x86汇编反编译到c语言之——(2)if语句

一. 测试的C语句及编译后的x86汇编代码

int a;
int b;

int main(void) {
    int c;

    if (c)
            a = 4;
        else
            b = 5;

    return 0;
}

 1 .text:0000000000400457                 push    rbp
 2 .text:0000000000400458                 mov     rbp, rsp
 3 .text:000000000040045B                 sub     rsp, 10h
 4 .text:000000000040045F                 mov     [rbp-10], rsp
 5 .text:0000000000400463                 lea     rax, [rbp-4]
 6 .text:0000000000400467                 movsxd  rax, dword ptr [rax]
 7 .text:000000000040046A                 cmp     eax, 0
 8 .text:000000000040046D                 jz      short loc_400483
 9 .text:000000000040046F                 lea     rax, a
10 .text:0000000000400476                 push    rax
11 .text:0000000000400477                 mov     rax, 4
12 .text:000000000040047E                 pop     rdi
13 .text:000000000040047F                 mov     [rdi], eax
14 .text:0000000000400481                 jmp     short loc_400495
15 .text:0000000000400483 ; ---------------------------------------------------------------
16 .text:0000000000400483
17 .text:0000000000400483 loc_400483:                             ; CODE XREF: main+16↑j
18 .text:0000000000400483                 lea     rax, b
19 .text:000000000040048A                 push    rax
20 .text:000000000040048B                 mov     rax, 5
21 .text:0000000000400492                 pop     rdi
22 .text:0000000000400493                 mov     [rdi], eax
23 .text:0000000000400495
24 .text:0000000000400495 loc_400495:                             ; CODE XREF: main+2A↑j
25 .text:0000000000400495                 mov     rax, 0
26 .text:000000000040049C                 jmp     short loc_4004A5
27 .text:000000000040049E ; ---------------------------------------------------------------
28 .text:000000000040049E                 mov     rax, 0
29 .text:00000000004004A5
30 .text:00000000004004A5 loc_4004A5:                             ; CODE XREF: main+45↑j
31 .text:00000000004004A5                 mov     rsp, rbp
32 .text:00000000004004A8                 pop     rbp
33 .text:00000000004004A9                 retn

二. x86汇编到虚拟机汇编

　　第4句"mov [rbp-10], rsp"，内存地址 [rbp-10]在第2句"mov rbp, rsp"赋值，所以第4句转化为

"mov [rsp-10], rsp"，再来判断rsp的值，rsp在第3句"sub rsp, 10h",所以第4句转化为"mov [rsp-10], rsp-10"，

此时可以定义变量v1，v1地址为[rsp-10]，生成虚拟机汇编语句v1 = &v1。

　　第8句"jz short loc_400483"也是我们重点关注的语句，因为这是一条条件跳转，程序的执行流可能因为

这条语句不再是顺序执行。第8句的跳转判断cpu flag寄存器标志位z位是否为0，所以搜寻最近一条影响标志位

的语句，这条语句就是第7句"cmp eax, 0"，向上搜寻修改eax的语句，第6句"movsxd  rax, dword ptr [rax]"，

这是一条读内存操作，继续向上寻找谁修改了rax，找到第5句"lea rax, [rbp-4]"，则生成变量v2，v2地址为

[rbp-4]，并生成if语句，if语句条件判断为v2。

　　继续向下分析汇编语句，接下来的汇编语句是if语句的then部分，遇到第13句"mov [rdi], eax"，这是一条

写内存操作，分析内存地址和值。内存地址在rdi中，第12句"pop rdi"，继续搜索最近的压栈操作，遇到第10句

"push rax"，继续分析rax的值，第9句"lea rax, a"，则rdi为a的地址。再来追寻eax，第11句"mov rax, 4"，

则生成虚拟机汇编语句a = 4。第14句jmp生成一条goto标签，then部分直到汇编语言地址小于地址loc_400483

的最大值为止。

　　再来分析第8句"jz short loc_400483"，跳转到loc_400483，接下来的语句是if的else部分，分析看到第22

句"mov     [rdi], eax"，这是一条写内存操作，分析内存地址和值。内存地址在rdi中，第21句"pop     rdi"，

继续搜索最近的压栈操作，第19句"push rax"，继续分析rax的值，第18句"lea rax, b"，则rdi为b的地址。再来

追寻eax，第20句"mov rax, 5"，则生成虚拟机汇编语句b = 5。此时判断汇编指令的地址是否大于第14句生成的

goto标签，如果大于或等于则结束else部分。

三. 虚拟机汇编到c语言

　　1. 虚拟机汇编语言

　　code段如下

　　               |OP_GET_LOCAL|

　　               |1|

　　               |OP_JUMP_IF_FALSE|

　　               |0xXX|

　　               |0xXX|　　

　　               |OP_POP|

　　               |OP_CONSTANT|

　　               |0|

　　               |OP_SET_GLOBAL|

　　               |2|

　　               |OP_JUMP|

　　               |0xYY|

　　　　　    |0xYY|

0xXXXX：|OP_POP|

　　 　　　   |OP_CONSTANT|

　　 　　　   |1|

　　 　　　   |OP_SET_GLOBAL|

　　　　　　|3|

　 0xYYYY：|其他指令|

　　常量段为：

　　|4|

　　|5|

　　|a|

　　|b|

　Local段为：

　　|v1|

　　|v2|

　　上面的语句执行过程为，OP_GET_LOCAL 1将变量v2 push到栈中，OP_JUMP_IF_FALSE判断栈顶v2

是否为真，如果为真则不跳转，执行then分支，反之跳转到0xXXXX处运行else分支。then分支中先将栈顶v2

弹出，然后将常量4压入栈，然后将4写入变量a。然后跳转到0xYYYY处运行后面的语句。else分支中先将

栈顶v2弹出，然后将常量5压入栈，然后将5写入变量b。

　　2. 反编译为c语言

　　遇到OP_JUMP_IF_FALSE，生成if语句，if的条件为栈顶元素，追踪操作栈顶的操作，为

OP_GET_LOCAL，则if语句的条件为v2。

　　顺序分析到OP_SET_GLOBAL 2，此条语句写公共变量a，值为OP_CONSTANT 0压入的4，生成语句

a = 4。OP_JUMP 生成一条标签，if语句的then部分结束，因为此时汇编地址已经到达0xXXXX了。

　　再来分析从0xXXXX开始处的指令，OP_SET_GLOBAL  3，此条语句写公共变量b，值为

OP_CONSTANT 1压入的5，生成语句b = 5。此时结束else分支，因为汇编地址已经到达OP_JUMP

生成的标签。