搜索

[18488] 2019-08-03_软件逆向基础

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-08-03_软件逆向基础 软 件 逆 向 基 础 H A C K 学 习   H A C K 学 习 呀   2 0 1 9 - 0 8 - 0 3 调 试 逆 向 技 术 调 试 逆 向 技 术 动 态 分 析 技 术 ： 指 的 是 使 用 调 试 工 具 加 载 程 序 并 运 行 。 随 着 程 序 运 行 ， 调 试 者 可 以 随 时 中 断 目 标 的 指 令 流 程 ， 以 便 观 察 相 关 计 算 的 结 果 和 当 前 的 设 备 情 况 。 静 态 分 析 技 术 ： 是 相 对 于 动 态 分 析 而 言 的 。 由 于 在 实 际 分 析 中 ， 很 多 场 合 不 方 便 运 行 目 标 （ 例 如 病 毒 程 序 ， 设 备 不 兼 容 ， 软 件 的 单 独 某 一 模 块 ） 。 那 么 这 个 时 候 静 态 分 析 技 术 就 该 上 场 了 ！ 反 编 译 反 编 译 汇 编 语 言 还 原 成 高 级 语 言 。 通 常 不 能 把 可 执 行 文 件 变 成 高 级 语 言 源 代 码 ， 只 能 转 换 成 汇 编 语 言 。 语 言 越 高 级 ， 反 编 译 的 难 度 就 越 大 。 反 汇 编 反 汇 编 机 器 指 令 还 原 成 汇 编 代 码 。 常 用 逆 向 工 具 常 用 逆 向 工 具 O l l y d b g 、   W i n d b g 、   S o f t I C E 、 I D A 、   P E i D 、   W 3 2 D a s m 、   C 3 2 a s m 等 等 。 O l l y d b g 、   W i n d b g 是 动 态 分 析 调 试 器 ， 但 O l l y d b g 不 能 调 试 内 核 ， 所 以 是 工 作 在 r i n g 3 层 。 I D A 是 很 强 大 的 静 态 反 汇 编 工 具 ， 虽 然 功 能 强 大 ， 但 是 操 作 很 复 杂 。 栈 的 原 理 栈 的 原 理 从 计 算 机 科 学 的 角 度 来 看 ， 栈 是 一 种 数 据 结 构 ， 它 的 存 储 规 则 是 先 进 后 出 。 栈 结 构 在 计 算 机 中 是 一 片 连 续 的 存 储 空 间 ， 且 是 向 下 生 长 的 ， 即 由 大 向 小 排 列 。 系 统 中 通 过 两 个 寄 存 器 来 表 示 一 个 堆 栈 。   e s p 和 和 e b p ，   e s p 是 栈 顶 寄 存 器 ， e b p 是 栈 底 寄 存 器 。 栈 的 操 作 ： p u s h 和 p o p ， p u s h 是 压 入 操 作 ， p o p 是 弹 出 操 作 。 函 数 调 用 过 程 函 数 调 用 过 程 参 数 入 栈 ： 将 参 数 按 照 调 用 约 定 依 次 入 栈 。 返 回 地 址 入 栈 ： 将 当 前 代 码 区 调 用 指 令 的 下 一 条 指 令 地 址 压 入 栈 ， 供 函 数 返 回 时 继 续 使 用 。 代 码 区 跳 转 ： 从 当 前 代 码 区 跳 转 到 被 调 用 函 数 的 入 口 处 。 栈 帧 调 整 ： 保 存 当 前 栈 帧 的 状 态 值 ， 已 备 后 面 恢 复 本 栈 帧 时 使 用 。 将 当 前 的 栈 帧 切 换 到 新 的 栈 帧 。 给 新 栈 帧 分 配 空 间 。 下 面 是 _ s t d c a l l 调 用 约 定 的 一 个 函 数 调 用 的 例 子 ： p u s h   参 数 3 ； p u s h   参 数 2 ； p u s h   参 数 1 ；
c a l l   函 数 地 址 ； 这 里 c a l l 指 令 将 完 成 两 个 工 作 ： 1 . 返 回 地 址 入 栈 2 . 跳 转 到 被 调 用 的 函 数 地 址 。 p u s h   e b p ； 保 存 旧 栈 帧 的 底 部 m o v   e b p ， e s p ； 设 置 新 栈 帧 的 底 部 s u b   e s p ， x x x ； 为 新 的 栈 开 辟 空 间 函 数 返 回 的 过 程 ： 1 . 保 存 返 回 值 ： 通 常 将 函 数 的 返 回 值 保 存 在 e a x 寄 存 器 中 。 2 . 弹 出 当 前 栈 帧 ， 返 回 下 一 个 栈 帧 。 在 堆 栈 平 衡 的 基 础 上 ， 给 e s p 加 上 栈 帧 的 大 小 ， 降 低 栈 顶 ， 回 收 当 前 栈 帧 的 空 间 。 将 当 前 栈 帧 底 部 保 存 的 前 栈 帧 e b p 值 弹 入 e b p 寄 存 器 ， 恢 复 出 上 一 个 栈 帧 。 将 函 数 返 回 地 址 弹 给 e i p 寄 存 器 。 3 . 跳 转 ： 按 照 函 数 返 回 地 址 跳 回 母 函 数 中 继 续 执 行 。 函 数 返 回 时 的 关 键 序 列 ： a d d   e s p ， x x x ； 降 低 栈 顶 ， 回 收 当 前 的 栈 帧 p o p   e b p ； 将 上 一 个 栈 帧 底 部 恢 复 到 e b p r e t n ； 这 条 指 令 有 两 个 功 能 ： 1 . 弹 出 栈 帧 中 的 返 回 地 址 ， 完 成 栈 帧 的 恢 复 工 作 。 2 . 跳 回 弹 出 的 返 回 地 址 ， 继 续 下 面 的 执 行 。 函 数 参 数 入 栈 顺 序 ： 下 面 用 一 个 实 际 的 例 子 来 介 绍 函 数 的 调 用 ： 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 i n t   f u n _ b ( i n t   b 1 , i n t b 2 ) { i n t   b 3 ; b 3 = b 1 + b 2 ; r e t u r n   b 3 ; } i n t   f u n _ a ( i n t   a 1 , i n t   a 2 ) { i n t   a 3 , a 4 ; a 3 = a 1 - a 2 ; a 4 = f u n _ b ( a 1 , a 2 ) ; r e t u r n   a 3 * a 4 ; } v o i d   m a i n ( ) { i n t   m _ m a i n ; m _ m a i n = f u n _ a ( 1 , 2 ) ; }
编 译 方 式 的 识 别 编 译 方 式 的 识 别 V C V C 的 编 译 方 式 有 D e b u g 和 R e l e a s e 方 式 。 D e b u g ： 通 常 称 为 调 试 版 本 ， 它 包 含 调 试 信 息 ， 并 且 不 作 任 何 优 化 ， 便 于 程 序 员 调 试 程 序 。 R e l e a s e ： 称 为 发 布 版 本 ， 它 往 往 是 进 行 了 各 种 优 化 ， 使 得 程 序 在 代 码 大 小 和 运 行 速 度 上 都 是 最 优 的 ， 以 便 用 户 很 好 地 使 用 。 D e b u g 版 与 R e l e a s e 版 的 区 别 ： 1 . D e b u g 版 会 初 始 化 内 存 为 C C ， 而 R e l e a s e 版 不 会 。 2 . D e b u g 版 会 使 用 一 个 检 查 堆 栈 平 衡 的 函 数 c h e c k e s p ， 而 R e l e a s e 版 不 需 要 。 数 组 的 识 别 数 组 的 识 别 数 组 是 相 同 数 据 类 型 的 数 据 集 合 ， 以 线 性 方 式 存 储 在 内 存 中 。 其 数 据 排 列 顺 序 是 由 低 到 高 ， 数 组 的 名 称 表 示 该 数 组 的 首 地 址 。 流 程 控 制 语 句 的 识 别 流 程 控 制 语 句 的 识 别 i f 语 句
先 进 行 比 较 指 令 ， 再 通 过 条 件 跳 转 命 令 来 执 行 。 ； 先 执 行 各 类 影 响 标 志 位 的 指 令 ， 如 c m p ； 其 后 是 各 种 跳 转 指 令 j x x   x x x x i f … e l s e 语 句 先 进 行 比 较 指 令 ， 然 后 判 断 条 件 跳 转 到 i f 的 分 支 代 码 处 ， 执 行 完 成 后 采 用 无 条 件 跳 转 指 令 （   j m p ） 跳 转 到 e l s e 分 支 的 结 束 代 码 处 。 s w i t c h 语 句 先 进 行 比 较 指 令 ， 然 后 执 行 跳 转 ， 但 与 i f 的 多 分 支 语 句 的 区 别 是 ： s w i t c h 语 句 将 比 较 指 令 放 在 一 起 ， 后 面 的 c a s e 模 块 是 放 在 一 起 的 。 ； 获 取 s w i t c h 中 考 察 的 变 量 值 ； 先 执 行 各 类 影 响 标 志 位 的 指 令 ， 如 c m p j x x   x x x 1 ； 先 执 行 各 类 影 响 标 志 位 的 指 令 ， 如 c m p j x x   x x x 2 ； 先 执 行 各 类 影 响 标 志 位 的 指 令 ， 如 c m p j x x   x x x 3 x x x 1 : … … j m p   e n d x x x 2 : … … j m p   e n d x x x 3 : … … j m p   e n d w h i l e 语 句 先 进 行 判 断 ， 成 功 则 进 行 循 环 体 执 行 ， 否 则 跳 出 循 环 。 w h i l e _ b e g i n : ； 影 响 标 志 位 的 指 令 j x x   w h i l e _ e n d … … j m p   w h i l e _ b e g i n w h i l e _ e n d :
常 见 的 汇 编 指 令 介 绍 常 见 的 汇 编 指 令 介 绍 c m p   a , b ； 比 较 a 与 b m o v   a , b ； 把 b 值 送 给 a 值 ， 使 a = b r e t ； 返 回 主 程 序 n o p ； 无 作 用 c a l l ； 调 用 子 程 序 ， 子 程 序 以 r e t 结 尾 j e 或 j z ； 相 等 则 跳 （ 机 器 码 是 7 4 或 8 4 ） j n e 或 j n z ； 不 相 等 则 跳 （ 机 器 码 是 7 5 或 8 5 ） j m p ； 无 条 件 跳 （ 机 器 码 是 E B ） j b ； 若 小 于 则 跳 j a ； 若 大 于 则 跳 j g ； 若 大 于 则 跳 j g e ； 若 大 于 等 于 则 跳 j l ； 若 小 于 则 跳 p o p   x x x ； 出 栈 p u s h   x x x ； 压 栈 文 章 参 考 来 源 ： N o t e ' s 博 客
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理