IDA反汇编学习心得
更新时间:2023-11-25 08:25:01 阅读量: 教育文库 文档下载
用IDA反汇编动态库
最近,一直在学习如何利用IDA来反汇编动态库,这里把我的学习心得写下来。为简单起见,这里就自己所写的一个动态库里的一个简单函数进行一下反汇编,给出如何写出其C代码的详细过程,希望对新手有点帮助。废话少说,先给出其动态连接库的C代码如下
_declspec(dllexport) int add(char a, int b, int c[2]) {
int d = a + b + c[0] + c[1]; }
至于为什么要设置这样的参数,待会在反汇编时进行说明。下面给出其详细的反汇编过程,并补充相关的经验总结。
第一步、装载动态库文件” first .dll”,装载之后得到下面的截图:
return d;
通过在Functions一栏中双击add函数,我们来到add()函数的地方(同上图),我们看到”text:10001010 add proc near ; CODE XREF: add(char,int,int * const)??j”这样一栏显示了add函数的参数,虽然有点出入,但大体正确。可能是因为add函数本身比较简单,所以IDA很容易就识别出了其参数,一般地,IDA是识别不出来的,网上有一个插件
为”Flair.v5.20”据说可以部分地解决函数的参数识别问题,但这个软件我没有下载到,就不说这个了 。
第二步、我们看到”.text:10001010”这些栏有很多标示,在下面的汇编语句中会用到。我们看接下来的三行代码 :
.text:10001010 push ebp .text:10001011 mov ebp, esp .text:10001013 sub esp, 44h
这三行代码模式基本上是固定的,(至少我遇到的都是这样)首先是保存ebp, 然后用ebp来保存esp的原始指向,再将esp的指向向上移动44h个字节,(当然这里44h不是固定的)为什么会有这样固定的代码呢?就代码 “sub esp 44h”而言,在原esp的基础上向上移动44h的字节空间,而 esp ----- esp-44h这个44h的空间是为了存放一般变量的。其他两行相信读者很容易理解其理由。 第三步、看下面三行代码.
.text:10001016 push ebx .text:10001017 push esi .text:10001018 push edi
当我们在函数的开头看到这样的代码时,而后面又没有紧跟着”call + function”时,我们大可不用理解,因为这些push语句目的都是为了不破坏原始ebx,esi,edi的值而将他们保存起来,并且这里我们可以看到,是保存在esp-44h之上的。也就是说,如果我们看到函数的开头出现将寄存器push进esp-x之上的空间(我们将”esp-x 至 esp”的堆栈空间成为“一般变量栈空间”),这里就是指push进esp-44h之上的堆栈空间,我们不用去关心,在函数末尾肯定会有相应的代码将他们还原的。(待会我们会看到)
第四步、继续向下看,进入关键代码段。在做进一步解释之前我先画一幅堆栈图。如下 :
edi exi ebx 一 般 变 量 堆 栈 空 间 can1 can2 can3 esp-44h之上的空间 (esp-44h)指向,为(0x0013ff80-44h) ebp = esp (假设这里是最先的esp , 且值为0x0013ff80, “1000101代码”) ebp+arg_0 ebp+arg_4 ebp+arg_8
好了,有了上一幅图,说明起来会容易些。看接下来的四条代码 :
.text:10001019 lea edi, [ebp+var_44] .text:1000101C mov ecx, 11h
.text:10001021 mov eax, 0CCCCCCCCh .text:10001026 rep stosd
这四条代码和上面的三条代码一样,其模式一般是固定不变的。其作用就是实现了“一般变量栈空间”的初始化。这里将图中所示的“一般变量栈空间“初始化为0xCCCCCCCC.其具体的代码解释如下 :
lea edi, [ebp+var_44] : edi = ebp + vat_44
mov ecx, 11h : ecx = 0x11h
mov eax, 0CCCCCCCCh : eax = 0xCCCCCCCC; rep stosd : for(int i1=0; i1 这里因为ecx=0x11(44h/4),所以将整个“一般变量栈空间”全部初始化为eax=0xCCCCCCCC; 这下就清楚了为什么上面的四条代码一般模式是固定的,原因就是对将要用到的“一般变量栈空间”进行初始化。 第五步、进入核心代码段 .text:10001028 movsx eax, [ebp+arg_0] .text:1000102C add eax, [ebp+arg_4] .text:1000102F mov ecx, [ebp+arg_8] .text:10001032 add eax, [ecx] .text:10001034 mov edx, [ebp+arg_8] .text:10001037 add eax, [edx+4] .text:1000103A mov [ebp+var_4], eax .text:1000103D mov eax, [ebp+var_4] 从图上我们可以知道arg_0,arg_4,arg_8分别是0x8,0xc,0x10。(要是从图上看不清,请参考文件”first.txt”)代码”movsx eax, [ebp+arg_0]”表示将[ebp+arg_0]的值进行有符号扩展后传给eax。但是这里的[ebp+arg_0]究竟是什么呢?我们假设[ebp+arg_0]=can1,如图,那么”movsx eax, [ebp+arg_0]”就表示”eax = (char)can1”。因为我们有源代码,我们知道函数add()的参数为 int add(char a, int b, int c[2]),这样我们有理由怀疑(char)can1就是char a,即add的第一个参数。我们接着看下一条代码:” add eax, [ebp+arg_4]”,有了上面的猜想,我们不无理由认为[ebp+arg_4]就是can2,这样就实现了eax = can1+can2;再看代码” mov ecx, [ebp+arg_8]”和” add eax, [ecx]”,我们可以猜想得到[ebp+arg_8]其实是一个地址,因为后面有” add eax, [ecx]”这样的代码,表示为将ecx所指向的地址的值传给eax。所以肯定这就是can3,即一个int型的地址参数。” add eax, [ecx]”之后,eax = can1+can2+can3[0]。接下来的两行代码” mov edx, [ebp+arg_8”和” add eax, [edx+4]”与上面的相似,实现了eax = can1+can2+can3[0]+can3[1]。再看剩下的两行代码,” mov [ebp+var_4], eax”,” mov eax, [ebp+var_4]”,这两行代码是先将eax的值赋给[ebp+var_4],再将其值给eax。第一行代码其实是将结果储存在[ebp+var_4],第二行代码是将返回值给eax。(一般地,函数的返回值要是是int型的话,都会将返回值赋给exa,这也 可以看成是一种固定的模式)。到这里,函数基本上完成了,这里可以看出为什么将add函数的参数设置成char,int和int*了,目的就是为了认清楚原来的参数是放在堆栈中具体什么地方就目前可见,函数的第i个参数放在esp+4+i*4所指的堆栈中(i从1开始,esp是指最先的栈顶指针,后来传给了ebp)(一般第一个参数都是从[ebp+arg_0]开始,而arg_0一般为8,其他的参数依次放置)。同时我们也看到了参数返回的值会存放在寄存器eax中。这些到底是不是固定的,由于自己刚入门,不敢随便肯定。 第六步、接下来的代码基本上就是还原先前存储的寄存器,就不做详细解释了。 .text:10001040 pop edi .text:10001041 pop esi .text:10001042 pop ebx .text:10001043 mov esp, ebp .text:10001045 pop ebp .text:10001046 retn .text:10001046 add endp 好了,到这里,我们对用IDA反汇编动态库文件有了一定的认识和经验积累。但是这样反汇编成C语言似乎太慢了,对于这个简单的add()函数还好,遇到难一点的函数那就说不定了。好在我们有”hexray”这个将汇编代码转成C语言代码的插件,下面我们就用试着用这个插件来写C代码。 加载first.dll文件后,同样在”Functions”一栏双击函数add,来到view的add函数区。按F5键,得到如下的截图
正在阅读:
IDA反汇编学习心得11-25
徐强专科论文12-23
执业医师考试成绩通过后多久能拿到资格证?09-04
光纤通信原理-教师用书10-07
七年级英语下册Unit4After-SchoolActivities单元综合检测01-17
造林作业1 - 图文11-10
幼儿教育小学化的问题与对策分析03-08
- exercise2
- 铅锌矿详查地质设计 - 图文
- 厨余垃圾、餐厨垃圾堆肥系统设计方案
- 陈明珠开题报告
- 化工原理精选例题
- 政府形象宣传册营销案例
- 小学一至三年级语文阅读专项练习题
- 2014.民诉 期末考试 复习题
- 巅峰智业 - 做好顶层设计对建设城市的重要意义
- (三起)冀教版三年级英语上册Unit4 Lesson24练习题及答案
- 2017年实心轮胎现状及发展趋势分析(目录)
- 基于GIS的农用地定级技术研究定稿
- 2017-2022年中国医疗保健市场调查与市场前景预测报告(目录) - 图文
- 作业
- OFDM技术仿真(MATLAB代码) - 图文
- Android工程师笔试题及答案
- 生命密码联合密码
- 空间地上权若干法律问题探究
- 江苏学业水平测试《机械基础》模拟试题
- 选课走班实施方案
- 汇编
- 心得
- 学习
- IDA
- 行程问题10综合基础练习
- 农村“两委”班子实行任期承诺目标
- 陕西省西安市第一中学2019届高三上学期第二次模拟考试数学(文)试题Word版含答案
- 税务会计
- 高职汽修专业模拟试卷(一) - 图文
- 第八章补充题
- 玻纤板
- 十七年文学
- 2012年7月考试《护理研究》考查课试题
- 201901-北京市海淀区高三地理期末试题 - 图文
- 2014年考试真题(五)
- “弘扬伟大抗战精神 同心共筑强大国防”教育征文通知
- Lotus Domino API 应用
- 长武县农业技术推广中心创建文明单位事迹材料
- 多选题
- 初中数学青岛版八年级上册高效课堂资料3.6比和比例(2)教案
- 剧本创作试题4
- 高英词语辨析
- 中考四大名著复习题及答案
- 人教版四年级语文下册第二单元综合训练试题