dotNet MSIL中的一些不常见IL指令

dotNet MSIL中的一些不常见IL指令

在做HVM伪代码覆盖率检测时，在构造的一些dotNet程序样本中总是缺少一些MSIL指令

，没有覆盖所有的MSIL指令。
如C#中的装箱和取消装箱的IL指令，可能很多人和我最初的想法一样，装箱是 box指令

，取消装箱是unbox指令，实际上这只对了一半。

装箱使用的box指令没有错误，但是取消装箱不是用的unbox指令，而是 unbox.any 指

令，在C#编译的程序中就从来没有发现过 unbox 指令。

另外还有一批没有发现的指令有 calli , cpobj, ldobj, stobj, refanyval,

mkrefany,arglist, refanytype, initblk, cpblk

initobj指令也比较少见，不过在C#的泛型中遇到了：
如 T obj = default(T); 编译后就会出现 initobj 指令。
这个指令就是给变量赋初值。

calli 在C#里面没有，在C++/CLI构造出来了，实际上它是调用函数指针的用法。

refanyval, mkrefany,arglist, refanytype 看了一篇介绍 undocumented IL 的文章

后构造出来了，具体可参考转的帖子。

其它的指令构造不出来就只能蛮干了，把exe用ilasm整成的 il 文件，然后直接修改il

，再编译测试，经过反复实验，构造出了可以正常运行的程序。

先看装箱和取消装箱，
int i = 123;
object obj = i;
i = (int)obj;
对应的il代码是：
第一句：
ldc.i4.s   123
stloc.0
第二句：
ldloc.0
box        [mscorlib]System.Int32
stloc.1
第三句：
ldloc.1
unbox.any  [mscorlib]System.Int32
stloc.0

首先我就是直接把
unbox.any  [mscorlib]System.Int32
改为
unbox  [mscorlib]System.Int32

然后测试，发现这是 i 的值不等于 123了，而是一个不确定的数字。看IL文档得知

unbox生成的只是一个指针，也就是地址。
 
这时想到了另外一个指令 ldobj ，这个指令直接从地址读取数据放到堆栈上。
如是把
unbox.any  [mscorlib]System.Int32
改为
unbox  [mscorlib]System.Int32
ldobj  [mscorlib]System.Int32

再测试，结果正确了。看起来 unbox + ldobj 的效果和 unbox.any一样。

stobj 指令，从名称就能看出它和 ldobj只对应的。将立即数存入地址中。
功能类似如c++中的 *p = value;

i = 3;
正常方式应该是
ldc.i4.s 3
stloc.s.0
改为另一种模式
ldloca.s 0 //载入 i 的地址
ldc.i4.s 3 //载入立即数
stobj [mscorlib]System.Int32 //将立即数存入地址

cpobj 指令，直接从地址复制对象类似c++中的 *p1 = *p2;

int i, j;
i = 3;
j = i;
正常方式是
ldc.i4.s 3
stloc.s 0

ldloc.s 0
stloc.s 1
改为使用cpobj的模式
ldloca.s 1 //dest
ldloca.s 0 //src
cpobj [mscorlib]System.Int32 //copy

initblk 类似如C中的 memset 函数
cpblk 类似如C中的 memcpy函数

DNGuard HVM核心是通过将IL代码替换为HVM伪指令然后提交给Jit去编译的，所以需要

检测所有的HVM伪指令是否都能够被正确编译执行。测试遇到没有覆盖的指令只好用蛮

干的方法构造样本了。
目前以及完成了 .net framework 2.0, .net framework 3.0环境下的指令覆盖检测，

所有HVM伪指令都编译通过了。
接下来将对 .net framework 1.1 和 .net framework 3.5的环境进行指令覆盖检测。