反汇编分析C++代码

编译环境:Windows 10 + VS2015

1、问题引入

在Win32环境下,CPU小端模式,参数用栈来传递,写出输出结果。

代码如下:

int main()
{    
    long long a = 1;
    long long b = 2;
    long long c = 3;
    printf("%d%d%d", a, b, c);//输出结果102
    return 0;
}

反汇编代码如下:

int main()
{    
010C2AB0  push        ebp  
010C2AB1  mov         ebp,esp //ebp地址为0x00cffcd0 
010C2AB3  sub         esp,0F0h  
010C2AB9  push        ebx  
010C2ABA  push        esi  
010C2ABB  push        edi  
/*
将ebp-0f0处地址(0x00cffbe0)赋给目标变址寄存器edi。
注意lea与mov指令的区别,如果为mov,则表示将0x00cffbe0处存放的数据赋给edi。
*/ 010C2ABC lea edi,[ebp-0F0h] 010C2AC2 mov ecx,3Ch 010C2AC7 mov eax,0CCCCCCCCh
/*
rep 表示重复执行其后面指令stos,重复次数由计数器ecx决定,没执行一次,ecx自动减小,ecx为0时,停止执行其后的指令。
stos 表示将edi指向的内容写成eax中的值,rep过程中edi自动增加。由f0h除以3ch=04得知每次自动增加4个字节,刚好为win32环境下指针长度。
*/ 010C2ACC rep stos dword ptr es:[edi] long long a = 1;
/*
dword 双字节 即四个字节
prt pointer缩写,即针
[]里的数据是一个地址值,这个地址指向一个双字节类型数据
mov ptr [a],1,表示把1数据赋给变量a。
mov eax,dword ptr[00cffbe0] 表示把地址00cffbe0中的双字节型(32位)数据赋给eax累加器。
*/ 010C2ACE mov dword ptr [a],1 010C2AD5 mov dword ptr [ebp-8],0 long long b = 2; 010C2ADC mov dword ptr [b],2 long long b = 2; 010C2AE3 mov dword ptr [ebp-18h],0 long long c = 3; 010C2AEA mov dword ptr [c],3 010C2AF1 mov dword ptr [ebp-28h],0 printf("%d%d%d", a, b, c); 010C2AF8 mov eax,dword ptr [ebp-28h] 010C2AFB push eax 010C2AFC mov ecx,dword ptr [c] 010C2AFF push ecx 010C2B00 mov edx,dword ptr [ebp-18h] 010C2B03 push edx 010C2B04 mov eax,dword ptr [b] 010C2B07 push eax 010C2B08 mov ecx,dword ptr [ebp-8] 010C2B0B push ecx 010C2B0C mov edx,dword ptr [a] 010C2B0F push edx 010C2B10 push offset string "%d%d%d" (010C9B30h) 010C2B15 call _printf (010C152Dh) 010C2B1A add esp,1Ch return 0; 010C2B1D xor eax,eax } 010C2B1F pop edi 010C2B20 pop esi 010C2B21 pop ebx 010C2B22 add esp,0F0h 010C2B28 cmp ebp,esp 010C2B2A call __RTC_CheckEsp (010C1181h) 010C2B2F mov esp,ebp 010C2B31 pop ebp 010C2B32 ret

参数压栈后栈中数据结构如下,所以按整型输出是,读取的是地址0x011df900~0x011df908内容。按小端模式取出的结果为102。

反汇编分析C++代码

2、寄存器简介

1)数据寄存器:保存操作数和运算结果等信息。

  • EAX:Accumulator。是"累加器"(accumulator), 它是很多加法乘法指令的缺省寄存器。也可用作函数返回值。取低16位为AX,分割为8位寄存器AH-AL。指令ret返回用到。
  • EBX:Base Register。 是"基地址"(base)寄存器, 在内存寻址时存放基地址。
  • ECX:Count Register。是计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器。
  • EDX:Data Register。则总是被用来放整数除法产生的余数。

2)指针寄存器:EBP,ESP可作为通用寄存器,即可存储算术逻辑运算的操作数和运算结果。

  • EBP:Base Pointer,基指针寄存器,直接访问栈中的数据。
  • ESP:Stack Pointer,栈指针寄存器,只可访问栈顶。指令pop/push时自动变。
  • EIP:Instruction Pointer,指令指针寄存器,存放下次将要执行的指令在代码段中的偏移量。每走一条指令自动变一次,如果希望跳转后能返回继续就需要跳转前把它放入栈中,返回时出栈。

3)变址寄存器:主要用于存放存储单元在段内的偏移量。

  • ESI: Source Index,源变址寄存器。EDS:ESI即源串段寄存器:源串变址,ESI在串操作中自动增减。
  • EDI:Destination Index,目标变址寄存器。EES:EDI即目标串段寄存器:目标串变址,EDI在串操作中自动增减。

4)段寄存器:内存分段。这里最多为6个内存段,不同的内存段放入不同的东西。

  • ECS:Code Segment Register,代码段寄存器。
  • EDS:Data Segment Register,数据段寄存器。
  • EES:Extra Segment Register,附加段寄存器。
  • ESS:Stack Segment Register,栈段寄存器。
  • EFS:Extra Segment Register,附加段寄存器。
  • EGS:Extra Segment Register,附加段寄存器。
上一篇:黑白逆向编程课程笔记 18.局部&全局变量&参数详解


下一篇:C语言中的数组、字符串、指针反汇编学习笔记