x64dbg

x64dbg を使うと、ソースコードのない Windows の実行ファイルを、動かしながら途中で止めて中身を調べられます。この記事では、自分で書いてコンパイルした小さなプログラムを題材に、デバッガーの基本操作を説明します。

この記事は、C などで簡単なプログラムを書いたことがあり、実行中のプログラムの中で何が起きているかを見てみたい人に向けています。読み終えると、次のことができるようになります。

• x64dbg をダウンロードして起動する
• 自作のプログラムを開き、ブレークポイントで止める
• ステップ実行しながら、命令とレジスターの変化を見る

##x64dbg でできること

x64dbg は、Windows 用のオープンソースのデバッガーです。公式 README は、ソースコードのない実行ファイルの解析や、マルウェア解析を主な用途に挙げています。公式サイトによると、次の機能があります。

• EXE と DLL をデバッグする
• 逆アセンブル画面、メモリマップ、シンボル、スレッド、グラフの表示
• 命令の書き換え（パッチ）と、ファイルへの書き出し
• スクリプトによる操作の自動化
• C++ で書くプラグインによる拡張
• コメントやラベルを JSON のデータベースに残す機能

32 ビットと 64 ビットの両方のプログラムを、同じ画面と操作で扱えます。ただし起動する実行ファイルは分かれていて、32 ビットのプログラムには x32dbg.exe、64 ビットのプログラムには x64dbg.exe を使います。

##外と行う通信

調べた範囲では、次のとおりです。

• 更新の確認は、自動では行われません。ソースコードで更新確認を呼び出していたのは、バージョン情報の画面のボタンと、メニューの更新確認の項目だけでした。押すと https://update.x64dbg.com/releases.json に問い合わせます。
• シンボル（関数名などの手がかり）の取得は、symdownload コマンドか、画面の「Download Symbols for This Module」を選んだときに行われます。取得先の既定値は Microsoft のシンボルサーバー（https://msdl.microsoft.com/download/symbols）です。設定画面で変えられます。
• ヘルプやプラグイン一覧のメニューは、ブラウザーで公式サイトを開きます。
• 解析対象のプログラムの通信は、x64dbg では止まりません。対象がネットワークに接続する作りなら、デバッグ中もそのまま通信します。

ここに挙げたのは、ソースコードと公式ドキュメントで確認できた範囲です。すべてのコードを読み切ったわけではありません。

##必要なもの

最新の配布ファイルは、GitHub のリリース 2026.05.27 の snapshot_2026-05-27_12-11.zip です（2026-10-27 に確認）。

##安全な試し方：自分のプログラムをデバッグする

1. 公式のリリースページから、snapshot_<日付>.zip を入手します。symbols-snapshot や x64dbg-pluginsdk で始まるファイルは本体ではないので選びません。
2. 自分のユーザーが書き込める場所に展開します。README が、この条件を示しています。Program Files の下には置かないでください。
3. 展開したフォルダの x96dbg.exe を実行し、使う種類（32 ビットか 64 ビット）を選びます。x32\x32dbg.exe と x64\x64dbg.exe を直接実行しても構いません。x96dbg.exe が出すシェル拡張やデスクトップのショートカットの登録は、この記事では使いません。
4. 練習用に、文字列を表示するだけの小さな C プログラムを自分で書き、64 ビットでコンパイルします。
5. x64dbg の File>Open で、コンパイルしたファイルを開きます。
6. 最初の停止位置は、Options>Preferences の Events で選べます。システムブレークポイント（プロセスの初期化中）や、エントリブレークポイント（実行ファイルの入口）などがあります。
7. 逆アセンブル画面で、気になる命令を選び F2 を押します。ブレークポイントを置けます。
8. F9 で実行を再開します。ブレークポイントに届くと止まります。
9. 止まったら F7（ステップイン）か F8（ステップオーバー）で、1 命令ずつ進めます。レジスターの値が、命令ごとにどう変わるかを見ましょう。
10. 元のソースコードと見比べて、C の文がどんな命令になったかを確かめます。

自分のプログラムで慣れてから、CTF の練習問題など、解析してよいと明記された教材に進むとよいでしょう。

##主な使い方

既定のショートカットキーは、ソースコードの設定に書かれています。

動いているプロセスに接続する Attach もあります。接続できるのは、x64dbg と同じ種類（32 ビットか 64 ビット）のプロセスだけです。32 ビット版の x32dbg では、64 ビットのプロセスに接続できません。

下のコマンド欄からは、コマンドで操作できます。条件付きブレークポイントやログ出力も使えます。詳しくは公式ヘルプの Introduction を読んでください。

##Ghidra との違い

まず Ghidra で全体の構造を読み、動きを確かめたい箇所を x64dbg で追うと、読み進めやすくなります。

##注意点

##次に読む

• Ghidraコンパイル済みのプログラムを読むためのリバースエンジニアリングツールcd ../ghidra
• Wireshark解析対象の通信を記録して調べるパケットアナライザーcd ../wireshark
• 安全な検証環境の作り方cat ~/guides/lab-setup.md