简介x32dbg 与 x64dbg 是 Windows 平台广受欢迎的逆向调试工具本资源即为二者在 Windows 环境下的完整运行包面向逆向工程初学者、安全研究人员及需要分析 32 位与 64 位程序的开发者帮助解决调试器部署与依赖缺失问题。压缩包共收录 151 个文件以 56 个 dll 动态链接库、40 个 png 界面图标、36 个 qm 多语言翻译文件为主另含 5 个 exe 主程序、4 个 txt 说明、4 个 ini 配置、1 个 chm 帮助文档及 css、json 等辅助文件整体约 25.75MB目录结构完整解压即可使用。目前已有 400 人学习下载。资源涵盖主程序、Qt 运行库、界面资源与帮助手册读者可借此快速搭建调试环境熟悉断点设置、反汇编查看与插件加载等操作为后续逆向分析打下基础。1. 从一次崩溃现场说起为什么我坚持用 x32dbg 和 x64dbg 分离调试上周帮一个做逆向的朋友看个样本他图省事在 64 位系统上直接拿 x64dbg 去附加一个 32 位进程结果调试器卡在启动界面转圈进程列表里死活刷不出目标。他以为是自己机器环境坏了重装了三遍运行库最后发现是调试器位数和被测进程位数没对上。这事儿在逆向圈里属于典型的“玄学翻车”——x32dbg 和 x64dbg 虽然同源但二进制文件是分开编译的32 位进程必须用 x32dbg 调64 位进程必须用 x64dbg 调混用轻则附加失败重则调试器直接闪退。这套工具在 Windows 逆向、恶意样本分析、漏洞挖掘场景里几乎是标配装起来不复杂但版本选错、运行库缺失、插件路径写歪都会让你在关键时刻掉链子。这篇笔记就把我装这套环境的完整流程拆开从下载哪个包、怎么配、到装完怎么验证一步步走一遍。2. 环境准备与版本选择x32dbg 和 x64dbg 到底该下哪个包2.1 先搞清楚你的目标进程是 32 位还是 64 位这是整个安装流程里最容易被跳过、也最容易埋雷的一步。很多人拿到一个 exe 就直接双击调试器根本不看目标架构。判断方法很简单用任务管理器看进程详情或者用dumpbin /headers看 PE 头里的 machine 字段。更直接的办法是在 Windows 资源管理器里右键 exe 属性兼容性选项卡里如果能看到“以兼容模式运行”且没有 64 位相关提示大概率是 32 位。但最稳的还是用工具确认。# 用 dumpbin 查看 PE 文件架构需要装 Visual Studio 或 Windows SDK dumpbin /headers target.exe | findstr machine # 输出示例 # 14C machine (x86) - 32 位用 x32dbg # 8664 machine (x64) - 64 位用 x64dbgdumpbin是微软官方工具链里的输出里的14C代表 x86 架构8664代表 x64 架构。如果你手头没有 dumpbin也可以用 PowerShell 读 PE 头但那个脚本写起来啰嗦我一般直接装个 Windows SDK 把 dumpbin 拉出来用。确认架构之后你就知道自己该重点装哪个调试器了。不过实际工作中两个都装是常态因为样本分析经常遇到 32 位加载器释放 64 位 payload 的情况来回切换调试器是家常便饭。2.2 版本选择snapshot 还是 releasex64dbg 的官方发布渠道有两个稳定版 release 和快照版 snapshot。稳定版更新慢但经过社区验证适合生产环境快照版更新频繁新功能多但偶尔会引入回归 bug。我一般推荐新手先用稳定版把环境跑通等熟悉了再换快照版追新功能。截至我写这篇笔记时稳定版停留在 2024 年的某个版本快照版已经迭代了很多轮。具体版本号我不在这里写死因为更新太快你下载的时候看官方页面标注的日期就行。下载的时候注意x64dbg 的发布包通常是一个 zip 压缩包里面同时包含 x32dbg 和 x64dbg 两个可执行文件外加一堆插件和依赖库。不要只解压单个 exe 出来用那样插件路径会乱。我习惯把整个包解压到一个固定目录比如D:\Tools\x64dbg\然后把release或snapshot子目录里的内容全部平铺到这个根目录下。这样后续配插件、写脚本路径都统一。2.3 运行库依赖别让 msvcp140.dll 缺失拦住你x64dbg 是用 Visual Studio 编译的依赖 MSVC 运行库。如果你的系统是刚装完的干净 Windows大概率会缺msvcp140.dll、vcruntime140.dll这几个文件。现象就是双击调试器弹窗报错“找不到 msvcp140.dll”。解决办法不是去网上随便下单个 dll 丢进 System32那样容易版本冲突。正确做法是装完整的 Visual C Redistributable。# 用 winget 安装 VC 运行库Windows 10/11 自带 winget winget install Microsoft.VCRedist.2015.x64 winget install Microsoft.VCRedist.2015.x86 # 如果你没有 winget去微软官网下载 vc_redist.x64.exe 和 vc_redist.x86.exe 手动安装注意 x86 和 x64 两个版本都要装因为 x32dbg 是 32 位程序依赖 x86 运行库x64dbg 是 64 位程序依赖 x64 运行库。只装一个的话另一个调试器启动就会报错。我见过有人只装了 x64 版结果 x32dbg 死活打不开排查半天才发现是运行库缺了 x86 分支。装完之后建议重启一次让环境变量和 dll 缓存刷新。3. 安装与首次配置把 x32dbg 和 x64dbg 跑起来的完整步骤3.1 解压与目录结构规划下载下来的 zip 包解压后你会看到类似这样的结构根目录下有x32dbg.exe、x64dbg.exe、release文件夹、plugins文件夹、db文件夹等。我建议不要直接在压缩包里双击运行而是先解压到一个没有中文、没有空格的路径下。中文路径在某些插件加载时会出编码问题空格路径在命令行传参时容易断句。我自己的习惯是D:\ReverseTools\x64dbg\。解压完之后检查一下plugins目录是否为空。如果为空说明你下的是纯净版后续需要自己加插件如果里面已经有ScyllaHide、xAnalyzer这些说明是整合版。纯净版和整合版没有优劣之分纯净版更可控整合版省事。我一般用纯净版然后按需加插件避免整合包里夹带不明来源的 dll。3.2 首次启动与语言设置双击x64dbg.exe第一次启动会弹出一个配置向导问你语言、主题、是否关联文件类型。语言选项里选简体中文即可但要注意中文翻译可能滞后于英文原版有些新功能的菜单项还是英文。如果你看英文不费劲我建议直接用英文界面省得翻译歧义导致点错菜单。主题选默认的暗色就行亮色看久了眼睛累。配置向导走完之后主界面会打开。这时候先别急着附加进程去Options - Preferences里检查两个关键设置一个是Engine选项卡下的Debugger路径确保指向当前目录另一个是Events选项卡下的System Breakpoint新手建议勾上这样调试器会在系统断点处停下给你时间观察初始状态。老手一般会关掉直接跑起来。3.3 配置符号路径与插件目录符号路径决定了你调试时能不能看到 Windows API 的函数名而不是一堆地址。x64dbg 默认会去微软符号服务器拉 PDB但国内网络访问微软符号服务器有时候很慢。我一般会配一个本地缓存目录然后让调试器优先读本地。; 在 x64dbg 的 Options - Preferences - Symbols 里设置 ; Symbol Path 填写 srv*D:\Symbols*https://msdl.microsoft.com/download/symbols ; 解释 ; srv* 表示使用符号服务器协议 ; D:\Symbols 是本地缓存目录第一次下载后会存到这里 ; 后面的 URL 是微软官方符号服务器地址这个配置的意思是调试器先去D:\Symbols找对应的 PDB 文件找不到再去微软服务器下载下载完自动存到本地。这样第二次调试同一个系统 dll 时就不用再联网了。符号加载是个慢活第一次调ntdll.dll可能要等几分钟耐心点。如果一直卡在加载符号检查一下防火墙有没有拦调试器的出站请求。插件目录的配置在Options - Preferences - Plugins里默认就是根目录下的plugins文件夹。你把下载的插件 dll 丢进去重启调试器就能在Plugins菜单里看到。注意插件也分 32 位和 64 位x32dbg 只能加载 32 位插件x64dbg 只能加载 64 位插件别搞混。4. 避坑与常见问题装 x32dbg/x64dbg 时我踩过的五个坑4.1 现象调试器启动闪退没有任何报错原因最常见的是运行库缺失尤其是msvcp140.dll和vcruntime140.dll。其次是杀软误杀某些安全软件会把调试器的注入行为当成恶意操作直接结束进程。还有一种情况是下载的包不完整解压过程中断了。解决先装完整的 VC 运行库x86 和 x64 都装。然后把调试器目录加到杀软白名单里。最后校验一下压缩包的哈希值确保下载完整。如果还闪退去 Windows 事件查看器里看应用程序日志通常会有具体的错误模块名。4.2 现象附加 32 位进程时提示“不支持的架构”原因用了 x64dbg 去附加 32 位进程或者反过来。这是最典型的位数不匹配问题。解决确认目标进程位数换对应的调试器。如果你经常搞混可以在桌面建两个快捷方式分别命名为“调32位”和“调64位”指向不同的 exe。另外某些进程是 WoW64 模式运行的任务管理器里显示的是 32 位但实际宿主是 64 位这种情况要用 x32dbg 附加。4.3 现象符号加载失败API 显示为地址原因符号路径配错或者网络连不上微软符号服务器。也有可能是调试器版本太老不兼容新的 PDB 格式。解决检查符号路径是否写成了srv*D:\Symbols*https://msdl.microsoft.com/download/symbols注意星号不能少。如果网络问题可以手动下载对应 dll 的 PDB 放到本地缓存目录。另外确保调试器是最新稳定版老版本对新型 PDB 支持不好。4.4 现象插件加载后调试器崩溃原因插件位数不对或者插件依赖的 dll 缺失。有些插件是用老版本 SDK 编译的和新版调试器不兼容。解决确认插件位数和调试器一致。用 Dependencies 工具查看插件 dll 的依赖树缺什么补什么。如果插件年久失修去它的发布页看有没有更新版本没有就换替代插件。我一般只装 ScyllaHide 和 xAnalyzer 这两个够用了。4.5 现象调试时断点不生效程序直接跑飞原因目标程序有反调试保护检测到调试器后改变了执行流程。或者断点下在了被加密的代码段实际执行时已经解密到别处。解决用 ScyllaHide 插件对抗常见反调试。如果是自解密代码在解密完成后的入口下断点而不是在文件原始入口。另外检查调试器的异常设置有些异常被忽略掉了导致断点没触发。5. 装完怎么验证三个场景跑通才算环境没问题5.1 验证一用 x32dbg 调一个 32 位记事本最直接的验证方法就是拿系统自带的 32 位程序练手。在 64 位 Windows 上C:\Windows\SysWOW64\notepad.exe是 32 位版本C:\Windows\System32\notepad.exe是 64 位版本。用 x32dbg 打开 SysWOW64 下的记事本看能不能正常断在入口点。# 用 x32dbg 命令行模式加载 32 位记事本并断在入口 x32dbg.exe -a C:\Windows\SysWOW64\notepad.exe # 如果调试器正常启动并停在系统断点说明 x32dbg 环境 OK # 按 F9 继续运行记事本窗口应该正常弹出这一步验证的是 x32dbg 的基本加载能力和运行库完整性。如果记事本弹不出来或者调试器卡死回去检查运行库和杀软白名单。5.2 验证二用 x64dbg 调一个 64 位程序并加载符号同样地用 x64dbg 打开C:\Windows\System32\notepad.exe然后在命令栏输入bp CreateFileW下断点看能不能断下来并显示函数名。# 在 x64dbg 命令栏输入 bp CreateFileW # 然后按 F9 运行如果断点命中且符号显示为 kernel32!CreateFileW # 说明符号路径配置正确x64 调试环境完整这一步验证的是符号加载和断点机制。如果断点命中但显示的是地址而不是函数名说明符号没加载成功回去检查符号路径和网络。5.3 验证三插件加载与脚本执行最后验证插件系统。把 ScyllaHide 的 dll 放进 plugins 目录重启 x64dbg看 Plugins 菜单里有没有出现 ScyllaHide 选项。然后随便写个简单的脚本测试脚本引擎。// 在 x64dbg 的脚本窗口里跑这段测试脚本引擎是否正常 // 功能在入口点打印一条日志 log Script engine is working; // 如果日志窗口输出这句话说明脚本引擎 OK脚本引擎正常的话日志窗口会立刻显示这行文字。如果没反应检查脚本引擎插件是否被禁用。x64dbg 内置的脚本引擎有时候会被杀软拦截加白名单即可。三个验证都跑通之后这套环境就算真正装好了。从那以后我每次在新机器上部署调试环境都会强制走一遍这三个验证不跳过任何一步。因为调试器这东西平时用着没问题一到关键时刻掉链子浪费的时间远比装环境多得多。希望帮到你。本文还有配套的精品资源点击获取