反汇编分析C语言

环境

VC6.0环境

空函数反汇编

#include "stdafx.h"
void function(){

}
int main(int argc, char* argv[])
{
	function();
	printf("Hello World!\n");
	return 0;
}

我们通过反汇编来分析这段空函数

###函数外部
10:       function();
00401068   call        @ILT+5(function) (0040100a)
11:       printf("Hello World!\n");
0040106D   push        offset string "Hello World!\n" (0042201c)
00401072   call        printf (004010a0)
00401077   add         esp,4
12:       return 0;
0040107A   xor         eax,eax

函数内部

4:    #include "stdafx.h"
5:    void function(){
00401020   push        ebp
00401021   mov         ebp,esp
00401023   sub         esp,40h
00401026   push        ebx
00401027   push        esi
00401028   push        edi
00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]
6:
7:    }
00401038   pop         edi
00401039   pop         esi
0040103A   pop         ebx
0040103B   mov         esp,ebp
0040103D   pop         ebp
0040103E   ret

分析函数

函数调用

00401048   call        @ILT+5(function) (0040100a)

函数内部

接着进到函数的内部

有了之前画堆栈的经验，我们不难看出，尽管我们的函数是个空函数，但其汇编代码依然完成了以下流程：

1.提升堆栈

2.保护现场

3.初始化提升的堆栈

4.恢复现场

5.返回

提升堆栈

00401010   push        ebp
00401011   mov         ebp,esp
00401013   sub         esp,40h

保护现场

00401026   push        ebx
00401027   push        esi
00401028   push        edi

初始化提升的堆栈

00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]

恢复现场

00401028   pop         edi
00401029   pop         esi
0040102A   pop         ebx
0040102B   mov         esp,ebp
0040102D   pop         ebp

PS:这里的mov esp，ebp就是降低堆栈，与前面的提升堆栈相对应，所以也属于恢复现场的一部分

返回

0040103E   ret

函数返回后

函数返回后不出意料地返回调用CALL地下一行语句，我们接着看

0040104D   xor         eax,eax

这里是将eax清零，注意到我们的语句为return 0 这里就是将eax作为返回值来传递

一般来说eax都是作为函数的返回值，但不绝对，有的函数返回值是存在内存里或其他情况，要具体情况具体分析

0040104F   pop         edi
00401050   pop         esi
00401051   pop         ebx

很明显，这里是在还原现场，别忘了我们的主程序main本身也是个函数，这是在还原main前保护的现场

接着往下走

0040107F   add         esp,40h
00401082   cmp         ebp,esp
00401084   call        __chkesp (00401120)

这里首先是将esp减少了40h，然后比较ebp和esp，最后再调用一个chesp函数从名称就不难看出 chkesp = check esp，检查esp，这个函数就是用来检查堆栈是否平衡的

那么接下来

00401089   mov         esp,ebp
0040108B   pop         ebp

依旧是恢复现场

最后是

0040108C   ret
##总结空函数分析
我们可以看到，即便是一个空函数什么都没有做，但调用一个空函数所产生的汇编代码却不少
保护现场、恢复现场以及堆栈平衡的检查等等都没少，可谓麻雀虽小五脏俱全。

简单加法函数反汇编

#include "stdafx.h"
int Plus(int x ,int y)
{
  retuen x+y;
}
int main(int argc, char* argv[])
{
	//调用加法函数
        Plus(1,2);
	return 0;
}

加法函数的反汇编

11:       //调用加法函数
12:       Plus(1,2);
00401068   push        2
0040106A   push        1
0040106C   call        @ILT+0(Plus) (00401005)
00401071   add         esp,8
13:       return 0;
00401074   xor         eax,eax
14:   }
00401076   pop         edi
00401077   pop         esi
00401078   pop         ebx
00401079   add         esp,40h
0040107C   cmp         ebp,esp
0040107E   call        __chkesp (004010a0)
00401083   mov         esp,ebp
00401085   pop         ebp
00401086   ret

分析函数

00401068   push        2
0040106A   push        1
0040106C   call        @ILT+0(Plus) (00401005)

结合前面的空函数分析，我们可以明显发现这里的函数调用环节，多了两个push就是将函数所需要的参数压入堆栈，这里的参数为2和1，注意压入的顺序是反着（由调用约定决定）

函数内部

提升堆栈保护现场初始化

提升堆栈、保护现场、初始化部分和空函数如出一辙，这里就不在赘述

00401020   push        ebp
00401021   mov         ebp,esp
00401023   sub         esp,40h
00401026   push        ebx
00401027   push        esi
00401028   push        edi
00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]

实际执行主要的部分

7:      return x+y;
00401038   mov         eax,dword ptr [ebp+8]
0040103B   add         eax,dword ptr [ebp+0Ch]

这里的[ebp+8] 就是我们前面压入的参数1，[ebp+c]就是前面压入的参数2

于是这两条语句其实就是

00401038   mov         eax,1
0040103B   add         eax,2

将1+2的结果保存到eax中，(此时eax又作为函数返回值的载体)

恢复现场和返回

接下来的内容和空函数一样了，恢复现场和返回，也不再赘述

0040103E   pop         edi
0040103F   pop         esi
00401040   pop         ebx
00401041   mov         esp,ebp
00401043   pop         ebp
00401044   ret

函数返回后

函数返回后我们会发现与先前的空函数相比多了这一行代码

00401071   add         esp,8

这里是对应我们前面压入的两个参数1和2，压入参数后esp减少了8，这里我们函数调用结束后，就不再需要之前压入的两个参数了，于是将esp恢复到压入参数前，这其实也算是恢复现场，用来平衡堆栈，我们可以发现，这条语句是在我们call调用完毕后执行的平衡堆栈操作，所以这种操作也被称为堆栈外平衡

与之相对应的就是堆栈内平衡:即在call里面就把堆栈平衡好了