逆向基础笔记七 堆栈图（重点）

风吹吹蛋蛋疼风w

继续更新个人的学习笔记，
其它笔记传送门
逆向底子笔记一 进制篇
逆向底子笔记二 数据宽度和逻辑运算
逆向底子笔记三 通用寄存器和内存读写
逆向底子笔记四 堆栈篇
逆向底子笔记五 标志寄存器
逆向底子笔记六 汇编跳转和比较指令
逆向底子笔记八 反汇编分析C语言
逆向底子笔记九 C语言内联汇编和调用协定
逆向底子笔记十 汇编寻找C步伐入口
逆向底子笔记十一 汇编C语言基本范例
逆向底子笔记十二 汇编 全局和局部 变量
逆向底子笔记十三 汇编C语言范例转换
逆向底子笔记十四 汇编嵌套if else
逆向底子笔记十五 汇编比较三种循环
逆向底子笔记十六 汇编一维数组
逆向底子笔记十七 汇编二维数组 位移 乘法
逆向底子笔记十八 汇编 结构体和内存对齐
逆向底子笔记十九 汇编switch比较if else
逆向底子笔记二十 汇编 指针（一）
逆向底子笔记二十一 汇编 指针（二）
逆向底子笔记二十二 汇编 指针（三）
逆向底子笔记二十三 汇编 指针（四）
逆向底子笔记二十四 汇编 指针（五） 系列完结
这篇笔记是前面笔记的一个阶段性应用，会用到不少前面笔记的知识点，也是逆向学习中极其重要的部门，因此篇幅较长，希望对各人能有所帮助
堆栈图

首先给定一段反汇编代码，分析该段代码的堆栈的变化情况，并绘制出堆栈图
函数调用

00401168  |.  6A 02         push 0x20040116A  |.  6A 01         push 0x10040116C  |.  E8 99FEFFFF   call HelloWor.0040100A00401171  |.  83C4 08       add esp,0x8CALL内部

00401040  /> \55            push ebp00401041  |.  8BEC          mov ebp,esp00401043  |.  83EC 40       sub esp,0x4000401046  |.  53            push ebx00401047  |.  56            push esi00401048  |.  57            push edi00401049  |.  8D7D C0       lea edi,dword ptr ss:[ebp-0x40]0040104C  |.  B9 10000000   mov ecx,0x1000401051  |.  B8 CCCCCCCC   mov eax,0xCCCCCCCC00401056  |.  F3:AB         rep stos dword ptr es:[edi]00401058  |.  8B45 08       mov eax,dword ptr ss:[ebp+0x8]0040105B  |.  0345 0C       add eax,dword ptr ss:[ebp+0xC]0040105E  |.  5F            pop edi                                  ;  HelloWor.004011710040105F  |.  5E            pop esi                                  ;  HelloWor.0040117100401060  |.  5B            pop ebx                                  ;  HelloWor.0040117100401061  |.  8BE5          mov esp,ebp00401063  |.  5D            pop ebp                                  ;  HelloWor.0040117100401064  \.  C3            retn开始分析

分析流程较为冗长，大概会有些乏味，可以先看末了的流程总结，再来看分析的细节
我们现在开始逐语句分析堆栈的变化情况：
实行前


寄存器状态


堆栈内容


初始堆栈图

我们观察堆栈的情况：
此时ESP:0012FF34        EBP:0012FF80
结合寄存器和堆栈内容绘出简易堆栈图

实行中

压入参数

00401168  |.  6A 02         push 0x2                        

可以看到实行后ESP淘汰了4=0012FF30        并且0012FF30里的内容为2，这就是所谓的入栈操作
0040116A  |.  6A 01         push 0x1                        

可以看到实行后ESP又淘汰了4=0012FF2C ，并且0012FF2C里的内容为1
上面的两条push语句是将两个立刻数 2和1压入到堆栈中，我们可以画出对应的堆栈图：

CALL指令

0040116C  |.  E8 99FEFFFF   call HelloWor.0040100AF7单步步入



可以看到CALL之后跳转到了0040100A，并且esp又淘汰了4=0012FF28
而且我们可以留意到此时堆栈中0012FF28存放的内容是：00401171恰好是我们call指令的下一行指令的地址
0040116C  |.  E8 99FEFFFF   call HelloWor.0040100A00401171  |.  83C4 08       add esp,0x8所以应证了前面所学的call指令会将要返回的地址压入栈中来生存现场
此时的堆栈图为

接着我们就跳转到了call的内部
CALL内部指令

初始化堆栈


00401040  /> \55            push ebpESP变化

堆栈内容

EBP被压入到堆栈中，此时堆栈图为

接着实行
00401041  |.  8BEC          mov ebp,espebp赋值为esp，此时堆栈图为

接着实行
00401043  |.  83EC 40       sub esp,0x40

将esp的值减去0x40=64，我们这里的相差的数据宽度为4即16,64/4=16，因此堆栈图里多了16格（蓝色部门），这种操作常被叫做提升堆栈，此时堆栈图为：

我们可以发现提升完堆栈以后，堆栈的数据有些★意义不明★，这是因为堆栈中存放的是临时的数据，大概是之前利用时没有清理的垃圾数据
接着实行
00401046  |.  53            push ebx00401047  |.  56            push esi00401048  |.  57            push edi将三个通用寄存器压入堆栈，用于保护现场，留意CALL之前和CALL之后，其前后环境要一致，这就是所谓的堆栈平衡

堆栈内容

根据此时的堆栈内容绘制堆栈图

接着实行
00401049  |.  8D7D C0       lea edi,dword ptr ss:[ebp-0x40]
将ebp-40所指向的内存地址赋给edi
前面我们实行了sub esp,0x40 所以这里其实就是将那时esp的地址传给了edi（就是push ebx esi edi）之前的的esp
此时堆栈图并发生没有变化
接着看下一行
0040104C  |.  B9 10000000   mov ecx,0x1000401051  |.  B8 CCCCCCCC   mov eax,0xCCCCCCCC分别给ecx和eax赋值，堆栈图仍旧没有发生变化



接着看下一行
00401056  |.  F3:AB         rep stos dword ptr es:[edi]这条语句用到了我们前面所学的逆向底子笔记五 标志寄存器中的内容（如有疑惑可前往检察）
rep的作用是，重复实行 stos dword ptr es:[edi]，每次实行都会使ecx-1，直到ecx为0再实行下一条语句
前面赋值ecx为0x10=16，恰好对应我们堆栈图中蓝色的格子数，所以将会实行16次
stos dword ptr es:[edi]则是将eax的值赋值给edi所指向的内存地址里的值，并且每实行一次edi都会增长4（D标志位为0所以是增长）
结合前面edi==esp，这里其实是将我们提升堆栈的那部门内存区域初始化
此时的堆栈内容为

很明显地看到原本的垃圾数据被我们初始化为了CCCCCCCC
堆栈图也变成了

实际实行内容

接着看下面的代码
00401058  |.  8B45 08       mov eax,dword ptr ss:[ebp+0x8]0040105B  |.  0345 0C       add eax,dword ptr ss:[ebp+0xC]

根据堆栈图我们可以很清晰地看出
[ebp+0x8]正是我们call外部push的参数：1
[ebp+0xc]正是我们call外部push的参数：2
这里是将eax赋值为1，然后再给eax+2，终极结果eax=3
还原现场并返回

此时堆栈图仍旧没有发生变化，接着看下面的语句
0040105E  |.  5F            pop edi                                  ;  HelloWor.004011710040105F  |.  5E            pop esi                                  ;  HelloWor.0040117100401060  |.  5B            pop ebx                                  ;  HelloWor.00401171出栈，还原现场，堆栈图

下一条
00401061  |.  8BE5          mov esp,ebp
还原esp，前面mov ebp,esp对应也要还原
此时堆栈图为:

继续看下一条指令
00401063  |.  5D            pop ebp                                  ;  HelloWor.00401171
将ebp出栈，恢复现场，此时的堆栈图为

末了一句
00401064  \.  C3            retn此时栈顶为

返回，相当于于pop eip
实行后

实行后的堆栈图为

实行返回后

此时返回到了

也就是之前call的下一句指令
00401171  |.  83C4 08       add esp,0x8
此时的堆栈图

我们可以发现此时的ESP和EBP又变回到了原本实行前的状态，(寄存器也一样)，这就是所谓的堆栈平衡
总结

通过上面的分析，我们可以得出这段代码所处置惩罚的大致流程
可分为三个部门：压入参数、调用CALL、CALL返回后
压入参数

压入参数部门非常简朴，就是将调用CALL所需的参数压入堆栈，方便CALL内部实行时调用
这里对应的语句为
00401168  |.  6A 02         push 0x20040116A  |.  6A 01         push 0x1即这个CALL得到的参数为2和1
调用CALL

调用CALL又可以分为六个部门：

• 提升堆栈
  
• 保护现场
  
• 初始化提升的堆栈
  
• 实行实际内容
  
• 恢复现场
  
• 返回
  

提升堆栈

对应语句为
00401040  /> \55            push ebp00401041  |.  8BEC          mov ebp,esp00401043  |.  83EC 40       sub esp,0x40将堆栈提升了0x40
保护现场

对应语句为
00401046  |.  53            push ebx00401047  |.  56            push esi00401048  |.  57            push edi将ebx、esi、edi三个通用寄存器生存到堆栈中，前面的push ebp其实也属于保护现场
初始化提升的堆栈

00401049  |.  8D7D C0       lea edi,dword ptr ss:[ebp-0x40]0040104C  |.  B9 10000000   mov ecx,0x1000401051  |.  B8 CCCCCCCC   mov eax,0xCCCCCCCC00401056  |.  F3:AB         rep stos dword ptr es:[edi]这里将我们提升的堆栈中的内容全部初始化为CCCCCCCC
为什么是初始化为CC？防止缓冲溢出
CC的硬编码对应的指令为int 3，即断点
这么做有什么好处呢？当步伐实行凌驾缓冲区时，遇到int 3就会自动停下来
实行实际的内容

对应语句为
00401058  |.  8B45 08       mov eax,dword ptr ss:[ebp+0x8]0040105B  |.  0345 0C       add eax,dword ptr ss:[ebp+0xC]就是将前面压入的参数2和1举行相加得到3
恢复现场

对应语句为
0040105E  |.  5F            pop edi                                  ;  HelloWor.004011710040105F  |.  5E            pop esi                                  ;  HelloWor.0040117100401060  |.  5B            pop ebx                                  ;  HelloWor.0040117100401061  |.  8BE5          mov esp,ebp00401063  |.  5D            pop ebp                                  ;  HelloWor.00401171与前面保护现场相对应
返回

对应语句为
00401064  \.  C3            retnCALL返回后

对应语句为
00401171  |.  83C4 08       add esp,0x8作用为平衡堆栈
逆推C语言代码

根据我们前面的分析，我们不难发现这其实就是个简朴的加法函数
int add(int x,int y){    x=x+y;        //这里的x和y分别对应压入的参数    return x;        //对应RETN 默认接纳eax作为返回值的通报载体}事后感言

一个小小的加法函数其对应的汇编代码却不少，而此中的关键代码只有两句
00401058  |.  8B45 08       mov eax,dword ptr ss:[ebp+0x8]0040105B  |.  0345 0C       add eax,dword ptr ss:[ebp+0xC]其它的大部门代码主要都是为保护现场和恢复现场所服务
编译器编译出的Debug和Release版本对应的汇编代码会有所差别，但只要把握了焦点思想，万变不离其宗
本笔记大概会有谬误之处，欢迎各人指出，一起探讨，共同提升

来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！