【reverse】逆向6 JCC

【reverse】逆向6 JCC

前言

我们之前学习的时候讲了,eip寄存器存储的是当前(即将执行的语句的) 指向地址

而我们之前提到的下断点(F2),就和我们编程中的下断点一样,执行到某句汇编指令然后停住

今天的课程的别名又叫作《修改eip

1、JMP指令

JMP指令的作用类似于mov的作用,只不过mov不用用于eip寄存器,我们要通过jmp指令来操作eip寄存器

并且JMP指令只能作用于eip寄存器

如果我们跳转的位置距离当前位置小于128个字节,会加上short的关键字

如果大于128那么就不会写

JMP发生作用的时候,只会作用与eip寄存器

举个例子

【reverse】逆向6 JCC

这个时候,我们的eip存储的内存地址为

【reverse】逆向6 JCC

我们运行一下jmp指令,发现eip存储的内存地址为我们jmp的内存地址

【reverse】逆向6 JCC

2、CALL指令

call指令也会让eip跳转到想去的地址,但是call和jmp的区别就是,call跳转的时候,会将call到了ret时候下一个执行的汇编命令的地址存入堆栈中

举个例子

我们call(call到00401006)

【reverse】逆向6 JCC

call之前的eip和esp

【reverse】逆向6 JCC

call之前的堆栈

【reverse】逆向6 JCC

我们运行一下call指令(在00401006这里下断点)

【reverse】逆向6 JCC

运行完之后发现esp(栈顶)的地址-4,也就是堆栈存了一个4字节的数据,eip的地址跑到了我们call的地方

我们来看看堆栈存储的数据,存储了一个返回地址,这个地址是根据我们第一张图可以知道,是call语句之后的下一条语句

【reverse】逆向6 JCC

然后我们再再00401006上汇编一条retn语句

【reverse】逆向6 JCC

我们执行一下

发现我们的esp和eip也变了,esp的地址+4,说明pop了刚刚存储的返回地址,eip指向的就是刚刚的返回地址

【reverse】逆向6 JCC

我们看看堆栈的变化

【reverse】逆向6 JCC

堆栈当前的指针指向0019ff74,pop了上面的0019ff70

这就是call和retn的功能,retn的作用其实就相当于是pop eip,只不过不允许这么写

我们在用正向代码运行函数的时候,其实就是不断的存储返回地址到堆栈中,然后执行函数的功能,最后retn到原来的内存地址上

3、CMP指令

指令格式

cmp R/M,R/M/IMM

该指令是比较两个操作数,实际上,它相当于sub指令,但是相减的结构并不是保存到第一个操作数中

只是根据相减的结果来改变标志位的,当两个操作数相等的时候,ZF = 1

所以cmp的作用就是sub的作用而不该寄存器的值,仅仅是改变标志寄存器

cmp一般用于比较两个数是否相等

同时,我们可以观察SF位,如果SF = 1,那么说明第一个数据比第二个数据小,反之成立

当然cmp不仅仅可以比较两个通用寄存器,同时也可以比较寄存器和一块内存地址存储的数据(前提是 数据宽度一样)

cmp eax,ecx
cmp eax,dword ptr ds:[405000]

我们进行一个测试

首先给eax和ecx分别赋值0x1和0x2,然后给所有的标志寄存器置0

【reverse】逆向6 JCC

然后运行cmp汇编指令,标志寄存器结果如下

【reverse】逆向6 JCC

cf = 1因为0x1-0x2产生了借位

pf = 1因为得到的结果是ffff ffff,最低有效字节是ff,换成2进制,1111 1111,有偶数个1,所以置1

af = 1因为辅助位借位了

zf = 0因为相减结果是ffff ffff不为0

sf = 1因为符号位是1

of = 0 因为没有溢出

4、TEST值指令

指令格式:

TEST R/M,R/M/IMM

该指令在逻辑程度上和CMP指令类似,两个数值进行 操作,结果不保存,仅仅改变标志位

常见用法:

判断某个寄存器是否等于0

# 判断eax是否存值为0
test eax,eax

举个例子

我们把eax置0,把标志位寄存器全部置0

【reverse】逆向6 JCC

然后运行汇编

【reverse】逆向6 JCC

得到结果如下

【reverse】逆向6 JCC

cf = 0 因为与运算没有进位或借位

pf = 1 因为结果结果为0000 0000,最低有效字节是00,有0(偶数)个1,所以为1

af = 0 因为与运算没有进位或借位

zf = 1 因为结果为0

sf = 0 因为符号位就是0

of = 0 因为没有溢出

5、JCC

JCC说白了就是不同情况下的jmp,根据标志寄存器来跳转

先理解,然后背诵

JCC只与符号标志位有关,不影响堆栈、不影响寄存器

JE、JZ

je = jump if equal

jz = jump if zero

ZF = 1 跳转

结果为0则跳转(相等时跳转)

JNE、JNZ

jne = jump if not equal

jnz = jump if not zero

ZF = 0 跳转

结果不为0则跳转(不相等时跳转)

JS

js = jump if SF

SF = 1 跳转

结果为负数则跳转

JNS

JNS = jump if not SF

SF = 0 跳转

结果为正数则跳转

JP、JPE

JP = jump if PF

JPE = jump if even (偶数)

PF = 1 跳转

结果中最低有效字节中1的个数为偶数则跳转

JNP、JPO

JNP = jump if not PF

JPO = Jump if odd(奇数)

PF = 0 跳转

结果中最低有效字节中1的个数为奇数则跳转

JO

JO = jump if OF

OF = 1 跳转

有溢出就跳转

JNO

JNO = jump if not OF

OF = 0 跳转

没有溢出就跳转

JC、JB、JNAE

存jump if carry;jump if below;jump if not above equal

一般是与cmp一起用

mov ax,2
cmp ax,3 # 比较ax的值和3
jb next # 小于就转到next

大于则跳转(无符号数)

CF = 1跳转

JNC、JNB、JAE

jump if not carry;jump if not below;jump if above equal

大于等于则跳转(无符号数)

CF = 0 跳转

JBE、JNA

? jump if below equal;jump if not above

小于等于则跳转(无符号数)

CF = 1 or ZF =1

JNBE、JA

? jump if not below equal;jump if above

大于则跳转(无符号数)

CF = 0 and ZF = 0

JL、JNGE

? jump if less;jump if not greater equal jump

小于则跳转(有符号数)

SF != OF

JNL、JGE

? jump if not less;jump if greater equal

大于等于则跳转(有符号数)

SF = OF

JLE、JNG

? jump if less equal;jump if not greater

小于等于则跳转(有符号数)

ZF = 1 or SF != OF

JNLE、JG

? jump if not less equal;jump if greater

大于则跳转(有符号数)

ZF = 0 and SF = OF

6、JCC总结

JCC指令 中文含义 英文原意 检查符号位 典型C应用
JZ/JE 若为0则跳转;若相等则跳转 jump if zero;jump if equal ZF=1 if (i == j);if (i == 0);
JNZ/JNE 若不为0则跳转;若不相等则跳转 jump if not zero;jump if not equal ZF=0 if (i != j);if (i != 0);
JS 若为负则跳转 jump if sign SF=1 if (i < 0);
JNS 若为正则跳转 jump if not sign SF=0 if (i > 0);
JP/JPE 若1出现次数为偶数则跳转 jump if Parity (Even) PF=1 (null)
JNP/JPO 若1出现次数为奇数则跳转 jump if not parity (odd) PF=0 (null)
JO 若溢出则跳转 jump if overflow OF=1 (null)
JNO 若无溢出则跳转 jump if not overflow OF=0 (null)
JC/JB/JNAE 若进位则跳转;若低于则跳转;若不高于等于则跳转 jump if carry;jump if below;jump if not above equal CF=1 if (i < j);
JNC/JNB/JAE 若无进位则跳转;若不低于则跳转;若高于等于则跳转; jump if not carry;jump if not below;jump if above equal CF=0 if (i >= j);
JBE/JNA 若低于等于则跳转;若不高于则跳转 jump if below equal;jump if not above ZF=1或CF=1 if (i <= j);
JNBE/JA 若不低于等于则跳转;若高于则跳转 jump if not below equal;jump if above ZF=0或CF=0 if (i > j);
JL/JNGE 若小于则跳转;若不大于等于则跳转 jump if less;jump if not greater equal jump SF != OF if (si < sj);
JNL/JGE 若不小于则跳转;若大于等于则跳转; jump if not less;jump if greater equal SF = OF if (si >= sj);
JLE/JNG 若小于等于则跳转;若不大于则跳转 jump if less equal;jump if not greater ZF != OF 或 ZF=1 if (si <= sj);
JNLE/JG 若不小于等于则跳转;若大于则跳转 jump if not less equal;jump if greater SF=0F 且 ZF=0 if(si>sj)

【reverse】逆向6 JCC

上一篇:谷粒商城--分布式高级篇P102~P128


下一篇:Oracle ORA-01840:输入值对于日期格式不够长错误