搜索

[18486] 2019-07-29_逆向工程——汇编基础[二]

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-18
2019-07-29_逆向工程——汇编基础[二] 逆 向 工 程 — — 汇 编 基 础 [ 二 ] H A C K 学 习   H A C K 学 习 呀   2 0 1 9 - 0 7 - 2 9 堆 栈 堆 栈 基 本 概 念 基 本 概 念 1 .   堆 栈 是 一 个 先 进 后 出 （ F I L O ） 的 线 性 表 是 指 ： 放 进 表 中 的 数 据 在 时 ， 出 来 ， 即   F i s t   i n   L a s t   O u t 。 2 .   系 统 堆 栈 不 仅 仅 是 一 段 内 存 。 由 于 C P U 对 它 实 施 管 理 ， 因 此 你 不 需 要 考 虑 堆 栈 指 针 的 修 正 问 题 。 可 以 把 寄 存 器 内 容 ， 甚 至 一 个 立 即 数 直 接 放 入 堆 栈 里 ， 并 在 需 要 的 时 候 将 其 取 出 。 同 时 ， 系 统 并 不 要 求 取 出 的 数 据 任 然 回 到 原 来 的 位 置 。 堆 栈 相 关 指 令 堆 栈 相 关 指 令 除 了 显 示 地 操 作 堆 栈 （ 使 用 和 指 令 ） 之 外 ， 很 多 指 令 也 需 要 使 用 堆 栈 ， 如 、 F I L O 最 后 取 出 最 先 p u s h p o p I N T
、 、 、 、 等 等 。 配 对 使 用 上 述 指 令 并 不 会 造 成 什 么 问 题 ， 然 而 ， 如 果 你 打 算 使 用 L E A V E 、 R E T 、 R E T E 、 I R E T 这 样 的 指 令 实 现 跳 转 （ 比 J M P 更 为 麻 烦 ， 然 而 有 时 ， 例 如 在 加 密 软 件 中 ， 或 者 需 要 修 改 调 用 者 状 态 时 这 是 必 要 的 ） 的 话 ， 那 么 要 搞 清 楚 他 们 做 的 到 底 是 什 么 ， 并 且 精 确 而 了 解 自 己 要 做 什 么 。 p u s h / p o p 指 令 指 令 ： 将 一 个 寄 存 器 中 的 数 据 堆 栈 ； ： 将 的 数 据 堆 栈 ， 并 传 入 指 定 的 寄 存 器 。 1 2 p u s h   a x     ; 将 a x 中 的 数 据 入 栈 p o p   a x     ; 将 堆 栈 栈 顶 的 数 据 弹 出 并 传 送 给 a x ： 将 一 个 段 寄 存 器 中 的 数 据 压 入 堆 栈 ； ： 将 栈 顶 表 示 的 数 据 弹 出 ， 并 传 入 端 寄 存 器 。 1 2 p u s h   d s p o p   d s C A L L L E A V E R E T R E T E I R E T p u s h   寄 存 器 压 入 p o p   寄 存 器 栈 顶 弹 出 p u s h   段 寄 存 器 p o p   段 寄 存 器 p u s h   内 存 单 元
： 将 一 个 内 存 单 元 处 的 数 据 压 入 堆 栈 ； ： 将 栈 顶 表 示 的 数 据 弹 出 ， 并 传 入 内 存 单 元 。 1 2 p u s h   [ 0 ]   ; 将 D S : [ 0 ] 的 数 据 压 入 堆 栈 p o p   [ 0 ]     ; 将 栈 顶 数 据 弹 出 ， 并 传 入 D S : [ 0 ] 8 0 8 6 C P U 的 入 栈 和 出 栈 都 是 以 为 单 元 的 。 简 单 实 践 简 单 实 践 请 各 位 同 学 自 行 下 载 ， 然 后 用 O D 随 便 打 开 一 个 程 序 ， 比 如 n o t e p a d . e x e ， 然 后 鼠 标 滚 动 反 汇 编 窗 口 ， 直 到 遇 到 空 的 地 方 。 初 始 化 初 始 化 O l l y d b g   将 是 我 们 以 后 用 到 的 主 要 软 件 之 一 。 请 各 位 同 学 自 行 下 载 ，   并 搜 索 资 料 熟 悉 一 下 。 我 们 来 认 识 下 上 图 的 信 息 ： p o p   内 存 单 元 字 O l l y D B G
1 .   左 上 角 的 窗 口 中 ， 我 们 可 以 编 写 汇 编 指 令 。 右 上 角 的 窗 口 显 示 了 各 个 寄 存 器 的 状 态 和 值 。 左 下 角 是 二 进 制 以 及 十 六 进 制 的 数 据 。 右 下 角 是 堆 栈 的 情 况 。 2 .   如 果 想 让 O D 从 你 指 定 的 位 置 开 始 执 行 ， 请 ， 并 选 择 。 按 键 单 步 执 行 四 次 。 3 .   执 行 完 上 述 四 条 X O R 指 令 之 后 ， 我 们 将 E A X ／ E B X ／ E C X ／ E D X 成 功 清 零 。 4 .   E I P 的 值 ， 为 当 前 高 亮 的 代 码 行 ， 表 示 即 将 要 执 行 的 语 句 。 5 .   通 过 堆 栈 窗 口 我 们 可 以 看 到 ： f .   堆 栈 的 结 构 是 ； g .   栈 顶 的 位 置 是 ； h .   两 个 相 邻 的 栈 地 址 相 差 。 P O P ／ ／ P U S H 操 作 操 作 ： 右 击 该 行 在 此 处 新 建 E I P F 7 从 下 往 上 减 少 0 0 2 1 f 7 b c 4 h P U S H   E A X
在 我 们 执 行 了 p u s h 操 作 之 后 ， 栈 顶 变 为 了 ， 而 这 个 地 址 对 应 的 数 据 为 ( h ) 。 : 0 0 2 1 f 7 b 8 0 0 0 0 0 0 0 0 M O V   E C X , 1 2 3 4 h
: 注 意 E C X 值 的 变 化 。 通 过 m o v 指 令 ， 我 们 给 E C X 传 入 了 0 x 1 2 3 4 h ， 但 是 通 过 p o p 指 令 ， 我 们 将 栈 顶 的 E A X 的 值 ， 弹 出 了 堆 栈 ， 并 且 传 递 给 了 E C X ， 同 时 E S P 栈 顶 P O P   E C X + 4
变 为 了 p u s h   e a x 之 前 的 地 址 。 子 程 序 子 程 序 在 汇 编 语 言 中 ， 无 门 并 不 能 像 高 级 语 言 中 那 样 ， 在 不 和 程 序 其 他 部 分 起 冲 突 的 情 况 下 ， 定 义 和 其 他 主 程 序 或 子 程 序 一 样 的 变 量 名 。 汇 编 语 言 并 不 注 重 程 序 员 的 负 担 ， 它 依 赖 程 序 员 的 良 好 设 计 ， 以 期 发 挥 C P U 的 最 佳 性 能 。 汇 编 语 言 不 是 结 构 化 的 语 言 ， 它 不 提 供 直 接 的 “ 局 部 变 量 ” 。 如 果 需 要 ， 只 能 。 参 数 的 传 递 是 靠 或 来 完 成 的 。 高 级 语 言 中 ， 子 程 序 （ 函 数 ／ 过 程 ， 或 者 类 似 概 念 的 东 西 ） 依 赖 于 堆 和 栈 来 传 递 。 子 程 序 的 执 行 过 程 子 程 序 的 执 行 过 程 无 论 是 C ／ C + + ／ B A S I C ／ P a s c a l ， 子 程 序 的 执 行 过 程 基 本 都 是 一 致 的 。 调 用 者 将 子 程 序 执 行 完 成 时 应 返 回 的 地 址 ／ 参 数 压 入 堆 栈 。 子 程 序 使 用 对 栈 中 的 参 数 ， 并 取 出 ， 完 成 操 作 。 子 程 序 使 用 或 指 令 返 回 。 此 时 ， C P U 将 置 为 堆 栈 中 保 存 的 地 址 ， 并 继 续 予 以 执 行 。 毋 庸 置 疑 ， 堆 栈 在 整 个 过 程 中 发 挥 着 非 常 重 要 的 作 用 。 不 过 ， 本 质 上 对 子 程 序 最 重 要 的 还 是 ， 如 果 子 程 序 不 知 道 这 个 地 址 ， 那 么 系 统 将 会 崩 溃 。 调 用 子 程 序 的 指 令 是 ， 对 应 的 返 回 指 令 是 + 4 通 过 堆 或 栈 自 行 实 现 寄 存 器 堆 栈 B P 指 针 + 偏 移 量 寻 址 R E T R E T F I P 返 回 地 址 C A L L R E T
， 另 外 还 有 和 ， 她 们 可 以 帮 助 进 行 堆 栈 的 维 护 。 指 令 的 参 数 是 。 使 用 宏 汇 编 的 时 候 ， 这 通 常 是 一 个 标 号 。 C A L L 和 R E T ， 一 级 E N T E R 和 L E A V E 配 对 ， 以 实 现 ， 而 不 需 要 程 序 员 进 行 P U S H / P O P ， 以 及 跳 转 的 操 作 ， 从 而 提 高 了 效 率 。 下 面 一 段 程 序 ， 是 从 作 者 文 档 中 抄 下 来 的 ， 我 搭 建 环 境 并 且 编 译 之 后 ， 并 没 有 得 到 相 同 的 汇 编 代 码 ， 所 以 大 家 不 用 拘 泥 于 下 面 的 细 节 ， 但 是 可 以 从 原 作 者 的 分 析 中 得 到 一 些 有 用 的 知 识 。 程 序 是 这 样 的 ： 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 i n t   m y T r a n s f o r m ( i n t   n I n p u t ) {     r e t u r n   ( n I n p u t * 2 + 3 )   % 7 ; } i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {     i n t   a [ 3 ] ;     f o r ( r e g i s t e r   i n t   i = 0 ; i < 3 ; i + + ) {         a [ i ]   =   m y T r a n s f o r m ( i ) ;     }     r e t u r n   0 ; } 作 者 编 译 出 来 ， 并 且 合 并 了 C + + 代 码 和 汇 编 代 码 ： R E T E N T E R L E A V E C A L L 被 调 用 子 程 序 的 地 址 对 堆 栈 的 自 动 操 作
1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 5 0 5 1 i n t   m y T r a n s f o r m ( i n t   n I n p u t ) { / / 0 0 4 0 1 0 0 0   p u s h   e b p     ; 保 护 现 场 原 先 的 E B P 指 针 / / 0 0 4 0 1 0 0 1   m o v   e b p , e s p r e t u r n   ( n I n p u t * 2 + 3 ) % 7 ; / / 0 0 4 0 1 0 0 3   m o v   e a x , d w o r d   p t r   [ n I n p u t ]     ; 取 参 数 / / 0 0 4 0 1 0 0 6   l e a   e a x , [ e a x + e a x + 3 ]     ; L E A 比 A D D 加 法 更 快 / / 0 0 4 0 1 0 0 A   c d q     ; D W O R D   - >   Q W O R D （ 扩 展 字 长 ） / / 0 0 4 0 1 0 0 B   m o v   e c x , 7     ; 除 数 / / 0 0 4 0 1 0 1 0   i d i v   e a x , e c x     ; 除 / / 0 0 4 0 1 0 1 2   m o v   e a x , e d x     ; 商 - > e a x （ e a x 中 保 存 返 回 值 ） } / / 0 0 4 0 1 0 1 4   p o p   e b p     ; 恢 复 现 场 的 E B P 指 针 / / 0 0 4 0 1 0 0 5   r e t     ; 返 回 / / ;   此 处 删 除 1 0 条 i n t   3 指 令 ， 不 会 影 响 程 序 行 为 i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) { / / 0 0 4 0 1 0 2 0   p u s h   e b p     ; 保 护 现 场 原 先 的 E B P 指 针 / / 0 0 4 0 1 0 2 1   m o v   e b p , e s p / / 0 0 4 0 1 0 2 3   s u b   e s p , 1 0 h     ; 为 取 a r g c / a r g v 修 正 堆 栈 指 针 i n t   a [ 3 ] ; f o r ( r e g i s t e r   i n t   i = 0 ; i < 3 ; i + + ) {   / / 0 0 4 0 1 0 2 6   m o v   d w o r d   p t r   [ i ] , 0     ; 0 - > i   / / 0 0 4 0 1 0 2 D   j m p   m a i n + 1 8 h ( 0 0 4 0 1 0 3 8 )     ; 判 断 循 环 条 件   / / 0 0 4 0 1 0 2 F   m o v   e a x , d w o r d   p t r   [ i ]     ; i - > e a x   / / 0 0 4 0 1 0 3 2   a d d   e a x , 1     ; E A X + +   / / 0 0 4 0 1 0 3 5   m o v   d w o r d   p t r   [ i ] , e a x     ; e a x   - >   i   / / 0 0 4 0 1 0 3 8   c m p   d w o r d   p t r   [ i ] , 3 ;   循 环 条 件 ： i 与 3 比 较   / / 0 0 4 0 1 0 3 C   j g e   m a i n + 3 3 h ( 0 0 4 0 1 0 5 3 )     ; 如 果 不 符 合 条 件 ， 则 应 结 束 循 环   a [ i ]   =   m y T r a n s f o r m [ i ] ;   / / 0 0 4 0 1 0 3 E   m o v   e c x , d w o r d   p t r   [ i ]     ; i - > E C X   / / 0 0 4 0 1 0 4 1   p u s h   e c x     ; e c x ( i )   - >   堆 栈   / / 0 0 4 0 1 0 4 2   c a l l   m y T r a n s f o r m ( 0 0 4 0 1 0 0 0 )     ; 调 用 m y T r a n s f o r m   / / 0 0 4 0 1 0 4 7   a d d   e s p , 4     ; E S P + 4 : 在 堆 中 的 新 单 元   / / ; 准 备 存 放 返 回 结 果   / / 0 0 4 0 1 0 4 A   m o v   e d x , d w o r d   p t r   [ i ]     ; i - > E D X   / / 0 0 4 0 1 0 4 D   m o v   d w o r d   p t r   [ e d x * 4 ] , e a x     ; 将 E A X ( 即 m y T r a n s f o r m 的 返 回 值 ) 放 回 a [ i ] } / / 0 0 4 0 1 0 5 1   j m p   m a i n + 0 F h ( 0 0 4 0 1 0 2 F )     ; 计 算 出 i + + ， 并 继 续 循 环 r e t u r n   0 ; / / 0 0 4 0 1 0 5 3   x o r   e a x , e a x     ; 返 回 值 应 该 是 0 } / / 0 0 4 0 1 0 5 5   m o v   e s p , e b p     ; 恢 复 堆 栈 指 针 / / 0 0 4 0 1 0 5 7   p o p   e b p     ; 恢 复 B P / / 0 0 4 0 1 0 5 8   r e t     ; 返 回 调 用 者 ( C + + 运 行 环 境 ) 1 0 0 4 0 1 0 0 3   m o v   e a x , d w o r d   p t r   [ n I n p u t ]   ; 取 参 数 这 句 话 在 另 外 一 个 反 汇 编 器 得 到 的 结 果 是 ： 1 0 0 4 0 1 0 0 3   m o v   e a x , d w o r d   p t r   [ e b p + 8 ]   ; 取 参 数 剖 析 上 面 的 程 序 只 是 说 明 了 前 面 所 提 到 的 子 程 序 的 一 部 分 用 法 。 对 于 汇 编 语 言 来 说 ， 完 全 没 有 必 要 拘 泥 于 结 构 化 程 序 设 计
的 框 架 。 中 断 中 断 中 断 应 该 说 是 一 个 陈 旧 的 话 题 。 这 新 的 系 统 中 ， 它 的 作 用 正 在 逐 渐 被 削 弱 ， 而 变 成 操 作 系 统 专 用 的 东 西 。 并 不 是 所 有 的 计 算 机 系 统 都 提 供 中 断 ， 然 而 这 x 8 6 系 统 中 ， 它 的 作 用 是 不 可 替 代 的 。 中 断 实 际 上 是 一 类 特 殊 的 子 程 序 。 它 通 常 ， 以 响 应 突 发 事 件 。 例 如 ， 进 行 磁 盘 操 作 时 ， 为 了 提 高 性 能 ， 可 能 会 使 用 D M A 方 式 进 行 操 作 。 C P U 向 D M A 控 制 器 发 出 指 令 ， 要 求 外 设 和 内 存 直 接 交 换 数 据 ， 而 不 通 过 C P U 。 然 后 ， C P U 转 去 进 行 其 他 的 操 作 ； 当 数 据 交 换 结 束 时 ， C P U 可 能 需 要 进 行 一 些 后 续 操 作 ， 但 此 时 它 如 何 才 能 知 道 D M A 已 经 完 成 了 操 作 呢 ？ 很 显 然 不 是 依 靠 C P U 去 查 询 状 态 — — 这 样 D M A 的 优 势 就 不 明 显 了 。 为 了 尽 可 能 地 利 用 D M A 的 优 势 ， 这 完 成 D M A 操 作 的 时 候 ， D M A 会 告 诉 C P U “ 这 事 儿 我 办 完 了 ” ， 然 后 C P U 会 根 据 需 要 进 行 处 理 。 这 种 处 理 可 能 很 复 杂 ， 需 要 若 干 条 指 令 来 完 成 。 子 程 序 是 一 个 不 错 的 主 意 ， 不 过 ， C A L L 指 令 需 要 指 定 地 址 ， 让 外 设 强 迫 C P U 执 行 一 条 C A L L 指 令 也 违 背 了 C P U 作 为 核 心 控 制 单 元 的 设 计 初 衷 。 考 虑 到 这 些 ， 这 x 8 6 系 统 中 引 入 了 的 概 念 。 是 保 存 在 系 统 数 据 区 （ 实 模 式 下 ， 是 0 : 0 开 始 的 一 段 区 域 ） 的 一 组 指 针 。 这 组 指 针 指 向 每 个 中 断 服 务 程 序 的 地 址 。 整 个 中 断 向 量 表 的 结 构 是 一 个 线 性 表 。 每 个 中 断 服 务 都 有 自 己 的 唯 一 编 号 ， 我 们 通 常 称 之 为 。 每 一 个 中 断 号 对 应 中 断 向 量 表 中 的 一 项 ， 也 就 是 一 个 中 断 的 向 量 。 外 设 向 驼 背 发 出 中 断 请 求 ， 而 C P U 自 己 将 根 据 当 前 的 程 序 状 态 决 定 是 否 中 断 当 前 程 序 并 调 用 相 应 的 中 断 服 务 。 不 难 根 据 造 成 中 断 的 原 因 将 中 断 分 为 两 类 ： 和 。 硬 件 中 断 有 很 多 分 类 方 法 ， 如 根 据 是 否 可 以 屏 蔽 分 类 、 根 据 优 先 级 高 低 分 类 ， 等 等 。 考 虑 到 这 些 分 类 并 不 一 定 科 学 ， 并 且 对 于 我 们 介 绍 中 断 的 使 用 没 有 太 大 的 帮 助 ， 因 此 我 们 并 不 打 算 太 详 细 地 介 绍 它 。 在 设 计 操 作 系 统 时 ， 中 断 向 量 的 概 念 曾 经 带 来 过 很 大 的 便 利 。 操 作 系 统 随 时 可 能 升 级 ， 这 样 ， 通 过 C A L L 来 调 用 操 作 系 统 的 由 系 统 调 用 中 断 向 量 中 断 向 量 表 中 断 号 硬 件 中 断 软 件 中 断
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理