点命中流程中的位置要准确理解命令条件必须把它放回 x64dbg 的断点命中处理流程中。官方文档 Conditional Breakpoints 给出的完整操作序列如下设置系统变量$breakpointexceptionaddress为触发断点的地址内存位置递增hit counter命中计数器并设置系统变量$breakpointcounter为该计数值若设置了break condition求值表达式默认1若设置了fast resume且 break condition 求值为0直接恢复被调试程序运行跳过后续步骤包括插件回调和 GUI 更新若设置了log condition求值表达式默认1若设置了command condition求值表达式默认1若 break condition 求值为非0打印标准日志除非断点被设为 silent、执行插件回调若设置了log text且 log condition 求值为非0格式化并打印日志文本若设置了command text且 command condition 求值为非0设置系统变量$breakpointcondition为 break condition 的值设置系统变量$breakpointlogcondition为 log condition 的值执行 command text 中的命令之后 break condition 会被$breakpointcondition的值覆盖——因此在脚本中修改该变量可以控制调试器是否暂停若 break condition 求值为非0中断被调试程序等待用户恢复。由此可见command condition 只影响第 9 步中 command text 是否执行不直接影响调试器是否暂停。即使 command condition 为假只要 break condition 为真调试器依然会中断。从 debugger.cpp 的源码可以看到这一逻辑的直接实现if(!bp.commandCondition.empty()) { commandCondition getConditionValue(bp.commandCondition); if(commandCondition -1) { dputs(QT_TRANSLATE_NOOP(DBG, Error when evaluating command condition.)); breakCondition -1; // Force breaking when an error occurs commandCondition 0; // Dont execute any command if an error occurs } } else { // NOTE: This behavior was changed in a breaking way, but too many people were confused if(breakCondition ! -1) commandCondition 1; // If no condition is set, always execute the command else commandCondition 0; // Dont execute any command if an error occurs }关键点未设置 command condition时命令在调试器要中断break condition 非0时执行——这正是文档中default condition的含义行为上等价于命令条件恒为1设置了 command condition时命令仅在条件求值为非0时执行条件表达式无效求值返回-1时会强制 break condition 为-1即强制中断同时命令不执行。这符合 Conditional Breakpoints 中任何表达式无效都会触发条件的总规则。源码级实现解析命令注册命令在 x64dbg.cpp 中注册dbgcmdnew(SetMemoryBreakpointCommandCondition, cbDebugSetBPXMemoryCommandCondition, true);命令回调回调函数位于 cmd-conditional-breakpoint-control.cppbool cbDebugSetBPXMemoryCommandCondition(int argc, char* argv[]) { return cbDebugSetBPXCommandConditionCommon(BPMEMORY, argc, argv); }它与其他断点类型普通、硬件、DLL、异常断点共用同一个通用函数static bool cbDebugSetBPXCommandConditionCommon(BP_TYPE Type, int argc, char* argv[]) { return cbDebugSetBPXTextCommon(Type, argc, argv, String(GuiTranslateText(QT_TRANSLATE_NOOP(DBG, command condition))), BpSetCommandCondition); }最终落到文本类通用处理函数cbDebugSetBPXTextCommon同一文件static bool cbDebugSetBPXTextCommon(BP_TYPE Type, int argc, char* argv[], const String description, const std::functionbool(duint, BP_TYPE, const char*) setFunction) { BREAKPOINT bp; if(IsArgumentsLessThan(argc, 2)) return false; const char* value ; if(argc 2) value argv[2]; if(!BpGetAny(Type, argv[1], bp)) { dprintf(QT_TRANSLATE_NOOP(DBG, No such breakpoint \%s\\n), argv[1]); return false; } if(!setFunction(bp.addr, Type, value)) { dprintf(QT_TRANSLATE_NOOP(DBG, Cant set %s on breakpoint \%s\\n), description.c_str(), argv[1]); return false; } DebugUpdateBreakpointsViewAsync(); return true; }这段代码揭示了两个值得注意的实现细节省略arg2等价于传入空字符串value默认初始化为因此SetMemoryBreakpointCommandCondition 401000会把命令条件清空使其回到调试器中断时执行命令的默认行为地址查找BpGetAny(Type, argv[1], bp)按类型和地址/名称查找断点若断点不存在会输出 No such breakpoint 并返回失败成功设置后会通过DebugUpdateBreakpointsViewAsync()异步刷新断点视图。底层写入BpSetCommandCondition实现在 breakpoint.cppbool BpSetCommandCondition(duint Address, BP_TYPE Type, const char* Condition) { ASSERT_DEBUGGING(Command function call); EXCLUSIVE_ACQUIRE(LockBreakpoints); BREAKPOINT* bpInfo BpInfoFromAddr(Type, Address); if(!bpInfo) return false; bpInfo-commandCondition Condition; return true; }它通过BpInfoFromAddr按地址定位断点对象在断点锁保护下直接写入commandCondition字段。该字段同样可通过BpSetFieldText(Ref, bpf_commandcondition, Value)breakpoint.cpp这一通用字段写入接口修改并可通过BpGetFieldText的bpf_commandcondition枚举读取breakpoint.cpp。持久化与迁移命令条件会随数据库一起保存/加载在 breakpoint.cpp 中序列化时以 JSON 键commandCondition写入加载时通过loadStringValue(value, breakpoint.commandCondition, commandCondition)恢复breakpoint.cpp。源码注释还记录了一次行为变更On 2023-06-10 the default of the command condition was changed from$breakpointconditionto 1即旧版本未设置命令条件时行为等价于$breakpointcondition现版本改为等价于1breakpoint.cpp并提供了migrateCommandCondition迁移逻辑。条件表达式的写法arg2是一个 x64dbg 表达式expression完整语法见 Expressions 与 Expression Functions。官方文档特别强调Warning: All numbers in expressions are interpreted as hex by default!For decimal use.123.即表达式中的数字默认按十六进制解释十进制数需要加.前缀。例如判断 EAX 是否等于十进制 100应写作eax.100而非eax100。来自 Conditional Breakpoints 的常用条件示例同样适用于命令条件需求表达式永不满足不执行命令0EAX 与 ECX 同时为 1EAX1 ECX1第一个参数为 1arg.get(0)1EAX 是有效地址mem.valid(EAX)第 3 次命中才满足$breakpointcounter3或($breakpointcounter%3)0仅当线程 ID 为 0x1C0 执行时满足tid()1C0ECX 指向含 foo 的 UTF-16 字符串strstr(utf16(ECX), foo)条件求值中可用的系统变量还包括$breakpointcounter命中计数与$breakpointcondition控制暂停行为的系统变量见 Variables。实战场景场景一命中即记录但从不中断结合 SetMemoryBreakpointSilent 与日志命令可以做到对内存访问无感监控bpm 405000, 0, w SetMemoryBreakpointSilent 405000 SetMemoryBreakpointCommand 405000, log \write at {p:cip}, value{p:eax}\ SetMemoryBreakpointCondition 405000, 0这里 break condition 为0调试器不会中断command condition 未设置默认1因此每次写入都会执行日志命令。场景二只在特定值出现时执行命令bpm 405000, 0, w SetMemoryBreakpointCommand 405000, log \magic value written: {p:eax}\; SetMemoryBreakpointCondition 405000, 0 SetMemoryBreakpointCommandCondition 405000, eax41424344只有 EAX 等于0x41424344ABCD时命令条件为真日志命令才会执行。场景三用命令条件替代断点命令中不稳定的运行控制官方文档明确警告不要在断点命令中使用会改变被调试程序运行状态的命令如run这类命令在此处不稳定应改用 break condition、command condition 或$breakpointconditionConditional Breakpoints。命令条件因此是按条件执行动作、但把暂停决定权交给 break condition的推荐手段。GUI 中的对应操作在断点视图Breakpoints View右键内存断点可编辑其命令条件字段断点字段的 GUI 展示与 Edit Breakpoint 对话框逻辑位于 BreakpointsView.cpp保存断点数据库时GUI 会把该字段翻译回命令执行见 Breakpoints.cppexec(QString(SetMemoryBreakpointCommandCondition %1, \%2\).arg(addrText).arg(DbgCmdEscape(bp.commandCondition)));这说明 GUI 的命令条件编辑框与命令行命令是同一底层字段bpf_commandcondition二者完全等价。常见错误与注意事项断点不存在arg1指定的地址上若没有内存断点命令会输出 No such breakpoint 并失败——需先用bpm创建断点条件表达式无效求值错误时命令不会执行且会强制中断调试器break condition 被强制为-1并在日志中输出 Error when evaluating command condition.数字默认十六进制十进制数务必使用.前缀如.100命令条件与中断条件分离command condition 只控制命令是否执行不控制是否暂停需要命中不暂停时请将 break condition 设为0清空命令条件省略arg2或传空字符串可将命令条件重置为默认行为调试器中断时执行命令。小结SetMemoryBreakpointCommandCondition是 x64dbg 内存断点精细化控制中命令执行闸门的开关它与 SetMemoryBreakpointCondition暂停闸门、SetMemoryBreakpointLogCondition日志闸门共同构成断点命中后三路独立的求值分支全部默认值为1。理解这条命令是掌握 x64dbg 条件断点体系中命中、记录、执行命令、暂停四件事彼此解耦的关键一步。【免费下载链接】x64dbgAn open-source user mode debugger for Windows. Optimized for reverse engineering and malware analysis.项目地址: https://gitcode.com/gh_mirrors/x6/x64dbg创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
x64dbg 内存断点命令条件（SetMemoryBreakpointCommandCondition）完全指南
x64dbg 内存断点命令条件SetMemoryBreakpointCommandCondition完全指南【免费下载链接】x64dbgAn open-source user mode debugger for Windows. Optimized for reverse engineering and malware analysis.项目地址: https://gitcode.com/gh_mirrors/x6/x64dbg本文基于 x64dbg 官方命令参考文档深入讲解SetMemoryBreakpointCommandCondition内存断点命令条件命令的用法、参数语义、底层实现原理与实战场景。你将掌握如何为内存断点GUARD_PAGE 断点设置命令的执行门槛区分断点中断条件与命令执行条件以及条件表达式求值失败时的回退行为从而在逆向分析与恶意软件动态调试中实现命中不中断、仅按条件执行脚本的精细化控制。命令总览SetMemoryBreakpointCommandCondition用于设置内存断点的命令条件command condition。它是 x64dbg 条件断点控制命令族Conditional Breakpoint Control中针对内存断点BPMEMORY类型的一员。官方文档对其核心语义的定义如下当命令条件未指定时命令会在调试器将要中断break时执行否则命令只在条件满足时执行。也就是说该命令本身不决定调试器是否暂停它只决定命中断点时绑定的命令command text是否被执行。语法SetMemoryBreakpointCommandCondition arg1 [, arg2]参数含义是否必填arg1内存断点的地址必填[arg2]命令条件表达式未指定时使用默认条件可选结果该命令不设置任何结果变量result variables。成功与否只能通过命令行的反馈输出如 No such breakpoint 或 Cant set command condition on breakpoint判断。与其他内存断点命令的分工x64dbg 的内存断点由一系列SetMemoryBreakpoint*命令协同管理SetMemoryBreakpointCommandCondition只负责其中一个字段。与之配套的命令包括SetMemoryBPX/membp/bpm在指定地址所在的整个内存区域上创建内存断点基于GUARD_PAGE机制。参数arg3可指定a读写执行默认、r读、w写或x执行SetMemoryBreakpointCommand设置断点命中时执行的命令文本command textSetMemoryBreakpointCondition设置断点中断条件break condition条件每次命中时求值只有结果不为0调试器才停止SetMemoryBreakpointCommandCondition本文设置命令条件控制命中后是否执行 command textSetMemoryBreakpointLogCondition设置日志条件控制日志文本是否输出SetMemoryBreakpointFastResume设置快速恢复命中且中断条件为0时直接继续运行SetMemoryBreakpointSilent静默模式抑制标准日志输出SetMemoryBreakpointSingleshoot一次性断点。一个典型的内存断点完整配置流程是bpm 401000, 0, r ; 对 0x401000 所在内存区域设置读断点 SetMemoryBreakpointCommand 401000, log \hit: {p:eax}\ SetMemoryBreakpointCommandCondition 401000, eax41424344 SetMemoryBreakpointCondition 401000, 1命令条件在断点命中流程中的位置要准确理解命令条件必须把它放回 x64dbg 的断点命中处理流程中。官方文档 Conditional Breakpoints 给出的完整操作序列如下设置系统变量$breakpointexceptionaddress为触发断点的地址内存位置递增hit counter命中计数器并设置系统变量$breakpointcounter为该计数值若设置了break condition求值表达式默认1若设置了fast resume且 break condition 求值为0直接恢复被调试程序运行跳过后续步骤包括插件回调和 GUI 更新若设置了log condition求值表达式默认1若设置了command condition求值表达式默认1若 break condition 求值为非0打印标准日志除非断点被设为 silent、执行插件回调若设置了log text且 log condition 求值为非0格式化并打印日志文本若设置了command text且 command condition 求值为非0设置系统变量$breakpointcondition为 break condition 的值设置系统变量$breakpointlogcondition为 log condition 的值执行 command text 中的命令之后 break condition 会被$breakpointcondition的值覆盖——因此在脚本中修改该变量可以控制调试器是否暂停若 break condition 求值为非0中断被调试程序等待用户恢复。由此可见command condition 只影响第 9 步中 command text 是否执行不直接影响调试器是否暂停。即使 command condition 为假只要 break condition 为真调试器依然会中断。从 debugger.cpp 的源码可以看到这一逻辑的直接实现if(!bp.commandCondition.empty()) { commandCondition getConditionValue(bp.commandCondition); if(commandCondition -1) { dputs(QT_TRANSLATE_NOOP(DBG, Error when evaluating command condition.)); breakCondition -1; // Force breaking when an error occurs commandCondition 0; // Dont execute any command if an error occurs } } else { // NOTE: This behavior was changed in a breaking way, but too many people were confused if(breakCondition ! -1) commandCondition 1; // If no condition is set, always execute the command else commandCondition 0; // Dont execute any command if an error occurs }关键点未设置 command condition时命令在调试器要中断break condition 非0时执行——这正是文档中default condition的含义行为上等价于命令条件恒为1设置了 command condition时命令仅在条件求值为非0时执行条件表达式无效求值返回-1时会强制 break condition 为-1即强制中断同时命令不执行。这符合 Conditional Breakpoints 中任何表达式无效都会触发条件的总规则。源码级实现解析命令注册命令在 x64dbg.cpp 中注册dbgcmdnew(SetMemoryBreakpointCommandCondition, cbDebugSetBPXMemoryCommandCondition, true);命令回调回调函数位于 cmd-conditional-breakpoint-control.cppbool cbDebugSetBPXMemoryCommandCondition(int argc, char* argv[]) { return cbDebugSetBPXCommandConditionCommon(BPMEMORY, argc, argv); }它与其他断点类型普通、硬件、DLL、异常断点共用同一个通用函数static bool cbDebugSetBPXCommandConditionCommon(BP_TYPE Type, int argc, char* argv[]) { return cbDebugSetBPXTextCommon(Type, argc, argv, String(GuiTranslateText(QT_TRANSLATE_NOOP(DBG, command condition))), BpSetCommandCondition); }最终落到文本类通用处理函数cbDebugSetBPXTextCommon同一文件static bool cbDebugSetBPXTextCommon(BP_TYPE Type, int argc, char* argv[], const String description, const std::functionbool(duint, BP_TYPE, const char*) setFunction) { BREAKPOINT bp; if(IsArgumentsLessThan(argc, 2)) return false; const char* value ; if(argc 2) value argv[2]; if(!BpGetAny(Type, argv[1], bp)) { dprintf(QT_TRANSLATE_NOOP(DBG, No such breakpoint \%s\\n), argv[1]); return false; } if(!setFunction(bp.addr, Type, value)) { dprintf(QT_TRANSLATE_NOOP(DBG, Cant set %s on breakpoint \%s\\n), description.c_str(), argv[1]); return false; } DebugUpdateBreakpointsViewAsync(); return true; }这段代码揭示了两个值得注意的实现细节省略arg2等价于传入空字符串value默认初始化为因此SetMemoryBreakpointCommandCondition 401000会把命令条件清空使其回到调试器中断时执行命令的默认行为地址查找BpGetAny(Type, argv[1], bp)按类型和地址/名称查找断点若断点不存在会输出 No such breakpoint 并返回失败成功设置后会通过DebugUpdateBreakpointsViewAsync()异步刷新断点视图。底层写入BpSetCommandCondition实现在 breakpoint.cppbool BpSetCommandCondition(duint Address, BP_TYPE Type, const char* Condition) { ASSERT_DEBUGGING(Command function call); EXCLUSIVE_ACQUIRE(LockBreakpoints); BREAKPOINT* bpInfo BpInfoFromAddr(Type, Address); if(!bpInfo) return false; bpInfo-commandCondition Condition; return true; }它通过BpInfoFromAddr按地址定位断点对象在断点锁保护下直接写入commandCondition字段。该字段同样可通过BpSetFieldText(Ref, bpf_commandcondition, Value)breakpoint.cpp这一通用字段写入接口修改并可通过BpGetFieldText的bpf_commandcondition枚举读取breakpoint.cpp。持久化与迁移命令条件会随数据库一起保存/加载在 breakpoint.cpp 中序列化时以 JSON 键commandCondition写入加载时通过loadStringValue(value, breakpoint.commandCondition, commandCondition)恢复breakpoint.cpp。源码注释还记录了一次行为变更On 2023-06-10 the default of the command condition was changed from$breakpointconditionto 1即旧版本未设置命令条件时行为等价于$breakpointcondition现版本改为等价于1breakpoint.cpp并提供了migrateCommandCondition迁移逻辑。条件表达式的写法arg2是一个 x64dbg 表达式expression完整语法见 Expressions 与 Expression Functions。官方文档特别强调Warning: All numbers in expressions are interpreted as hex by default!For decimal use.123.即表达式中的数字默认按十六进制解释十进制数需要加.前缀。例如判断 EAX 是否等于十进制 100应写作eax.100而非eax100。来自 Conditional Breakpoints 的常用条件示例同样适用于命令条件需求表达式永不满足不执行命令0EAX 与 ECX 同时为 1EAX1 ECX1第一个参数为 1arg.get(0)1EAX 是有效地址mem.valid(EAX)第 3 次命中才满足$breakpointcounter3或($breakpointcounter%3)0仅当线程 ID 为 0x1C0 执行时满足tid()1C0ECX 指向含 foo 的 UTF-16 字符串strstr(utf16(ECX), foo)条件求值中可用的系统变量还包括$breakpointcounter命中计数与$breakpointcondition控制暂停行为的系统变量见 Variables。实战场景场景一命中即记录但从不中断结合 SetMemoryBreakpointSilent 与日志命令可以做到对内存访问无感监控bpm 405000, 0, w SetMemoryBreakpointSilent 405000 SetMemoryBreakpointCommand 405000, log \write at {p:cip}, value{p:eax}\ SetMemoryBreakpointCondition 405000, 0这里 break condition 为0调试器不会中断command condition 未设置默认1因此每次写入都会执行日志命令。场景二只在特定值出现时执行命令bpm 405000, 0, w SetMemoryBreakpointCommand 405000, log \magic value written: {p:eax}\; SetMemoryBreakpointCondition 405000, 0 SetMemoryBreakpointCommandCondition 405000, eax41424344只有 EAX 等于0x41424344ABCD时命令条件为真日志命令才会执行。场景三用命令条件替代断点命令中不稳定的运行控制官方文档明确警告不要在断点命令中使用会改变被调试程序运行状态的命令如run这类命令在此处不稳定应改用 break condition、command condition 或$breakpointconditionConditional Breakpoints。命令条件因此是按条件执行动作、但把暂停决定权交给 break condition的推荐手段。GUI 中的对应操作在断点视图Breakpoints View右键内存断点可编辑其命令条件字段断点字段的 GUI 展示与 Edit Breakpoint 对话框逻辑位于 BreakpointsView.cpp保存断点数据库时GUI 会把该字段翻译回命令执行见 Breakpoints.cppexec(QString(SetMemoryBreakpointCommandCondition %1, \%2\).arg(addrText).arg(DbgCmdEscape(bp.commandCondition)));这说明 GUI 的命令条件编辑框与命令行命令是同一底层字段bpf_commandcondition二者完全等价。常见错误与注意事项断点不存在arg1指定的地址上若没有内存断点命令会输出 No such breakpoint 并失败——需先用bpm创建断点条件表达式无效求值错误时命令不会执行且会强制中断调试器break condition 被强制为-1并在日志中输出 Error when evaluating command condition.数字默认十六进制十进制数务必使用.前缀如.100命令条件与中断条件分离command condition 只控制命令是否执行不控制是否暂停需要命中不暂停时请将 break condition 设为0清空命令条件省略arg2或传空字符串可将命令条件重置为默认行为调试器中断时执行命令。小结SetMemoryBreakpointCommandCondition是 x64dbg 内存断点精细化控制中命令执行闸门的开关它与 SetMemoryBreakpointCondition暂停闸门、SetMemoryBreakpointLogCondition日志闸门共同构成断点命中后三路独立的求值分支全部默认值为1。理解这条命令是掌握 x64dbg 条件断点体系中命中、记录、执行命令、暂停四件事彼此解耦的关键一步。【免费下载链接】x64dbgAn open-source user mode debugger for Windows. Optimized for reverse engineering and malware analysis.项目地址: https://gitcode.com/gh_mirrors/x6/x64dbg创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
