逆向基础笔记八 反汇编分析C语言

123456865

继续更新个人的学习笔记，
其它笔记传送门
逆向底子笔记一 进制篇
逆向底子笔记二 数据宽度和逻辑运算
逆向底子笔记三 通用寄存器和内存读写
逆向底子笔记四 堆栈篇
逆向底子笔记五 标志寄存器
逆向底子笔记六 汇编跳转和比较指令
逆向底子笔记七 堆栈图（重点）
逆向底子笔记九 C语言内联汇编和调用协定
逆向底子笔记十 汇编寻找C步伐入口
逆向底子笔记十一 汇编C语言基本类型
逆向底子笔记十二 汇编 全局和局部 变量
逆向底子笔记十三 汇编C语言类型转换
逆向底子笔记十四 汇编嵌套if else
逆向底子笔记十五 汇编比较三种循环
逆向底子笔记十六 汇编一维数组
逆向底子笔记十七 汇编二维数组 位移 乘法
逆向底子笔记十八 汇编 结构体和内存对齐
逆向底子笔记十九 汇编switch比较if else
逆向底子笔记二十 汇编 指针（一）
逆向底子笔记二十一 汇编 指针（二）
逆向底子笔记二十二 汇编 指针（三）
逆向底子笔记二十三 汇编 指针（四）
逆向底子笔记二十四 汇编 指针（五） 系列完结
反汇编分析C语言

情况：VC6.0
为什么不使用Visual Studio?
Visual Studio的反汇编代码更复杂一些，如下为VS2019的空函数反汇编代码

可以看到有CheckForDebuggerJustMyCode等一些额外的函数
为了便于理解和学习，便采用VC6.0来举行学习
空函数反汇编


#include "stdafx.h"//空函数        void function(){}int main(int argc, char* argv[]){    //调用空函数        function();        return 0;}我们通过反汇编来分析这段空函数
函数外部


12:       function();00401048   call        @ILT+5(function) (0040100a)13:       return 0;0040104D   xor         eax,eax14:   }0040104F   pop         edi00401050   pop         esi00401051   pop         ebx00401052   add         esp,40h00401055   cmp         ebp,esp00401057   call        __chkesp (004010e0)0040105C   mov         esp,ebp0040105E   pop         ebp0040105F   ret函数内部


6:    void function(){00401010   push        ebp00401011   mov         ebp,esp00401013   sub         esp,40h00401016   push        ebx00401017   push        esi00401018   push        edi00401019   lea         edi,[ebp-40h]0040101C   mov         ecx,10h00401021   mov         eax,0CCCCCCCCh00401026   rep stos    dword ptr [edi]7:8:    }00401028   pop         edi00401029   pop         esi0040102A   pop         ebx0040102B   mov         esp,ebp0040102D   pop         ebp0040102E   ret分析函数

函数调用

00401048   call        @ILT+5(function) (0040100a)首先就是通过call来调用我们的function函数
函数内部

接着进到函数的内部
有了之前画堆栈图的经验，我们不难看出，尽管我们的函数是个空函数，但其汇编代码依然完成了以下游程：

• 提拔堆栈
  
• 掩护现场
  
• 初始化提拔的堆栈
  
• 规复现场
  
• 返回
  

提拔堆栈

00401010   push        ebp00401011   mov         ebp,esp00401013   sub         esp,40h掩护现场

00401016   push        ebx00401017   push        esi00401018   push        ediPS：前面的push        ebp也是掩护现场
初始化提拔的堆栈

00401019   lea         edi,[ebp-40h]0040101C   mov         ecx,10h00401021   mov         eax,0CCCCCCCCh00401026   rep stos    dword ptr [edi]规复现场

00401028   pop         edi00401029   pop         esi0040102A   pop         ebx0040102B   mov         esp,ebp0040102D   pop         ebpPS：这里的mov         esp,ebp就是低落堆栈，与前面的提拔堆栈相对应，所以也属于规复现场的一部分
返回

0040102E   ret函数返回后


函数返回后不出意料地返回到了调用CALL地下一行语句，我们接着看
0040104D   xor         eax,eax这里是将eax清零，注意到我们的语句为return 0        这里就是将eax作为返回值来传递
一般来说eax都是作为函数的返回值，但不绝对，有的函数返回值是存在内存里或其它情况，要具体情况具体分析
接着看下面的代码：
0040104F   pop         edi00401050   pop         esi00401051   pop         ebx很明显，这里是在还原现场，别忘了我们的主步伐main自己也是个函数，这是在还原调用main前掩护的现场
接着往下走
00401052   add         esp,40h00401055   cmp         ebp,esp00401057   call        __chkesp (004010e0)这里首先是将esp淘汰了40h,然后比较ebp和esp，最后再调用一个chkesp函数
从名称就不难看出chkesp = check esp ，检查esp，这个函数就是用来检查堆栈是否均衡的
继续
0040105C   mov         esp,ebp0040105E   pop         ebp依旧是规复现场
最后就是返回
0040105F   ret总结空函数分析

我们可以看到，即便一个空函数什么都没有做，但调用一个空函数所产生的汇编代码却不少
掩护现场、规复现场以及堆栈均衡的检查等等都没少，可谓麻雀虽小五脏俱全
简朴加法函数反汇编

有了前面分析空函数的经验，我们再来分析分析一个简朴的加法函数

#include "stdafx.h"int Plus(int x,int y){        return x+y;}int main(int argc, char* argv[]){        //调用加法函数        Plus(1,2);        return 0;}函数外部


16:       Plus(1,2);004010A8   push        2004010AA   push        1004010AC   call        @ILT+0(Plus) (00401005)004010B1   add         esp,817:       return 0;004010B4   xor         eax,eax18:   }004010B6   pop         edi004010B7   pop         esi004010B8   pop         ebx004010B9   add         esp,40h004010BC   cmp         ebp,esp004010BE   call        __chkesp (004010e0)004010C3   mov         esp,ebp004010C5   pop         ebp004010C6   ret函数内部


10:   int Plus(int x,int y){00401060   push        ebp00401061   mov         ebp,esp00401063   sub         esp,40h00401066   push        ebx00401067   push        esi00401068   push        edi00401069   lea         edi,[ebp-40h]0040106C   mov         ecx,10h00401071   mov         eax,0CCCCCCCCh00401076   rep stos    dword ptr [edi]11:       return x+y;00401078   mov         eax,dword ptr [ebp+8]0040107B   add         eax,dword ptr [ebp+0Ch]12:   }0040107E   pop         edi0040107F   pop         esi00401080   pop         ebx00401081   mov         esp,ebp00401083   pop         ebp00401084   ret分析函数

函数调用

004010A8   push        2004010AA   push        1004010AC   call        @ILT+0(Plus) (00401005)结合前面的空函数分析，我们可以明显发现这里的函数调用环节，多了两个push
就是将函数所需的参数压入堆栈，这里的参数为 2 和 1，注意压入的次序是反着的（由调用协定决定，下篇笔记会具体说明）
函数内部

提拔堆栈掩护现场初始化

提拔堆栈、掩护现场、初始化部分和空函数如出一辙，这里就不再赘述
00401060   push        ebp00401061   mov         ebp,esp00401063   sub         esp,40h00401066   push        ebx00401067   push        esi00401068   push        edi00401069   lea         edi,[ebp-40h]0040106C   mov         ecx,10h00401071   mov         eax,0CCCCCCCCh00401076   rep stos    dword ptr [edi]实际执行

00401078   mov         eax,dword ptr [ebp+8]0040107B   add         eax,dword ptr [ebp+0Ch]这里的[ebp+8]就是我们前面压入的参数1，[ebp+c]就是前面压入的参数2
于是这两条语句着实就是
00401078   mov         eax,10040107B   add         eax,2将1+2的结果生存到eax中（此时eax又作为函数返回值的载体）
规复现场和返回

接下来的内容就和空函数一样了，规复现场和返回，也不再赘述
0040107E   pop         edi0040107F   pop         esi00401080   pop         ebx00401081   mov         esp,ebp00401083   pop         ebp00401084   ret函数返回后


004010B1   add         esp,817:       return 0;004010B4   xor         eax,eax18:   }004010B6   pop         edi004010B7   pop         esi004010B8   pop         ebx004010B9   add         esp,40h004010BC   cmp         ebp,esp004010BE   call        __chkesp (004010e0)004010C3   mov         esp,ebp004010C5   pop         ebp004010C6   ret函数返回后我们会发现与先前的空函数相比多了这一行代码：
004010B1   add         esp,8这里是对应我们前面压入的两个参数1和2，压入参数后esp淘汰了8，这里我们函数调用竣事后，就不再需要之前压入的两个参数了，于是将esp规复到压入参数前，这着实也算在规复现场里，用来均衡堆栈
我们可以发现，这条语句是在我们call调用完毕返回后执行的均衡堆栈利用，所以这种利用也被称为堆栈外均衡
与之相对就是堆栈内均衡：即在call里面就把堆栈均衡好了
之后的代码就和空函数无异了，也不再赘述，简朴的加法函数分析到这也就告一段落了

来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！