PC逆向之代码还原技术,第四讲汇编中减法的代码还原

一丶汇编简介

在讲解减法的代码还原之前.我们首先要知道. 减法在汇编中对应的指令是什么.

Sub 汇编指令. Sub x,y 将x的值 加上y 并且重新赋值给x

二丶高级代码对应汇编观看.

观看如下代码

int main(int argc, char* argv[])
{
int nValue = 10 - 2; //常量 - 常量 给变量
int nVar = nValue - 10; //变量 - 常量
int nVar3 = nValue - nVar; //变量 - 变量
nVar3 = nValue - -5; //变量 - 负数常量 return 0;
}

有四种方式

第一种 常量 - 常量

第二种 变量 - 常量

第三种 变量 - 变量

第四种 变量 + 负数常量

1.代码还原解析:

代码还原解析需要了解的知识:

reg: 代表任意通用寄存器

imm: 立即数,可以看做常量

? : 代表任意数值.可以 [ebp -?]可以确定那个变量,变量是在栈中存放的.

  • 第一种方式 常量 - 常量

    常量-常量 在编译器编译的时候. 优化的时候直接就已经计算出来了. 所以常量- 常量就是固定的值了.

    如果给变量则会使用mov指令将常量赋值给变量.

  • 第二种方式 变量 -常量

    变量 - 常量 .我们首先要知道.变量在汇编的角度来说.就是在栈中内存存储的. 而栈 - imm(立即数)

    在湖边中没有这种指令

    例如:

    sub [ebp - ?],10

    所以只要操作变量必然会操作一个寄存器进行操作.

    所以会产生以下代码定式:

mov reg,[ebp - ?]  获得变量值
sub reg,imm 用寄存器相减
mov [ebp - ?],reg 重新将寄存器的值赋值给某变量.
  • 第三种方式 变量 - 变量

    变量- 变量 我们通过第二种方式可以得知.操作变量的时候必然会使用寄存器.此时有两个变量.

    那么会不会操作两个寄存器?

    答: 不会操作两个寄存器. 汇编中支持 寄存器的值 跟 栈中内存的值 互相操作.

产生的代码定式:

mov reg,[ebp - 4]  获得第一个变量的值
sub reg,[ebp - 8] reg - 第二个变量的值. 结果给reg存储
mov [ebp - c[,reg 将结果利用mov赋值指令赋值给变量三.
  • 第四种方式 变量 - 负数

    首先操作了变量.那么肯定会操作寄存器. 而 - 负数 在数学中 负负得正. 所以负数在汇编中会被加上

    所以产生代码定式:
mov reg,[ebp - 4];
add reg,|负数| |负数| 这个代表负数的绝对值
mov [ebp - 8], reg

三丶根据高级代码IDA反汇编的完整代码


.text:00401250 _main_0 proc near ; CODE XREF: _main↑j
.text:00401250
.text:00401250 var_4C = byte ptr -4Ch
.text:00401250 var_C = dword ptr -0Ch
.text:00401250 var_8 = dword ptr -8
.text:00401250 var_4 = dword ptr -4
.text:00401250
.text:00401250 push ebp 保存栈低
.text:00401251 mov ebp, esp 指向新栈
.text:00401253 sub esp, 4Ch 开辟局部变量空间
.text:00401256 push ebx
.text:00401257 push esi
.text:00401258 push edi 保存寄存器环境
.text:00401259 lea edi, [ebp+var_4C] 获得局部变量空间首地址
.text:0040125C mov ecx, 13h
.text:00401261 mov eax, 0CCCCCCCCh
.text:00401266 rep stosd 利用rep 加串操作指令 stosd 按照4个字节.从 eax中取出cc值. 存放到 edi中. 循环次数 ecx控制. .text:00401268 mov [ebp+var_4], 8 常量赋值给变量 .text:0040126F mov eax, [ebp+var_4]
.text:00401272 sub eax, 0Ah var_8 = var_4 - 0xA
.text:00401275 mov [ebp+var_8], eax .text:00401278 mov ecx, [ebp+var_4]
.text:0040127B sub ecx, [ebp+var_8]
.text:0040127E mov [ebp+var_C], ecx var_c = var4 - var_8; .text:00401281 mov edx, [ebp+var_4]
.text:00401284 add edx, 5 var_c = var_4 + 5; 上方是 var_4 - -5 ,因为负负得正.所以汇编中使用加法了.
.text:00401287 mov [ebp+var_C], edx .text:0040128A xor eax, eax
.text:0040128C pop edi
.text:0040128D pop esi
.text:0040128E pop ebx
.text:0040128F mov esp, ebp
.text:00401291 pop ebp
.text:00401292 retn
.text:00401292 _main_0 endp

可以根据自己需求,将上面的代码进行还原. 当然还原出的高级代码可能跟我写的高级代码不一样.这是正常的.

但是如果还原正确.那么在IDA中.二进制十一摸一样的. 也就是汇编. 此时就算还原正确.

四丶知识总结

总体来讲. 如果是常量进行操作.则在编译期间直接运算完毕了. 如果操作变量则会操作通用寄存器.

使用通用寄存器进行计算.

最重要的一点: 计算机不会做加法.所以 我们的做减法运算的时候. 其实是按照补码存放的. 使用补码去操作的.

例如:

11 - 3 我们可以看做 11 + 3(补码)

可以参考本人编写的详细博客: 博客链接

PC逆向之代码还原技术,第四讲汇编中减法的代码还原的更多相关文章

  1. PC逆向之代码还原技术,第六讲汇编中除法代码还原以及原理第二讲,被除数是正数 除数非2的幂

    目录 一丶简介 二丶代码还原讲解 1.被除数无符号 除数非2的幂 2.被除数无符号 除数为特例7 三丶代码还原总结 一丶简介 上一篇博客说的除2的幂. 如果被除数是有符号的,那么会进行调整,并使用位操 ...

  2. PC逆向之代码还原技术,第五讲汇编中乘法的代码还原

    目录 PC逆向之代码还原技术,第五讲汇编中乘法的代码还原 一丶简介乘法指令 1.乘法指令 2.代码还原注意问题 二丶乘法的汇编代码产生的格式 1.高级代码观看 2.乘法的汇编代码还原. 三丶乘法总结 ...

  3. C++反汇编第四讲,反汇编中识别继承关系,父类,子类,成员对象

    C++反汇编第四讲,反汇编中识别继承关系,父类,子类,成员对象 讲解目录: 1.各类在内存中的表现形式   备注: 主要复习开发知识,和反汇编没有关系,但是是理解反汇编的前提.     2.子类继承父 ...

  4. 郑政 | 2021软件代码开发技术作业四 | 需求改进&系统设计

    需求改进&系统设计 -------------------------------------------------------------------------------------- ...

  5. 从0 开始 WPF MVVM 企业级框架实现与说明 ---- 第四讲 WPF中 ControlTemplate

    上讲我们介绍了DataTemplate,现在我们就介绍下ControlTemplate,可能后面大多在编码时候会出现一些英文,工作习惯,请见谅. ControlTemplate: 控件的外观,也就是控 ...

  6. 开发人员应该对IIS理论层的知识了解的多一些~第四讲 HttpModule中的几大事件

    返回目录 本文主要介绍HttpModule,它在一个网页请求过程中是一个怎样的过程是我们要知道的,在网页加载过程中HttpModule在何时被执行也是我们要知道的,以及,HttpModule在网页请求 ...

  7. 大型.NET商业软件代码保护技术 技术与实践相结合保护辛苦创造的劳动成果

    列举工作以来遇到的各种类型的软件所采用的代码保护技术,只讲原理不涉及技术细节实现,以避免产生法律问题.有些朋友说直接把代码放在Github开源下载,开源可以促进技术交流与进步,然而值钱的代码都积压在硬 ...

  8. ZH奶酪:PHP中添加HTML代码的三种方法

    php中添加HTML代码,就是php类型的文件中添加html代码~ 第一种是在HTML中加PHP. 大段大段的html代码中,在各个需要执行php的地方<?php .... ?> 比如 l ...

  9. php中嵌套html代码和html代码中嵌套php方式

    php中嵌套html代码和html代码中嵌套php方式 一.总结 拷贝的话直接html代码是极好的方式 1.php中嵌套html代码(本质是原生php):a.原生嵌套<?php .....?&g ...

随机推荐

  1. Machine Learning学习资源

    引申:非原创,转载来自:https://blog.csdn.net/ptkin/article/details/50995140

  2. ios 上下滑动粘滞问题

    ios 移动端,当你触及到可以左右滑动部分,进行上下滑动操作时,会导致上下滑动粘滞卡顿的问题 mdn:https://developer.mozilla.org/zh-CN/docs/Web/CSS/ ...

  3. Jquery weui picker 支持label和value

    万年没更新了. 最近用jquery weui. 在使用picker时需要一些问题. 就是让picker 显示label, 但是取值的时候取value用于存储. 官网例子如下 Jquery-weui 官 ...

  4. Document APIs

    本节首先简要介绍Elasticsearch的数据复制模型,然后详细描述以下CRUD API: Single document APIs Index API Get API Delete API Upd ...

  5. NumPy库

    NumPy详细教程(官网手册翻译) Python之Numpy详细教程 一.基础篇 1.NumPy - Ndarray 对象 ndarray描述相同类型的元素集合, 可以使用基于零的索引访问集合中的项目 ...

  6. 【RL-TCPnet网络教程】第28章 RL-TCPnet之DNS应用

    第28章      RL-TCPnet之DNS应用 本章节为大家讲解RL-TCPnet的DNS应用,学习本章节前,务必要优先学习第27章的DNS基础知识.有了这些基础知识之后,再搞本章节会有事半功倍的 ...

  7. [Swift]LeetCode170.两数之和III - 数据结构设计 $ Two Sum III - Data structure design

    Design and implement a TwoSum class. It should support the following operations:add and find. add - ...

  8. [Swift]LeetCode338. 比特位计数 | Counting Bits

    Given a non negative integer number num. For every numbers i in the range 0 ≤ i ≤ num calculate the ...

  9. [Swift]LeetCode686. 重复叠加字符串匹配 | Repeated String Match

    Given two strings A and B, find the minimum number of times A has to be repeated such that B is a su ...

  10. [Swift]LeetCode991. 坏了的计算器 | Broken Calculator

    On a broken calculator that has a number showing on its display, we can perform two operations: Doub ...