编程语言
首页 > 编程语言> > 反汇编分析C语言

反汇编分析C语言

作者:互联网

环境

VC6.0环境

空函数反汇编

#include "stdafx.h"
void function(){

}
int main(int argc, char* argv[])
{
	function();
	printf("Hello World!\n");
	return 0;
}

我们通过反汇编来分析这段空函数

###函数外部
10:       function();
00401068   call        @ILT+5(function) (0040100a)
11:       printf("Hello World!\n");
0040106D   push        offset string "Hello World!\n" (0042201c)
00401072   call        printf (004010a0)
00401077   add         esp,4
12:       return 0;
0040107A   xor         eax,eax

函数内部

4:    #include "stdafx.h"
5:    void function(){
00401020   push        ebp
00401021   mov         ebp,esp
00401023   sub         esp,40h
00401026   push        ebx
00401027   push        esi
00401028   push        edi
00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]
6:
7:    }
00401038   pop         edi
00401039   pop         esi
0040103A   pop         ebx
0040103B   mov         esp,ebp
0040103D   pop         ebp
0040103E   ret

分析函数

函数调用

00401048   call        @ILT+5(function) (0040100a)

函数内部
接着进到函数的内部
有了之前画堆栈的经验,我们不难看出,尽管我们的函数是个空函数,但其汇编代码依然完成了以下流程:
1.提升堆栈
2.保护现场
3.初始化提升的堆栈
4.恢复现场
5.返回

提升堆栈

00401010   push        ebp
00401011   mov         ebp,esp
00401013   sub         esp,40h

保护现场

00401026   push        ebx
00401027   push        esi
00401028   push        edi

初始化提升的堆栈

00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]

恢复现场

00401028   pop         edi
00401029   pop         esi
0040102A   pop         ebx
0040102B   mov         esp,ebp
0040102D   pop         ebp

PS:这里的mov esp,ebp就是降低堆栈,与前面的提升堆栈相对应,所以也属于恢复现场的一部分

返回

0040103E   ret

函数返回后


函数返回后不出意料地返回调用CALL地下一行语句,我们接着看

0040104D   xor         eax,eax

这里是将eax清零,注意到我们的语句为return 0 这里就是将eax作为返回值来传递
一般来说eax都是作为函数的返回值,但不绝对,有的函数返回值是存在内存里或其他情况,要具体情况具体分析

0040104F   pop         edi
00401050   pop         esi
00401051   pop         ebx

很明显,这里是在还原现场,别忘了我们的主程序main本身也是个函数,这是在还原main前保护的现场

接着往下走

0040107F   add         esp,40h
00401082   cmp         ebp,esp
00401084   call        __chkesp (00401120)

这里首先是将esp减少了40h,然后比较ebp和esp,最后再调用一个chesp函数从名称就不难看出 chkesp = check esp,检查esp,这个函数就是用来检查堆栈是否平衡

那么接下来

00401089   mov         esp,ebp
0040108B   pop         ebp

依旧是恢复现场
最后是

0040108C   ret
##总结空函数分析
我们可以看到,即便是一个空函数什么都没有做,但调用一个空函数所产生的汇编代码却不少
保护现场、恢复现场以及堆栈平衡的检查等等都没少,可谓麻雀虽小五脏俱全。

简单加法函数反汇编

#include "stdafx.h"
int Plus(int x ,int y)
{
  retuen x+y;
}
int main(int argc, char* argv[])
{
	//调用加法函数
        Plus(1,2);
	return 0;
}

加法函数的反汇编

11:       //调用加法函数
12:       Plus(1,2);
00401068   push        2
0040106A   push        1
0040106C   call        @ILT+0(Plus) (00401005)
00401071   add         esp,8
13:       return 0;
00401074   xor         eax,eax
14:   }
00401076   pop         edi
00401077   pop         esi
00401078   pop         ebx
00401079   add         esp,40h
0040107C   cmp         ebp,esp
0040107E   call        __chkesp (004010a0)
00401083   mov         esp,ebp
00401085   pop         ebp
00401086   ret

分析函数

00401068   push        2
0040106A   push        1
0040106C   call        @ILT+0(Plus) (00401005)

结合前面的空函数分析,我们可以明显发现这里的函数调用环节,多了两个push就是将函数所需要的参数压入堆栈,这里的参数为2和1,注意压入的顺序是反着(由调用约定决定)

函数内部


提升堆栈保护现场初始化
提升堆栈、保护现场、初始化部分和空函数如出一辙,这里就不在赘述

00401020   push        ebp
00401021   mov         ebp,esp
00401023   sub         esp,40h
00401026   push        ebx
00401027   push        esi
00401028   push        edi
00401029   lea         edi,[ebp-40h]
0040102C   mov         ecx,10h
00401031   mov         eax,0CCCCCCCCh
00401036   rep stos    dword ptr [edi]

实际执行主要的部分

7:      return x+y;
00401038   mov         eax,dword ptr [ebp+8]
0040103B   add         eax,dword ptr [ebp+0Ch]

这里的[ebp+8] 就是我们前面压入的参数1,[ebp+c]就是前面压入的参数2
于是这两条语句其实就是

00401038   mov         eax,1
0040103B   add         eax,2

将1+2的结果保存到eax中,(此时eax又作为函数返回值的载体)

恢复现场和返回

接下来的内容和空函数一样了,恢复现场和返回,也不再赘述

0040103E   pop         edi
0040103F   pop         esi
00401040   pop         ebx
00401041   mov         esp,ebp
00401043   pop         ebp
00401044   ret

函数返回后

函数返回后我们会发现与先前的空函数相比多了这一行代码

00401071   add         esp,8

这里是对应我们前面压入的两个参数1和2,压入参数后esp减少了8,这里我们函数调用结束后,就不再需要之前压入的两个参数了,于是将esp恢复到压入参数前,这其实也算是恢复现场,用来平衡堆栈,我们可以发现,这条语句是在我们call调用完毕后执行的平衡堆栈操作,所以这种操作也被称为堆栈外平衡
与之相对应的就是堆栈内平衡:即在call里面就把堆栈平衡好了

标签:分析,函数,esp,pop,C语言,eax,ebp,反汇编,push
来源: https://www.cnblogs.com/doubleconquer/p/15871715.html