PC逆向之代码还原技术,第三讲汇编中加法的代码还原
- 一丶汇编简介
- 二丶高级代码对应汇编观看.
  - 1.代码还原解析:
  - 总结

PC逆向之代码还原技术,第三讲汇编中加法的代码还原

一丶汇编简介

在讲解加法的代码还原之前.我们首先要知道. 加法在汇编中对应的指令是什么.

Add 汇编指令. Add x,y 将x的值加上y 并且重新赋值给x

二丶高级代码对应汇编观看.

观看如下代码

int main(int argc, char* argv[])
{
	1 + 2;
	int nValue = 10 + 2;    //常量 + 常量
	int nVar = nValue + 10; //变量 + 常量
	int nVar3 = nValue + nVar; //变量 + 变量
	return 0;
}

有四种方式

第一种直接空语句 1 + 2 ;

第二种常量 + 常量

第三种变量 + 常量

第四种变量 + 变量

1.代码还原解析:

代码还原解析需要了解的知识:

reg: 代表任意通用寄存器

imm: 立即数,可以看做常量

? : 代表任意数值.可以 [ebp -?]可以确定那个变量,变量是在栈中存放的.

第一种方式

此语句并不会产生作用.所以不会产生对应的汇编代码.
第二种方式

常量 + 常量会在编译的时候直接进行优化. 如上面代码 10 + 2 产生的对应汇编代码为

mov [ebp - ?],0xC

第三种方式:

第三种方式是变量+ 常量. 在汇编中.变量 + 常量并不能直接操作.需要交给寄存器进行中转

所以会产生如下表达式

mov reg,[ebp - ?]
add reg,imm
mov [ebp - ?],reg

上面代码对应:

.text:0040126F                 mov     eax, [ebp+ - 4]
.text:00401272                 add     eax, 0Ah
.text:00401275                 mov     [ebp - 4], eax

第四种方式

第四种方式变量+变量

变量 + 变量不用想,肯定是交给寄存器中转.

产生代码定式:

mov reg,[ebp - ?]
add reg,[ebp - ?]
mov [ebp - ?],reg

上面代码产生的汇编代码.IDA中查看.

.text:00401278                 mov     ecx, [ebp+var_4]
.text:0040127B                 add     ecx, [ebp+var_8]
.text:0040127E                 mov     [ebp+var_C], ecx

三丶根据上图完整汇编代码进行还原总结

text:00401250 _main_0         proc near               ; CODE XREF: _main↑j
.text:00401250
.text:00401250 var_4C          = byte ptr -4Ch
.text:00401250 var_C           = dword ptr -0Ch
.text:00401250 var_8           = dword ptr -8
.text:00401250 var_4           = dword ptr -4
.text:00401268                 mov     [ebp+var_4], 0Ch  常量赋值给变量
.text:0040126F                 mov     eax, [ebp+var_4]  三句代码可以看成一句
.text:00401272                 add     eax, 0Ah          变量 + 常量
.text:00401275                 mov     [ebp+var_8], eax
.text:00401278                 mov     ecx, [ebp+var_4]  三句代码可以看成一句
.text:0040127B                 add     ecx, [ebp+var_8]  变量 + 变量 结果给变量
.text:0040127E                 mov     [ebp+var_C], ecx
.text:00401289 _main_0         endp
.text:00401289

总结

根据上面加法的代码以及汇编对应的代码.我们可以产生代码定式

常量 + 常量常量直接进行优化.不会产生汇编代码.如果赋值给变量则产生汇编代码

mov [ebp - ?],imm

常量 + 变量赋值给变量会产生汇编代码.此时我们心中要知道.如果操作变量相加.则肯定需要寄存器

中转.所以会产生汇编代码

mov reg,[ebp - ?]
add reg,imm
mov [ebp - ?] reg

变量 + 变量赋值给变量操作了变量.那么心中自然知道.会操作寄存器. 而汇编允许寄存器+栈中的值

所以可以产生代码定式

mov reg,[ebp - 4] 变量1
add reg,[ebp - 8] 变量2
mov [ebp - c],reg 变量3
三个代码可以看成 变量 + 变量 赋值给了变量

注意:上面为Debug版本下产生的代码定式. 在Releas下会进行优化.

在Releas下我们上面的代码会直接优化,没有产生任何汇编代码.

原因是: 常量传播窥孔优化常量折叠. 因为上面代码我们并没有用. 无意义的代码.所以不断进行优化就会优化没有.

可以参考本人编写的详细博客: 博客链接