第一章 熟悉工作环境和相关工具
1.1 熟悉OllyDBG 操作技巧
1.2 反汇编静态分析工具
IDA（最专业的逆向工具）
快捷键 功能
Enter 跟进函数实现
Esc 返回跟进处
A 解释光标处的地址为一个字符串的首地址
B
十六进制数与二进制数转换
C 解释光标处的地址为一条指令
D
解释光标处的地址为数据,没按一次将会转换这个地址的数据长度
G 高速查找到相应的地址
H
十六进制数与十进制数转换
K 将数据解释为栈变量
; 加入?凝视
M 解释为枚举成员
N 又一次命名
O
解释地址为数据段偏移量
T 解释数据为一个结构体成员
X
转换视图到交叉參考模式
Shift+F9 加入?结构体
认识各视图功能
IDA
View-A:分析视图窗体,用于显示分析结果。
Hex View-A:二进制视图窗体,打开文件的二进制信息。
Exports: 分析文件里的导出函数信息窗体
Imports:
分析文件里的导入函数信息窗体
Names: 名称窗体，分析文档中用到的标题号名称。
Functions: 分析文件里的函数信息窗体
Structures:加入?结构体信息窗体
Enums: 加入?枚举信息窗体
SIG文件的制作步骤 1、从LIB文件里提取出OBJ文件 2、将每一个OBJ文件制作成PAT文件
3、多PAT文件联合编译SIG文件
SIG文件制作批处理文件的过程
md %l_objs
cd %l_objs
for /F %%i
in (‘link - lib /list %l.lib‘) do link -lib /extract:%%i %l.lib
for %%i in
(*.obj) do pcf %%i
sigmake -n"%l.lib" *.pat %l.sig
if exist %l.exc for %%i
in (%l.exc) do find /v ";" %%i >adc.exc
if exist %l.exc for %%i in
(%l.exc) do > abc.exc more +2 "%%i"
copy abc.exc %l.exc
del abc.exc
sigmake -n"%l.lib" *.pat %l.sig
copy %l.sig ..\%l.sig
cd ..
del %l_objs
/s /q
rd %l_objs
代码说明
通过 md%l_objs 创建文件夹，文件夹名称为參数1
通过 cd %l_objs 进入刚刚创建的文件夹
在当前文件夹下
循环取出 LIB 中的OBJ名称 并逐个生成相应的OBJ
循环将生成的OBJ文件通过PCF转换相应的PAT文件
将文件夹下的全部的PAT文件生成一个SIG文件
将生成的SIG文件复制到上级文件夹中
返回上级文件夹，删除创建的文件夹中的全部数据
将创建文件夹删除
1.3 反汇编引擎的工作原理
Instruction Prefixes: 指令前缀
反复指令：REP、REPE\REPZ
跨段指令：如 MOV DWORD PTR FS:[xxxx],0
32位 16位 互换 如：MOV AX,WORD PTR DS:[EAX] MOV EAX,DWORD PTR
DS:[BX+SI]
Opcode: 指令操作码
Mode R/M：操作数类型
SIB:辅助
Mode R/M，计算地址偏移
Displacement:辅助 Mode R/M, 计算地址偏移
Immediate:马上数
第二章 基本数据类型的表现形式
2.1 整数类型
无符号整数
有符号整数 差别就是最大位
2.2 浮点数类型
浮点数的编码方式 在内存中占4字节 最高位符号 剩余的31位中 左取8位指数 其余尾数
浮点寄存器的使用就是压栈/出栈的过程
比如
float fFloat
=(float)argc; //argc为命令行參数
fild dword ptr [ebp+8] ;将地址ebp+8处的整形数据转换浮点型，并入st(0)中，相应变量 argc
fst dword ptr [ebp-4] ;从st(0)中取出数据以浮点编码方式放入地址ebp-4中，相应变量fFloat
printf("%f",fFloat);
;这里对esp运行减8操作 是因为浮点数作为变參函数的參数时 须要转换为双精度浮点值
;这步操作时提前准备8字节的栈空间,以便于存放double
数据
sub esp,8
fstp dword ptr [esp] ;将st(0) 中的 数据传入esp中，并弹出st(0)
push offset string "%f"
call printf
add esp,0ch
argc =(int)fFloat;
fld dwrod ptr [ebp-4] ;将地址 ebp-4处的数据以浮点数类型压入st(0)中
call _ftol ;调用函数_ftol 进行浮点类型转换
mov dword ptr [ebp+8],eax ;转换后结果放入eax中，并转递到ebp+8地址处
类型转换函数 _ftol 的实现
push ebp
mov ebp,esp
add esp,0f4h
;浮点异常检查,CPU 与 FPU的同步工作
wait
fnstcw word ptr [ebp-2]
wait
mov ax,word
ptr [ebp-2]
or ah,0ch
mov word ptr [ebp-4],ax
fldcw word ptr
[ebp-4]
;从st(0)中取出8字节数据转换成整形并传入ebp-0ch中
;将st(0) 从栈中弹出
flstp dword ptr
[ebp-och]
fldcw word ptr [ebp-2]
;使用eax 保存长整形的低4位，用于返回
mov eax,dword
ptr [ebp-0ch]
;使用edx 保存长整形数据的高4字节，用于返回
mov edx,dword ptr [ebp-8]
;释放栈
leave
ret
2.3 字符和字符串
字符串是由一系列依照一定的编码顺序线性排列的字符组成的
2.4 布尔类型
2.5 地址、指针和引用
地址是一个有32位二进制数字组成的值。指针是用于保存这个编号的一种变量类型。
指针的取内容操作分为两个步骤：先取出指针中保存的地址信息，然后针对这个地址进行去内容。
两指针相加是没有意义的
引用类型就是指针类型
2.6 常量
数据在程序执行前就已经存在，他们被编译到可执行文件里。
#define定义的常量名称,编译器对其进行编译时，会将代码中的宏名称替换成相应的信息。
const
是为了添加?程序的健壮性而存在的
#define 是一个真常量，而const
却是由编译器推断实现的常量，是一个假常量。
第三章 认识启动函数，找到用户入口
mian函数被调用前要先调用的函数 例如以下
GetVersion() 版本
_heap_init() 初始化堆空间
GetCommandLineA()
获得命令行首地址
_crtGetEnviromentStringsA() 环境变量首地址
_setargv() 命令行參数首地址
_setenvp() 把得到的每条环境变量字符串的首地址存放在字符指针数组中
_cinit()
全局数据和浮点寄存器的初始化
第四章 观察各种表达式的求值过程
加法 add 常量传播 和 常量折叠
常量传播--将编译期间可计算出结果的变量转换成常量，这样就降低了变量的使用。
常量折叠--全部的常量计算都将被计算结果取代。
减法
sub
比如：
int nVarOne=argc;
012E13CE
mov eax,dword ptr
[argc]
012E13D1
mov dword ptr
[nVarOne],eax
int nVarTwo=0;
012E13D4
mov dword ptr
[nVarTwo],0
scanf("%d",&nVarTwo);
012E13DB
mov esi,esp
012E13DD lea
eax,[nVarTwo]
012E13E0
push eax
012E13E1
push offset string "%d"
(12E5750h)
012E13E6
call dword ptr [__imp__scanf
(12E82BCh)]
012E13EC
add esp,8
012E13EF cmp
esi,esp
012E13F1 call
@ILT+325(__RTC_CheckEsp) (12E114Ah)
nVarOne=nVarOne-100;
012E13F6 mov eax,dword ptr
[nVarOne]
012E13F9
sub eax,64h
012E13FC mov dword ptr
[nVarOne],eax
nVarOne=nVarOne+5-nVarTwo;
012E13FF
mov eax,dword ptr
[nVarOne]
012E1402
add eax,5
012E1405 sub eax,dword ptr
[nVarTwo]
012E1408
mov dword ptr [nVarOne],eax
printf("nVarOne = %d \r\n",nVarOne);
012E140B
mov esi,esp
012E140D mov eax,dword ptr
[nVarOne]
012E1410 push
eax
012E1411 push
offset string "nVarOne = %d \r\n" (12E573Ch)
012E1416
call dword ptr [__imp__printf
(12E82C4h)]
012E141C
add esp,8
乘法 有符号 imul 和 无符号 mul 两种 样例直接编译
除法 有符号
idiv 和 无符号 div 两种 样例直接编译
推断除法 总结 1
mov eax,MagicNumber
imul …
sar edx,…
mov reg,edx
shr reg,1fh
add
edx,reg
;此后直接仅仅用edx的值，eax弃而不用
推断除法 总结 2
mov eax,MagicNumber
；这里的reg表示通用寄存器,上例中为ecx，实际分析中还可能是其它寄存器
mul reg
sub
reg,edx
shr reg,1
add reg,edx
shr reg,A
；这句也许没有
;此后直接仅仅用edx的值，eax弃而不用
推断除法 总结 3
mov eax,MagicNumber
(大于7ffffffffh)
imul reg
add edx,reg
sar edx,…
mov reg,edx
shr reg,1fh
add edx,reg
;此后直接使用edx的值
推断除法 总结 4
mov eax,MagicNumber (大于7ffffffffh)
imul
reg
sar edx,…
mov reg,edx
shr reg,1fh
add edx,reg
;此后直接使用edx的值
推断除法 总结 5
mov eax,MagicNumber (大于7ffffffffh)
imul
reg
sub edx，reg
sar edx,…
mov reg,edx
shr reg,1fh
add edx,reg
;此后直接使用edx的值
算数结果溢出
溢出是因为数据进位后超出数据的保存范围导致的
进位--
无符号数超出存储范围叫做进位
自增自减实例
int nVarOne=argc;
0098138E mov eax,dword ptr
[argc]
00981391
mov dword ptr
[nVarOne],eax
int nVarTwo=0;
00981394
mov dword ptr [nVarTwo],0
nVarTwo=5+(nVarOne++);
0098139B
mov eax,dword ptr
[nVarOne]
0098139E
add eax,5
009813A1 mov dword ptr
[nVarTwo],eax
009813A4
mov ecx,dword ptr
[nVarOne]
009813A7
add ecx,1
009813AA mov dword ptr
[nVarOne],ecx
nVarTwo=5+(++nVarOne);
009813AD
mov eax,dword ptr
[nVarOne]
009813B0
add eax,1
009813B3 mov dword ptr
[nVarOne],eax
009813B6
mov ecx,dword ptr
[nVarOne]
009813B9
add ecx,5
009813BC mov dword ptr
[nVarTwo],ecx
nVarOne=5+(nVarTwo++);
009813BF
mov eax,dword ptr
[nVarTwo]
009813C2
add eax,5
009813C5 mov dword ptr
[nVarOne],eax
009813C8
mov ecx,dword ptr
[nVarTwo]
009813CB
add ecx,1
009813CE mov dword ptr
[nVarTwo],ecx
nVarOne=5+(++nVarTwo);
009813D1
mov eax,dword ptr
[nVarTwo]
009813D4
add eax,1
009813D7 mov dword ptr
[nVarTwo],eax
009813DA
mov ecx,dword ptr
[nVarTwo]
009813DD
add ecx,5
009813E0 mov dword ptr
[nVarOne],ecx
表达式短路--通过逻辑与运算和逻辑或运算使语句依据条件在运行时发生中断。
位运算
int BitOperation(int argc)
{
00BE1370
push ebp
00BE1371
mov ebp,esp
00BE1373 sub
esp,0C0h
00BE1379 push
ebx
00BE137A push
esi
00BE137B push
edi
00BE137C
lea edi,[ebp-0C0h]
00BE1382 mov
ecx,30h
00BE1387
mov eax,0CCCCCCCCh
00BE138C rep stos dword ptr es:[edi]
argc=argc<<3;
00BE138E
mov eax,dword ptr
[argc]
00BE1391
shl eax,3
00BE1394 mov dword ptr
[argc],eax
argc=argc>>5;
00BE1397
mov eax,dword ptr
[argc]
00BE139A
sar eax,5
00BE139D mov dword ptr
[argc],eax
argc=argc|0xffff0000;
00BE13A0
mov eax,dword ptr
[argc]
00BE13A3
or
eax,0FFFF0000h
00BE13A8
mov dword ptr
[argc],eax
argc=argc&0x0000ffff;
00BE13AB
mov eax,dword ptr
[argc]
00BE13AE
and eax,0FFFFh
00BE13B3 mov dword ptr
[argc],eax
argc=argc^0xffff0000;
00BE13B6
mov eax,dword ptr
[argc]
00BE13B9
xor eax,0FFFF0000h
00BE13BE mov dword ptr
[argc],eax
argc=~argc;
00BE13C1
mov eax,dword ptr
[argc]
00BE13C4
not eax
00BE13C6 mov dword ptr
[argc],eax
return argc;
00BE13C9
mov eax,dword ptr
[argc]
}
00BE13CC
pop edi
00BE13CD pop
esi
00BE13CE
pop ebx
00BE13CF mov
esp,ebp
00BE13D1
pop ebp
00BE13D2 ret
reg==A?C:b+c -->等效于以下
;遇到sub/neg/sbb 就表明是等值比較了
sub reg,A
neg reg
sbb reg,reg
and reg,B
add reg,C 若等值条件成立，其结果为C
否则b+c
比如
int BitOperation(int argc)
{
00DC1370
push ebp
00DC1371
mov ebp,esp
00DC1373 sub
esp,0C0h
00DC1379 push
ebx
00DC137A push
esi
00DC137B push
edi
00DC137C
lea edi,[ebp-0C0h]
00DC1382 mov
ecx,30h
00DC1387
mov eax,0CCCCCCCCh
00DC138C rep stos dword ptr es:[edi]
return argc ? 8 : 20;
00DC138E
mov eax,dword ptr
[argc]
00DC1391
neg eax
00DC1393 sbb
eax,eax
00DC1395
and eax,0FFFFFFF4h
00DC1398 add
eax,14h
}
00DC139B
pop edi
00DC139C pop
esi
00DC139D
pop ebx
00DC139E mov
esp,ebp
00DC13A0
pop ebp
00DC13A1
ret
代码优化一般有四个方向：
1 运行速度优化
2 内存存储空间优化
3
磁盘存储空间优化
4 编译时间优化
第五章 流程控制语句的识别
if语句
总结：
；先运行各类影响标志位的指令
；其后是各种条件跳转指令
jxx xxxxx
if...else...语句
总结：
；先运行影响标志位的相关指令
jxx
ELSE_BEGIN
IF_BEGIN:
……
IF_END:
jmp ELSE_END
ELSE_BEGIN:
……
ELSE_END;
用if构成的多分支流程
总结：
；会影响标志位的指令
jxx
ELSE_IF_BEGIN
IF_BEGIN:
……
IF_END:
jmp END
ELSE_IF_BEGIN:
；可影响标志位的指令
jxx ELSE_BEGIN
……
ELSE_IF_END:
jmp END
ELSE_BEGIN:
……
END:
……
Switch 的真相
总结 1
mov reg,mem
;影响标志位的指令
jxx xxxx
;影响标志位的指令
jxx xxx
;影响标志位的指令
jxx xxx
jmp END
……
jmp END
……
jmp END
……
END:
……
总结 2
mov reg,mem
; 对变量进行运算，对齐case地址表的0下标，非必要
;上例中的eax 也可用其它寄存器替换，这里也能够是其它类型的运算
lea eax,[reg+xxxx]
;影响标志位的指令，执行范围检查
jxx DEFAULT_ADDR
jmp dword ptr [eax*4+xxxx]
;
总结 3
mov reg,mem
sub reg,1
mov
mem,reg
;影响标志位的指令
jxx xxxx
mov reg , [mem]
;eax不是必要用的，可是之后的数组查询用到的寄存器一定是此处使用的寄存器
xor eax,eax
mov
al,byte ptr [xxxx] [reg]
jmp dword ptr [eax*4+xxxx]
do/while/for的比較
do 总结
DO_BEGIN:
.....
;影响标志位的指令
jxx DO_BEGIN ;向上转
while 总结
WHILE_BEGIN:
;影响标志位的指令
jxx
WHILE_END
.....
jmp WHILE_BEGIN
WHILE_END:
for 总结
mov mem/reg,xxx
jmp FOR_CMP
FOR_STEP:
;改动循环变量step
mov reg,step
add reg,xxxx ;
改动循环变量的计算过程
mov setp,eax
FOR_CMP:
mov ecx,dword
ptr step
;推断循环变量和循环终止条件stepend的关系，满足条件则推出 循环
cmp
ecx,setpend
jxx FOR_END
……
jmp FOR_STEP
FOR_END:
第六章 函数的工作原理
栈帧的形成和关闭
栈在内存中是一块特殊的存储空间，它的存储原则是“先进后出”.
esp 与
ebp 栈顶 与 栈底
当 esp 小于 ebp时 就形成了栈帧，栈帧中能够寻址的数据有局部 函数返回地址 函数參数等
vc环境下的调用约定有三种
_cdecl: c/c++默认的调用方式，调用方平衡堆栈，不定參数的函数能够使用。
_stdcall:被调用方平衡堆栈，不定參数的函数无法使用
_fastcall:寄存器方式传參,被调用方平衡堆栈，不定參数的函数无法使用。
使用ebp 或 esp 寻址 寄存器相对间接寻址方式
函数的參数
通过栈结构进行传递。
C/C++将不定长參数的函数定义为：
至少要有一个參数，
全部不定长的參数类型传入时都是dword类型
需在某一个參数中描写叙述參数总个数或将最后一个參数赋值为结尾标记
函数调用的一般工作流程
1 參数传递
通过栈或寄存器方式传递參数
2 函数调用，将返回地址压栈
使用 call
指令调用參数，并将返回地址压入栈中
3 保存栈底
使用栈空间保存调用方的栈底寄存器
ebp
4 申请栈空间和保存寄存器环境
依据函数内部局部变量的大小抬高栈顶让出相应的栈空间
而且将要改动的寄存器保存在栈中
5 函数实现代码
6 还原环境
7 平衡栈空间
平衡局部变量使用的栈空间
8 ret 返回，结束函数调用
更新eip
9 调整 esp，平衡栈顶
此处为_cdecl特有的方式，用于
平衡參数占用的栈顶
两种编译选项下的函数识别
debug
push
reg/mem/imm
……
call reg/mem/imm
add esp,xxx
jmp FUN_ADDR
FUN_ADDR:
push ebp
……
mov eax,0cccccccch
rep stos
dword ptr [edi];
……
pop ebp
ret
Release
push reg/mem/imm
……
call reg/mem/imm
add esp,xxxx
;函数实现内没有将局部变量初始化为0cccccccch
;若在函数体内不存在内联汇编或异常处理等代码 则使用esp 寻址