自己根据shark恒老师的分析,总结一下: 一般反调试自动关闭程序利用的函数有: 1.CreateToolhelp32Snapshot 2.FindWindow 3.ExitProcess 4.PostQuitMessage 5.INT 68,这个是汇编指令,主要是让OD异常 简化逆向过程: 1.载入OD发现,直接是POPAD,那么把OD给关了,让调试器来进行捕获异常,F9发现异常如下 2.发现两个return,然后一个jnz跳转,上面还有个popad,pushad和popad是配对,看了下当前

首先给出完整的C代码: int g(int x) { ; } int f(int x) { return g(x); } int main(void) { )+; } 使用命令:gcc –S –o hw001.s hw001.c -m32 对应生成的IA32汇编代码如图所示: 暂不分析以“.”开头的行,得到程序如下: g: pushl %ebp movl %esp ,%ebp movl (%ebp) ,%eax addl $ ,%eax popl %ebp ret f: pushl %ebp m

一.实验 使用gcc –S –o main.s main.c -m32 命令编译成汇编代码,如下代码中的数字请自行修改以防与他人雷同 int g(int x) { return x + 3; } int f(int x) { return g(x); } int main(void) { return f(8) + 1; } 源代码: 汇编代码: 去点.开头的代码后 堆栈变化: 我对“计算机是如何工作的”理解 通过以上一个小例子,清楚地展示了计算机是如何在堆栈中进行数据流的变化的.我的理解是,当

系统调用:库函数封装了系统调用,通过库函数和系统调用打交道 用户态:低级别执行状态,代码的掌控范围会受到限制. 内核态:高执行级别,代码可移植性特权指令,访问任意物理地址 为什么划分级别:如果全部特权,系统容易崩溃...可以让系统更稳定, Linux 只有0和3级 如何区分:cs和eip 0x0000000以上地址空间仅有内核态可以访问,0x00000000——0xbffffff两种状态都可访问 中断处理是从用户态进入内核态的主要方式 切换时,保存用户态寄存器上下文,int指令在堆栈保存一些寄存

;********************************************************************************************************;                                               uC/OS-II;                                         The Real-Time Kernel;;                         

署名信息 郭春阳 原创作品转载请注明出处 :<Linux内核分析>MOOC课程 http://mooc.study.163.com/course/USTC-1000029000 C源码 这里为了防止重复,修改了部分源码 int g(int x) { return x + 99; } int f(int x) { return g(x); } int main(void) { return f(22) + 36; } 运行 gcc -S -o foo.s -m32 foo.c后,生成的汇编代码为

利用GDB调试汇编代码 首先编写c语言原代码,我使用的是同学分析过的代码 #include<stdio.h>short addend1 = 1;static int addend2 = 2;const static long addend3 = 3;static int g(int x){    return x + addend1;}  static const int f(int x){    return g(x + addend2);}int main(void){    return

#include void fun(void) { printf("fun"); } int main(int argc, char *argv[]){ fun(); return 0;} $ gcc -o test_ffp test.c $ gcc -fomit-frame-pointer -o test_ffp test.c -rwxr-xr-x 1 Admin 40968 Jan 23 21:14 test.exe -rwxr-xr-x 1 Admin 40968 Jan 23

先来看一个代码,估计很多同学都碰到过其中的某一个. #include <stdio.h> #include <iostream> using namespace std; int main() { ; printf("a++ = %d\n", a++); a = ; printf("++a = %d\n", ++a); a = ; printf("a += a++ =%d\n", a += a++); a = ; prin

对于ARM体系来说,不同语言撰写的函数之间相互调用(mix calls)遵循的是 ATPCS(ARM-Thumb Procedure Call Standard),ATPCS主要是定义了函数呼叫时参数的传递规则以及如何从函数返回,关于ATPCS的详细内容可以查看ADS1.2 Online Books ——Developer Guide的2.1节.这篇文档要讲的是 汇编代码中对C函数调用时如何进行参数的传递以及如何从C函数正确返回 不同于x86的参数传递规则,ATPCS建议函数的形参不超过4个,如

The format of basic inline assembly is very much straight forward. Its basic form is 基本汇编嵌入格式如下: asm("assembly code"); Example. asm("movl %ecx %eax"); /* moves the contents of ecx to eax */ __asm__("movb %bh (%eax)"); /*moves

[-1]相关声明 本文总结于csapp: 了解详情,或有兴趣,建议看原版书籍: [0]程序编码 GCC调用了一系列程序,将源代码转化成可执行代码的流程如下: (1)C预处理器扩展源代码,插入所有用#include命令指定的文件,并扩展声明的宏: (2)编译器产生两个源代码的汇编代码:*.s: (3)汇编器将汇编代码转化为二进制目标代码 :*.o ; (目标代码是机器代码的一种形式,它包含所有指令的二进制表示,但没有填入地址的全局值) (4)链接器将目标代码与实现库函数的代码合并,最终产生可执行代

概述:有时候,我们需要查看一个托管方法的汇编指令是怎么样的.记得在大学的时候,我们使用gcc -s和objdump来获得一个c程序代码的汇编指令.但是对于.NET程序来说,我们肯定无法轻松地获得这些内容.因为所有的.NET程序都是编译成IL代码的,而只有在运行时才会被JIT编译成本机代码.因此,我们必须要在程序运行之后,再使用某种方式去“探得”汇编指令为何——除非我们可以让JIT在不运行程序的时候编译IL代码,老赵不知道该怎么做,可能需要朋友的提点. http://***/article/200

假设我们写了一个C代码文件 code.c包含下面代码: int accum = 0; int sum(int x, int y){ int t = x + y; accum += t; return t;} 这是用echo命令输入源码的效果,简单的就是最好的:) 一.查看GCC生成的汇编代码 在命令行上用“-S”选项,就能看到C编译器产生的汇编代码: #gcc -S code.c 注意:这里是大写的-S,如果用小写gcc会说找不到main函数 会在当前目录下生成code.s文件,直接打开即可 这

原创作品转载请注明出处<Linux内核分析>MOOC课程http://mooc.study.163.com/course/USTC-1000029000 如果我写的不好或者有误的地方请留言 题目自拟,内容围绕系统调用的工作机制进行: 博客中需要使用实验截图 博客内容中需要仔细分析汇编代码调用系统调用的工作过程,特别是参数的传递的方式等. 总结部分需要阐明自己对“系统调用的工作机制”的理解. 实验报告: 1.首先完成time系统调用 mytime.c是直接利用API函数 #include <

1.C语言源码 #include <stdio.h> int g(int x){ ; } int f(int x){ return g(x); } int main(){ )+; } 2.生成汇编代码 gcc命令 gcc -S -o main.s main.c -m32 3.汇编代码分析 首先程序从main函数开始运行 pushl %ebp movl %esp,%ebp 这两步是建立自己的堆栈, subl $,%esp movl $,(%esp) 这两步是将数值8放入%esp所指的栈内存中.

我们知道ATL(活动模板库)是一套很小巧高效的COM开发库,它本身的核心文件其实没几个,COM相关的(主要是atlbase.h, atlcom.h),另外还有一个窗口相关的(atlwin.h), 所以拿来学习应该是很方便的.但是因为ATL的代码充满了模板和宏,内部还夹杂着汇编,所以如果没有比较丰富的C++模板和系统底层的知识,一般人会看得一头雾水. 下面我们主要分析一下ATL中的一些汇编代码. ATL中出现汇编代码主要是2处,一处是通过Thunk技术来调用类成员函数处理消息:还有一处是通过打开_

源码 很简单的c语言代码,作用是交换两个数: #include <stdio.h> void swap(int * a, int * b) { *a = *a + *b - (*b = *a); return; } 汇编代码解析 在gcc编译环境下执行, gcc -S  -o test.s test.c 命令生成相关汇编代码. .file "test.c" .text .globl _swap .def _swap; .scl 2; .type 32; .endef _sw

几个重要的寄存器 eip - 用于存放当前所执行的指令地址 esp - 栈(顶)指针寄存器 ebp - 基址(栈底)指针寄存器 简单的C程序 int g(int x) { ; } int f(int x) { return g(x); } int main(void) { ) + ; } 汇编代码分析 g: pushl %ebp movl %esp, %ebp :下面两条指令的含义是:将传入的参数7和10相加并保存在寄存器eax中 movl (%ebp), %eax addl $, %eax p

在keil 中 C语言的函数有带参数和不带参数之分. 一般的资料里说fun(void)类型的函数不带参数,所以,keil编译器生成的汇编的调用地址(函数名) 为fun.这没有错.事实上,不管C语言的函数是否带参数,只要函数在调用过程中不用寄存器传递参数,生成的汇调用址(函数名)都是原来的函数名. 比如:     #pragma noregparms   void fun(unsigned int a,unsigned char b) {   unsigned c;   c = a + b; re

最近比较一下KEIL和IAR两个编译器产生的代码,基于Cortex-M3处理器的,然后发现了一几个奇怪的地方. 很简单的一个C的for循环 void fun_for_add_65535(void) { int i; for (i=; i<65535; i++) ; } void fun_for_add_65536(void) { int i; for (i=; i<65536; i++) ; } 按道理这两个函数除了for的终止值不同之外,产生的汇编代码应该不会有什么差异.但是不是. 先看一下