码迷,mamicode.com
首页 > 其他好文 > 详细

逆向分析-数据结构

时间:2019-02-13 09:31:17      阅读:337      评论:0      收藏:0      [点我收藏+]

标签:分配   指令   编译   修改   初始化   直接   方式   []   除了   

数据结构是计算机存储,组织数据的方式。在逆向分析时,确定数据结构以后,算法就很容易得到了。有些时候,事情也会反过来,即根据特定算法来判断数据结构。

1.局部变量

  局部变量是函数内部定义的一个变量,其作用域和生命周期局限于索在函数内。使用局部变量使程序模块化封装成为可能。从汇编的角度看,局部变量分配空间时通常会使用栈和寄存器。

  (1)利用栈存放局部变量

    局部变量在栈中进行分配,函数执行后会释放这些栈,程序用“sub esp,8” 语句为局部变量分配空间,用【ebp-xxx】寻址调用这些变量,而参数调用相对于ebp偏移量是正的,即[ebp+xxxx],因此在逆向分析时比较容易区分。

    编译器在优化模式时,通过esp寄存器直接对局部变量和参数进行寻址。当函数退出时,用“add esp,8” 指令平衡栈,以释放局部变量占用的内存。有些编译器(例如Delphi) 通过给esp加一个负值来进行内存的分配。

    另外,编译器可能会用“push reg”指令取代“sub esp,4”以节省字节的空间。

    局部变量的起始值是随机的,是其他函数执行后留在栈中的垃圾数据,因此需要对其进行初始化。初始化局部变量有俩种方法:

      一种是通过mov指令为变量赋值

      另一种是直接压入栈中

  (2)利用寄存器存放局部变量

    除了栈占用俩个寄存器,编译器会利用剩下的6个通用寄存器尽可能有效地存放局部变量,这样可以少产生代码,提高程序效率。如果寄存器不够用,编译就会将变量放入栈中。在进行逆向分析时要注意,局部变量的生存周期较短。必须及时确定当前寄存器的变量是哪个变量。

2.全局变量

   全局变量作用于整个程序,它一直存在,放在全局变量的内存区中。局部变量则存在于函数的栈区中,函数调用结束后便会消失。在大多程序中,常数一般在全局变量中,例如一些注册版标记,测试版标记等。

   在大多数情况下,在汇编代码中识别全局变量比其他结构中要容易得多。全局变量通常位于数据区块(.data)的一个固定地址处,当程序需要访问全局变量时,一般会用一个固定的硬编码地址直接对内存进行寻址。

   全局变量可以被同一文件中的所有函数修改,如果某个函数改变了全局变量的值,就能影响其他函数(相当于函数间的传递通道),因此,可以利用全局变量来传递参数和函数返回值等。全局变量在程序的整个执行过程中占用内存单元,而不像局域网变量那样需要时才开辟内存单元。

3.数组

    数组是相同数据类型的元素的集合,它们在内存中按顺序连续存放在一起。在汇编状态下访问数组一般是通过基址+变址 寻址实现的。

    在内存中,数组可存在于栈,数据段及动态内存中。本例中的a[]数组就保存在数据段中。

逆向分析-数据结构

标签:分配   指令   编译   修改   初始化   直接   方式   []   除了   

原文地址:https://www.cnblogs.com/godoforange/p/10368015.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!