滴水逆向笔记系列 -汇编总结2- 4.内存地址_堆栈-5.标志寄存器-6.JCC命令
第四课 内存地址_堆栈
内存地址
db与dd命令
db:d表示查找,b表示byte
dd:d表示查找,d表示dword
db命令在数据区找出目的内存地址,发现数据区内和堆栈区显示的是相反的
反汇编窗口和寄存器窗口的都是从高位到低位,数据区反之(比如数据0x12345678,12是高位,8是低位)
所以0012FFDC这块内存(1字节)是E4,由此得出数据区地址表示的内存是第一个字节,堆栈区表示的则是第四个字节
下面两张图帮助理解(我xdbg工具的命令行出了点毛病,先用上课的图代替)
dd命令在查找时自动帮我们倒过来了
五种寻址方式
堆栈
push与pop
push:在栈顶压入一个值且把栈顶提高也就是-4个字节push 0x12345678
pop:把栈顶的值弹出来,也可以理解成拷贝到一个寄存器里面,再把栈顶压低也就是+4个字节,且原来栈顶的值还在pop eax
注:
push只能push立即数以及16位32位寄存器,不允许push8位寄存器,push16位寄存器时esp栈顶-2
pushad与popad命令
pushad相当于把所有通用寄存器压入堆栈,popad则是为了恢复现场,在反调试的时候很好用,在pushad后可以随便动寄存器,调试后用popad恢复现场
作业
1、
mov ebx,ebp
mov edx,esp
mov dword ptr ds:[edx-0x4],0xAAAA
mov dword ptr ds:[edx-0x8],0xAAAA
mov dword ptr ds:[edx-0xC],0xAAAA
mov dword ptr ds:[edx-0x10],0xAAAA
mov dword ptr ds:[edx-0x14],0xAAAA
2、
mov eax,dword ptr ds:[edx-0x4]
mov eax,dword ptr ds:[edx-0x8]
mov eax,dword ptr ds:[edx-0xc]
...
6、push esp
第一种方法:mov dword ptr ds:[esp-0x4], esp
lea esp, dword ptr ds:[esp-0x4]
第二种方法:mov dword ptr ds:[esp-0x4], esp
sub esp,0x4
7、pop esp
第一种方法:mov esp,dword ptr ds:[esp-4]
add esp,0x4
第二种方法:mov esp,dword ptr ds:[esp-4]
lea esp,dword ptr ds:[esp+0x4]
第五课 标志寄存器
EFL拆开就是上面的各个标志位
例:202(001000000010)对照下图
1.运算结构标志位
- CF位(进位标志):表示最高位有没有进位,借位不算
- PF位(辅助标志):表示运算结果中最低有效字节“1”的个数是否是偶数,偶数则为1,奇数反之
(最低有效字节也就是0000 0010 0000 0011 最后两个字节,8、16、32位都看最后两个字节)
- AF位(辅助进位标志):表示低4位的相加是否有进位,有进位则为1,比如32位0555FFFF就是看第四位(加粗)有没有进位,16位时05FF就看第二位有没有进位,8位时5F就看第一位有没有进位
- ZF位(零标志):表示运算结果是否为0,是则为1(判断运算结果是否为1)
**注: **mov eax,0
不影响标志寄存器,因为mov是赋值操作不是运算
- SF位(符号标志):反映运算结果的符号位,与运算结果的最高位相同,因为如果是运算结果的最高位即表示正负(7F:01111111)+2=(81:10000001)
如al 7F+2
或者ax 7fff+2
SF才能进1
- OF位(溢出标志):表示有符号数加减运算所得结果是否溢出(先大概可以理解成有符号计算看OF,无符号计算看CF)
2.状态控制标志位
3.命令
ADC与SBB
ADC:目前理解是不仅计算了1+2,还加上了进位标志的1
标志位都清空,留下CF为1,等一下可以演示出CF的1被加上的效果
1+2本应为3,但是此时计算结果是4,说明CF进位的1被加上了
SBB:与加法相同,4-2-1
XCHG命令
movs命令
简写:
注意:
1、只能使用EDI和ESI两个寄存器(寄存器里面需要是地址)
2、只是mov拷贝操作
3、ESI和EDI都进行了加4的操作,方便下一个值的赋值,这里加4还是加2取决于movd还是movw,加还是减取决于DF标志位
4、堆栈地址不变
STOS命令
注:
1、和MOVS命令一样执行后EDI地址会加或减
2、加或减一样受DF标志控制
3、注意数据宽度
4、得用简写,不知道为什么具体写会语法错误
REP命令
注意:
1、用完后ecx会清空
2、不能用cx去定义,最后循环几次是看整个ecx寄存器
作业:
第六课 JCC命令
JMP:修改EIP
CALL:push 下一条语句地址(栈顶+4)+修改eip
CMP:相减后不保留相减结果保留零标志位结果(用于判断两数是否相等,相等时相减即是0,零标志位为1)
TEST:两个数值进行与操作,结果不保存,改变标志位(用于确定某个寄存器是否等于0)
JCC指令:
JCC指令 | 中文含义 | 英文原意 | 检查符号位 | 典型C应用 |
---|---|---|---|---|
JZ/JE | 若为0则跳转;若相等则跳转 | jump if zero;jump if equal | ZF=1 | if (i == j);if (i == 0); |
JNZ/JNE | 若不为0则跳转;若不相等则跳转 | jump if not zero;jump if not equal | ZF=0 | if (i != j);if (i != 0); |
JS | 若为负则跳转 | jump if sign | SF=1 | if (i < 0); |
JNS | 若为正则跳转 | jump if not sign | SF=0 | if (i > 0); |
JP/JPE | 若1出现次数为偶数则跳转 | jump if Parity (Even) | PF=1 | (null) |
JNP/JPO | 若1出现次数为奇数则跳转 | jump if not parity (odd) | PF=0 | (null) |
JO | 若溢出则跳转 | jump if overflow | OF=1 | (null) |
JNO | 若无溢出则跳转 | jump if not overflow | OF=0 | (null) |
JC/JB/JNAE | 若进位则跳转;若低于则跳转;若不高于等于则跳转 | jump if carry;jump if below;jump if not above equal | CF=1 | if (i < j); |
JNC/JNB/JAE | 若无进位则跳转;若不低于则跳转;若高于等于则跳转; | jump if not carry;jump if not below;jump if above equal | CF=0 | if (i >= j); |
JBE/JNA | 若低于等于则跳转;若不高于则跳转 | jump if below equal;jump if not above | ZF=1或CF=1 | if (i <= j); |
JNBE/JA | 若不低于等于则跳转;若高于则跳转 | jump if not below equal;jump if above | ZF=0或CF=0 | if (i > j); |
JL/JNGE | 若小于则跳转;若不大于等于则跳转 | jump if less;jump if not greater equal | SF != OF | if (si < sj); |
JNL/JGE | 若不小于则跳转;若大于等于则跳转; | jump if not less;jump if greater equal | SF = OF | if (si >= sj); |
JLE/JNG | 若小于等于则跳转;若不大于则跳转 | jump if less equal;jump if not greater | SF != OF 或 ZF=1 | if (si <= sj); |
JNLE/JG | 若不小于等于则跳转;若大于则跳转 | jump if not less equal;jump if greater | SF=0F 且 ZF=0 | if(si>sj) |
作业
1、call把返回地址压入栈,再把eip指向函数地址(eip变成立我们要跳转执行的地址)
2、把原先call压进去的返回地址弹出来了,栈顶+4,eip指向返回地址