戰(zhàn)：從匯編反向還原C語言程序邏輯)
用 x32dbg/x64dbg 做逆向分析時(shí)最核心的一項(xiàng)能力就是把匯編指令反向還原成 C 語言代碼。這種能力在漏洞研究、惡意代碼分析、CTF 解題、老系統(tǒng)維護(hù)和崩潰定位中都會(huì)用到也是從“看得懂單條指令”走向“看得到程序邏輯”的關(guān)鍵一步。本文以 x64dbg 為動(dòng)態(tài)調(diào)試器以 x32dbg 的分析思路為補(bǔ)充拿一段自行編譯的 C 程序做樣本完整演示從定位 main 函數(shù)、閱讀匯編、還原函數(shù)邏輯到驗(yàn)證結(jié)果的整個(gè)過程。如果你已經(jīng)熟悉調(diào)試器的界面、斷點(diǎn)、寄存器和內(nèi)存窗口這篇就是把知識(shí)點(diǎn)串起來用的。文中會(huì)重點(diǎn)解決兩個(gè)問題第一C 語言的變量、分支、循環(huán)、函數(shù)調(diào)用在匯編里分別長什么樣第二拿到一段真實(shí)反匯編后按什么順序把它還原成可讀的 C 代碼。文中的快捷鍵、反匯編片段、映射表和排查清單都可以直接用到后續(xù)練習(xí)和實(shí)際分析里。1. 先理解 x32dbg/x64dbg 在反向分析中的定位1.1 動(dòng)態(tài)調(diào)試器解決什么問題靜態(tài)反匯編能告訴你一條指令在做什么但動(dòng)態(tài)調(diào)試器能告訴你程序當(dāng)前到底在做什么。x64dbg 的核心能力是加載二進(jìn)制后單步執(zhí)行并實(shí)時(shí)觀察每條指令執(zhí)行前后寄存器、棧和內(nèi)存的變化。反向還原 C 代碼時(shí)動(dòng)態(tài)信息能最直接地揭示三件事函數(shù)參數(shù)從哪來、返回結(jié)果送到哪。循環(huán)變量如何變化、循環(huán)條件在哪個(gè)位置判斷。結(jié)構(gòu)體和數(shù)組在內(nèi)存中的布局是否符合猜測。這些信息靠肉眼讀反匯編也能得到一部分但速度慢且容易出錯(cuò)。尤其當(dāng)一個(gè)函數(shù)被多個(gè)地方調(diào)用時(shí)光看靜態(tài)指令很難確認(rèn)某個(gè)寄存器的值來自哪一次調(diào)用。在調(diào)用處下斷點(diǎn)單步進(jìn)入函數(shù)觀察寄存器初值是最穩(wěn)妥的做法。1.2 x64dbg 與 x32dbg 的關(guān)系x64dbg 是 64 位調(diào)試器x32dbg 是它的 32 位版本。兩者界面布局、快捷鍵和插件體系基本一致區(qū)別只在被調(diào)試進(jìn)程的位數(shù)。32 位程序要用 x32dbg 打開64 位程序要用 x64dbg 打開。這個(gè)區(qū)別必須重視因?yàn)?32 位和 64 位程序的調(diào)用約定不同棧幀布局也不同。32 位下常見的 cdecl 約定把所有參數(shù)壓到棧上還原時(shí)看push和add esp64 位下前四個(gè)參數(shù)走寄存器還原時(shí)先看 RCX、RDX、R8、R9參數(shù)多出來時(shí)才看棧。分析前先確認(rèn)位數(shù)能少走很多彎路。1.3 從匯編還原 C 代碼的可行邊界先明確一個(gè)事實(shí)編譯器在生成機(jī)器碼時(shí)已經(jīng)丟掉變量名、類型、結(jié)構(gòu)體字段名等高級(jí)信息。還原過程不是“逐行翻譯”而是“根據(jù)行為重建語義”。能可靠還原的內(nèi)容包括控制流邏輯分支、循環(huán)、函數(shù)調(diào)用關(guān)系。局部變量數(shù)量、大致類型和生命周期。全局變量與字符串常量。結(jié)構(gòu)體的字段偏移和訪問方式。不能精確還原的內(nèi)容包括原始變量名、注釋、代碼排版。作者原本寫的表達(dá)式形式比如i i 1和i編譯后可能完全相同。編譯優(yōu)化后丟失的中間變量和局部結(jié)構(gòu)。所以還原目標(biāo)應(yīng)該是“功能等價(jià)且可讀的 C 代碼”而不是“與源碼一模一樣的代碼”。明白了這個(gè)邊界后面分析時(shí)就不會(huì)浪費(fèi)時(shí)間糾結(jié)細(xì)節(jié)。注意如果分析對(duì)象是第三方程序先確認(rèn)自己是否有權(quán)操作該樣本。最穩(wěn)妥的練習(xí)對(duì)象是自己編譯的程序、開源樣本和 CTF 題目。2. 準(zhǔn)備一套可復(fù)現(xiàn)的逆向分析環(huán)境2.1 工具清單與分工工具作用備注x64dbg / x32dbg動(dòng)態(tài)調(diào)試、斷點(diǎn)、內(nèi)存查看核心工具Visual Studio 或 MinGW-w64編譯測試樣本用于自造練習(xí)對(duì)象PE-bear 或 CFF Explorer查看 PE 頭、區(qū)段、導(dǎo)入表靜態(tài)先行時(shí)使用Ghidra 或 IDA Free靜態(tài)反匯編、交叉引用輔助工具非必需xAnalyzer 插件自動(dòng)分析函數(shù)棧幀和參數(shù)數(shù)量x64dbg 插件推薦安裝其中 PE-bear 和 Ghidra 不是本文必需但對(duì)完整還原流程有幫助。gcc 編譯命令這里用 MinGW-w64 為例因?yàn)樗?Windows 下能同時(shí)編出 32 位和 64 位程序方便對(duì)照 x32dbg 和 x64dbg 的區(qū)別。2.2 編譯一個(gè)可練習(xí)的 C 程序先寫一個(gè)簡單程序后面每一步都能對(duì)照源碼驗(yàn)證分析結(jié)果#include stdio.h int my_add(int a, int b) { return a b; } int factorial(int n) { int result 1; int i; for (i 2; i n; i) { result * i; } return result; } int main() { int x my_add(3, 4); int f factorial(5); printf(x%d, f%d\n, x, f); return 0; }編譯 64 位版本gcc -O0 -g -o demo_x64.exe demo.c編譯 32 位版本gcc -O0 -g -m32 -o demo_x86.exe demo.c這里用-O0是為了讓生成的匯編和 C 源碼的對(duì)應(yīng)關(guān)系最直觀適合第一次練習(xí)。學(xué)會(huì)還原未優(yōu)化版本后再用-O2編譯同一個(gè)程序可以對(duì)比優(yōu)化對(duì)指令形態(tài)的影響。-g會(huì)保留調(diào)試符號(hào)x64dbg 里能直接看到函數(shù)名方便初學(xué)者定位。真正的未知樣本通常沒有符號(hào)屆時(shí)再用字符串引用等方法定位。-m32編譯 32 位版本時(shí)系統(tǒng)里必須裝有 32 位運(yùn)行庫和頭文件否則會(huì)報(bào)缺少依賴。如果編譯失敗先檢查工具鏈的 multilib 支持不要強(qiáng)行跳過。2.3 用 x64dbg 打開樣本的幾種方式最常用的打開方式有三種菜單 File - Open選擇demo_x64.exe。直接把 exe 文件拖進(jìn) x64dbg 窗口。需要給程序傳命令行參數(shù)時(shí)在 File - Open 的對(duì)話框里填 Program arguments。還有一種方式是 Attach 附加到正在運(yùn)行的進(jìn)程。附加調(diào)試沒有標(biāo)準(zhǔn)入口斷點(diǎn)程序已經(jīng)跑起來了需要自己在目標(biāo)函數(shù)上下斷點(diǎn)。實(shí)際工作中定位線上問題常用這種方式學(xué)習(xí)階段建議直接打開文件流程更可控。打開后先按 CtrlA 對(duì)當(dāng)前模塊做一次自動(dòng)分析。x64dbg 會(huì)標(biāo)記函數(shù)開頭、識(shí)別循環(huán)和跳轉(zhuǎn)目標(biāo)并把整個(gè)函數(shù)用不同顏色區(qū)分基本塊讀起來會(huì)輕松很多。3. 建立 C 語言結(jié)構(gòu)到匯編指令的映射關(guān)系3.1 變量和常量的匯編形態(tài)C 語言里的局部變量在未優(yōu)化版本中通常放在棧上。例如int result 1;會(huì)被編譯成類似mov dword ptr [rbp-4], 1這里[rbp-4]是棧上的一個(gè) 4 字節(jié)區(qū)域1是立即數(shù)?？吹絛word ptr且寫入 1就能推斷這是int或unsigned int類型的局部變量初值為 1。讀取變量時(shí)指令方向相反mov eax, dword ptr [rbp-4]意思是從棧上讀取 4 字節(jié)到 EAX通常是“把局部變量的值取出來參與運(yùn)算”。全局變量則不同它不依賴棧而是直接訪問固定內(nèi)存地址mov eax, dword ptr [0x00403008]這一般是全局變量或靜態(tài)變量。還原時(shí)如果看到某個(gè)固定地址被反復(fù)讀寫就先記下來很可能是全局狀態(tài)。3.2 分支、循環(huán)和 switch 的匯編形態(tài)分支的核心是cmp或test加條件跳轉(zhuǎn)。例如if (score 60) { pass 1; }在未優(yōu)化版本中可能變成cmp dword ptr [rbp-8], 60 jl short Lskip mov dword ptr [rbp-0Ch], 1 Lskip:注意jl是“小于則跳轉(zhuǎn)”。jl跳過去說明條件不成立所以它是跳過 if 條件體。還原時(shí)不要看到cmp就直接寫“如果大于等于”要先看跳轉(zhuǎn)目標(biāo)在哪跳轉(zhuǎn)會(huì)跳過 if 體還是不跳轉(zhuǎn)直接執(zhí)行。循環(huán)最常見的形態(tài)是初始化變量 jmp 條件判斷 ; 先跳到條件判斷 循環(huán)體 處理邏輯 自增/自減 ; 步進(jìn) 條件判斷 cmp/條件跳轉(zhuǎn)決定是否回到循環(huán)體這對(duì)應(yīng) for 語句的“初始化 - 條件判斷 - 循環(huán)體 - 步進(jìn)”順序。第一次先跳條件判斷是為了在進(jìn)入循環(huán)體之前先檢查條件是否成立。switch 語句有兩種形態(tài)。case 很少時(shí)編譯器會(huì)把它優(yōu)化成 if/else 鏈case 值連續(xù)且數(shù)量多時(shí)會(huì)生成跳轉(zhuǎn)表jmp qword ptr [跳轉(zhuǎn)表基址 下標(biāo)*8]還原跳轉(zhuǎn)表時(shí)先找到表的基址再按下標(biāo)計(jì)算出各 case 的目標(biāo)地址就能還原出完整的 case 列表。3.3 函數(shù)調(diào)用、棧幀和調(diào)用約定x64 Windows 下函數(shù)的前四個(gè)整數(shù)參數(shù)依次放入 RCX、RDX、R8、R9剩余參數(shù)壓棧調(diào)用方負(fù)責(zé)清理。所以看到mov ecx, 3 mov edx, 4 call my_add可以確定my_add的第一個(gè)參數(shù)是 3第二個(gè)參數(shù)是 4。調(diào)用返回后EAX 或 RAX 保存返回值。x86 環(huán)境則不同。x32dbg 里最常見的 cdecl 約定是參數(shù)從右往左全部壓棧調(diào)用方負(fù)責(zé)清理push 4 push 3 call my_add add esp, 8add esp, 8清掉兩個(gè) 4 字節(jié)參數(shù)這是 cdecl 的典型特征。Win32 API 多使用 stdcall參數(shù)同樣壓棧但清棧發(fā)生在函數(shù)內(nèi)部調(diào)用后看不到add esp。不同調(diào)用約定是還原時(shí)的關(guān)鍵分水嶺匯總?cè)缦抡{(diào)用約定參數(shù)位置棧清理方典型場景x86 cdecl全部壓棧調(diào)用方C 函數(shù)默認(rèn)x86 stdcall全部壓棧被調(diào)方Win32 APIx64 WindowsRCX/RDX/R8/R9 后接棧調(diào)用方x64 默認(rèn)x64 System VRDI/RSI/RDX/RCX/R8/R9調(diào)用方Linux 二進(jìn)制3.4 數(shù)組、指針和結(jié)構(gòu)體的還原思路數(shù)組的本質(zhì)是連續(xù)內(nèi)存。char buf[16]占據(jù)從基址到基址15 的 16 個(gè)字節(jié)int arr[4]的每個(gè)元素占 4 字節(jié)arr[2]在基址8。在調(diào)試器里訪問數(shù)組元素看到的是“基址 下標(biāo) * 元素大小”的尋址方式。結(jié)構(gòu)體的還原更依賴偏移計(jì)算。定義如下結(jié)構(gòu)體時(shí)typedef struct { char name[32]; int age; int score; } Student;name占 0 到 0x1F共 32 字節(jié)age位于偏移 0x20score位于偏移 0x24。如果結(jié)構(gòu)體地址保存在 RCX 中訪問 score 的指令通常是mov eax, dword ptr [rcx24h]看到[rcx24h]這樣的偏移訪問就應(yīng)該想到結(jié)構(gòu)體字段。還原順序是先根據(jù)偏移 0x24 反推前面字段占了多少空間再結(jié)合訪問寬度確定字段類型最后在 x64dbg 的 Dump 窗口填入結(jié)構(gòu)體首地址直接觀察字段值是否符合預(yù)期。指針在匯編里就是地址。32 位程序里指針占 4 字節(jié)64 位程序里占 8 字節(jié)。判斷一個(gè)變量是指針還是整數(shù)看它有沒有被用作內(nèi)存訪問的基址而不是看它的值本身。4. 實(shí)戰(zhàn)用 x64dbg 還原一個(gè) C 程序4.1 示例程序的功能與預(yù)期使用 2.2 節(jié)編譯的demo_x64.exe。程序邏輯很簡單先調(diào)用my_add(3, 4)得到 7再調(diào)用factorial(5)得到 120最后輸出x7, f120。先知道預(yù)期結(jié)果還原時(shí)就能驗(yàn)證每一步的分析是否正確。4.2 在 x64dbg 中定位 main 函數(shù)因?yàn)?2.2 節(jié) x64dbg實(shí)戰(zhàn)：從匯編反向還原C語言程序邏輯
用 x32dbg/x64dbg 做逆向分析時(shí)最核心的一項(xiàng)能力就是把匯編指令反向還原成 C 語言代碼。這種能力在漏洞研究、惡意代碼分析、CTF 解題、老系統(tǒng)維護(hù)和崩潰定位中都會(huì)用到也是從“看得懂單條指令”走向“看得到程序邏輯”的關(guān)鍵一步。本文以 x64dbg 為動(dòng)態(tài)調(diào)試器以 x32dbg 的分析思路為補(bǔ)充拿一段自行編譯的 C 程序做樣本完整演示從定位 main 函數(shù)、閱讀匯編、還原函數(shù)邏輯到驗(yàn)證結(jié)果的整個(gè)過程。如果你已經(jīng)熟悉調(diào)試器的界面、斷點(diǎn)、寄存器和內(nèi)存窗口這篇就是把知識(shí)點(diǎn)串起來用的。文中會(huì)重點(diǎn)解決兩個(gè)問題第一C 語言的變量、分支、循環(huán)、函數(shù)調(diào)用在匯編里分別長什么樣第二拿到一段真實(shí)反匯編后按什么順序把它還原成可讀的 C 代碼。文中的快捷鍵、反匯編片段、映射表和排查清單都可以直接用到后續(xù)練習(xí)和實(shí)際分析里。1. 先理解 x32dbg/x64dbg 在反向分析中的定位1.1 動(dòng)態(tài)調(diào)試器解決什么問題靜態(tài)反匯編能告訴你一條指令在做什么但動(dòng)態(tài)調(diào)試器能告訴你程序當(dāng)前到底在做什么。x64dbg 的核心能力是加載二進(jìn)制后單步執(zhí)行并實(shí)時(shí)觀察每條指令執(zhí)行前后寄存器、棧和內(nèi)存的變化。反向還原 C 代碼時(shí)動(dòng)態(tài)信息能最直接地揭示三件事函數(shù)參數(shù)從哪來、返回結(jié)果送到哪。循環(huán)變量如何變化、循環(huán)條件在哪個(gè)位置判斷。結(jié)構(gòu)體和數(shù)組在內(nèi)存中的布局是否符合猜測。這些信息靠肉眼讀反匯編也能得到一部分但速度慢且容易出錯(cuò)。尤其當(dāng)一個(gè)函數(shù)被多個(gè)地方調(diào)用時(shí)光看靜態(tài)指令很難確認(rèn)某個(gè)寄存器的值來自哪一次調(diào)用。在調(diào)用處下斷點(diǎn)單步進(jìn)入函數(shù)觀察寄存器初值是最穩(wěn)妥的做法。1.2 x64dbg 與 x32dbg 的關(guān)系x64dbg 是 64 位調(diào)試器x32dbg 是它的 32 位版本。兩者界面布局、快捷鍵和插件體系基本一致區(qū)別只在被調(diào)試進(jìn)程的位數(shù)。32 位程序要用 x32dbg 打開64 位程序要用 x64dbg 打開。這個(gè)區(qū)別必須重視因?yàn)?32 位和 64 位程序的調(diào)用約定不同棧幀布局也不同。32 位下常見的 cdecl 約定把所有參數(shù)壓到棧上還原時(shí)看push和add esp64 位下前四個(gè)參數(shù)走寄存器還原時(shí)先看 RCX、RDX、R8、R9參數(shù)多出來時(shí)才看棧。分析前先確認(rèn)位數(shù)能少走很多彎路。1.3 從匯編還原 C 代碼的可行邊界先明確一個(gè)事實(shí)編譯器在生成機(jī)器碼時(shí)已經(jīng)丟掉變量名、類型、結(jié)構(gòu)體字段名等高級(jí)信息。還原過程不是“逐行翻譯”而是“根據(jù)行為重建語義”。能可靠還原的內(nèi)容包括控制流邏輯分支、循環(huán)、函數(shù)調(diào)用關(guān)系。局部變量數(shù)量、大致類型和生命周期。全局變量與字符串常量。結(jié)構(gòu)體的字段偏移和訪問方式。不能精確還原的內(nèi)容包括原始變量名、注釋、代碼排版。作者原本寫的表達(dá)式形式比如i i 1和i編譯后可能完全相同。編譯優(yōu)化后丟失的中間變量和局部結(jié)構(gòu)。所以還原目標(biāo)應(yīng)該是“功能等價(jià)且可讀的 C 代碼”而不是“與源碼一模一樣的代碼”。明白了這個(gè)邊界后面分析時(shí)就不會(huì)浪費(fèi)時(shí)間糾結(jié)細(xì)節(jié)。注意如果分析對(duì)象是第三方程序先確認(rèn)自己是否有權(quán)操作該樣本。最穩(wěn)妥的練習(xí)對(duì)象是自己編譯的程序、開源樣本和 CTF 題目。2. 準(zhǔn)備一套可復(fù)現(xiàn)的逆向分析環(huán)境2.1 工具清單與分工工具作用備注x64dbg / x32dbg動(dòng)態(tài)調(diào)試、斷點(diǎn)、內(nèi)存查看核心工具Visual Studio 或 MinGW-w64編譯測試樣本用于自造練習(xí)對(duì)象PE-bear 或 CFF Explorer查看 PE 頭、區(qū)段、導(dǎo)入表靜態(tài)先行時(shí)使用Ghidra 或 IDA Free靜態(tài)反匯編、交叉引用輔助工具非必需xAnalyzer 插件自動(dòng)分析函數(shù)棧幀和參數(shù)數(shù)量x64dbg 插件推薦安裝其中 PE-bear 和 Ghidra 不是本文必需但對(duì)完整還原流程有幫助。gcc 編譯命令這里用 MinGW-w64 為例因?yàn)樗?Windows 下能同時(shí)編出 32 位和 64 位程序方便對(duì)照 x32dbg 和 x64dbg 的區(qū)別。2.2 編譯一個(gè)可練習(xí)的 C 程序先寫一個(gè)簡單程序后面每一步都能對(duì)照源碼驗(yàn)證分析結(jié)果#include stdio.h int my_add(int a, int b) { return a b; } int factorial(int n) { int result 1; int i; for (i 2; i n; i) { result * i; } return result; } int main() { int x my_add(3, 4); int f factorial(5); printf(x%d, f%d\n, x, f); return 0; }編譯 64 位版本gcc -O0 -g -o demo_x64.exe demo.c編譯 32 位版本gcc -O0 -g -m32 -o demo_x86.exe demo.c這里用-O0是為了讓生成的匯編和 C 源碼的對(duì)應(yīng)關(guān)系最直觀適合第一次練習(xí)。學(xué)會(huì)還原未優(yōu)化版本后再用-O2編譯同一個(gè)程序可以對(duì)比優(yōu)化對(duì)指令形態(tài)的影響。-g會(huì)保留調(diào)試符號(hào)x64dbg 里能直接看到函數(shù)名方便初學(xué)者定位。真正的未知樣本通常沒有符號(hào)屆時(shí)再用字符串引用等方法定位。-m32編譯 32 位版本時(shí)系統(tǒng)里必須裝有 32 位運(yùn)行庫和頭文件否則會(huì)報(bào)缺少依賴。如果編譯失敗先檢查工具鏈的 multilib 支持不要強(qiáng)行跳過。2.3 用 x64dbg 打開樣本的幾種方式最常用的打開方式有三種菜單 File - Open選擇demo_x64.exe。直接把 exe 文件拖進(jìn) x64dbg 窗口。需要給程序傳命令行參數(shù)時(shí)在 File - Open 的對(duì)話框里填 Program arguments。還有一種方式是 Attach 附加到正在運(yùn)行的進(jìn)程。附加調(diào)試沒有標(biāo)準(zhǔn)入口斷點(diǎn)程序已經(jīng)跑起來了需要自己在目標(biāo)函數(shù)上下斷點(diǎn)。實(shí)際工作中定位線上問題常用這種方式學(xué)習(xí)階段建議直接打開文件流程更可控。打開后先按 CtrlA 對(duì)當(dāng)前模塊做一次自動(dòng)分析。x64dbg 會(huì)標(biāo)記函數(shù)開頭、識(shí)別循環(huán)和跳轉(zhuǎn)目標(biāo)并把整個(gè)函數(shù)用不同顏色區(qū)分基本塊讀起來會(huì)輕松很多。3. 建立 C 語言結(jié)構(gòu)到匯編指令的映射關(guān)系3.1 變量和常量的匯編形態(tài)C 語言里的局部變量在未優(yōu)化版本中通常放在棧上。例如int result 1;會(huì)被編譯成類似mov dword ptr [rbp-4], 1這里[rbp-4]是棧上的一個(gè) 4 字節(jié)區(qū)域1是立即數(shù)?？吹絛word ptr且寫入 1就能推斷這是int或unsigned int類型的局部變量初值為 1。讀取變量時(shí)指令方向相反mov eax, dword ptr [rbp-4]意思是從棧上讀取 4 字節(jié)到 EAX通常是“把局部變量的值取出來參與運(yùn)算”。全局變量則不同它不依賴棧而是直接訪問固定內(nèi)存地址mov eax, dword ptr [0x00403008]這一般是全局變量或靜態(tài)變量。還原時(shí)如果看到某個(gè)固定地址被反復(fù)讀寫就先記下來很可能是全局狀態(tài)。3.2 分支、循環(huán)和 switch 的匯編形態(tài)分支的核心是cmp或test加條件跳轉(zhuǎn)。例如if (score 60) { pass 1; }在未優(yōu)化版本中可能變成cmp dword ptr [rbp-8], 60 jl short Lskip mov dword ptr [rbp-0Ch], 1 Lskip:注意jl是“小于則跳轉(zhuǎn)”。jl跳過去說明條件不成立所以它是跳過 if 條件體。還原時(shí)不要看到cmp就直接寫“如果大于等于”要先看跳轉(zhuǎn)目標(biāo)在哪跳轉(zhuǎn)會(huì)跳過 if 體還是不跳轉(zhuǎn)直接執(zhí)行。循環(huán)最常見的形態(tài)是初始化變量 jmp 條件判斷 ; 先跳到條件判斷 循環(huán)體 處理邏輯 自增/自減 ; 步進(jìn) 條件判斷 cmp/條件跳轉(zhuǎn)決定是否回到循環(huán)體這對(duì)應(yīng) for 語句的“初始化 - 條件判斷 - 循環(huán)體 - 步進(jìn)”順序。第一次先跳條件判斷是為了在進(jìn)入循環(huán)體之前先檢查條件是否成立。switch 語句有兩種形態(tài)。case 很少時(shí)編譯器會(huì)把它優(yōu)化成 if/else 鏈case 值連續(xù)且數(shù)量多時(shí)會(huì)生成跳轉(zhuǎn)表jmp qword ptr [跳轉(zhuǎn)表基址 下標(biāo)*8]還原跳轉(zhuǎn)表時(shí)先找到表的基址再按下標(biāo)計(jì)算出各 case 的目標(biāo)地址就能還原出完整的 case 列表。3.3 函數(shù)調(diào)用、棧幀和調(diào)用約定x64 Windows 下函數(shù)的前四個(gè)整數(shù)參數(shù)依次放入 RCX、RDX、R8、R9剩余參數(shù)壓棧調(diào)用方負(fù)責(zé)清理。所以看到mov ecx, 3 mov edx, 4 call my_add可以確定my_add的第一個(gè)參數(shù)是 3第二個(gè)參數(shù)是 4。調(diào)用返回后EAX 或 RAX 保存返回值。x86 環(huán)境則不同。x32dbg 里最常見的 cdecl 約定是參數(shù)從右往左全部壓棧調(diào)用方負(fù)責(zé)清理push 4 push 3 call my_add add esp, 8add esp, 8清掉兩個(gè) 4 字節(jié)參數(shù)這是 cdecl 的典型特征。Win32 API 多使用 stdcall參數(shù)同樣壓棧但清棧發(fā)生在函數(shù)內(nèi)部調(diào)用后看不到add esp。不同調(diào)用約定是還原時(shí)的關(guān)鍵分水嶺匯總?cè)缦抡{(diào)用約定參數(shù)位置棧清理方典型場景x86 cdecl全部壓棧調(diào)用方C 函數(shù)默認(rèn)x86 stdcall全部壓棧被調(diào)方Win32 APIx64 WindowsRCX/RDX/R8/R9 后接棧調(diào)用方x64 默認(rèn)x64 System VRDI/RSI/RDX/RCX/R8/R9調(diào)用方Linux 二進(jìn)制3.4 數(shù)組、指針和結(jié)構(gòu)體的還原思路數(shù)組的本質(zhì)是連續(xù)內(nèi)存。char buf[16]占據(jù)從基址到基址15 的 16 個(gè)字節(jié)int arr[4]的每個(gè)元素占 4 字節(jié)arr[2]在基址8。在調(diào)試器里訪問數(shù)組元素看到的是“基址 下標(biāo) * 元素大小”的尋址方式。結(jié)構(gòu)體的還原更依賴偏移計(jì)算。定義如下結(jié)構(gòu)體時(shí)typedef struct { char name[32]; int age; int score; } Student;name占 0 到 0x1F共 32 字節(jié)age位于偏移 0x20score位于偏移 0x24。如果結(jié)構(gòu)體地址保存在 RCX 中訪問 score 的指令通常是mov eax, dword ptr [rcx24h]看到[rcx24h]這樣的偏移訪問就應(yīng)該想到結(jié)構(gòu)體字段。還原順序是先根據(jù)偏移 0x24 反推前面字段占了多少空間再結(jié)合訪問寬度確定字段類型最后在 x64dbg 的 Dump 窗口填入結(jié)構(gòu)體首地址直接觀察字段值是否符合預(yù)期。指針在匯編里就是地址。32 位程序里指針占 4 字節(jié)64 位程序里占 8 字節(jié)。判斷一個(gè)變量是指針還是整數(shù)看它有沒有被用作內(nèi)存訪問的基址而不是看它的值本身。4. 實(shí)戰(zhàn)用 x64dbg 還原一個(gè) C 程序4.1 示例程序的功能與預(yù)期使用 2.2 節(jié)編譯的demo_x64.exe。程序邏輯很簡單先調(diào)用my_add(3, 4)得到 7再調(diào)用factorial(5)得到 120最后輸出x7, f120。先知道預(yù)期結(jié)果還原時(shí)就能驗(yàn)證每一步的分析是否正確。4.2 在 x64dbg 中定位 main 函數(shù)因?yàn)?2.2 節(jié)