《黑客免杀攻防》 软件逆向工程（4）

4if-else分支的四种逆向状态

A以“常量”为判断条件

B以“变量”为判断条件

cmp

jxx

分支一

retn

分支二

retn

C以“常量”为判断条件的复杂if分支

不可达的分支会被编译器剪掉。

D以“变量”为判断条件的复杂if分支

将重复部分合并减枝。

作者提醒我们，"有些逻辑是由于优化所致，所以完全逆向一个Release是没有可能的，只能还原出功能相同的代码"

E识别三目运算符

1有序常量的三目运算

特征

xor      Reg32,Reg32

cmp   arg,0x????;比较对比数和参照数

setne Reg8;这里用xor中所用到的寄存器或者它的低8位，值得注意的是setne根据ZF标志来确定是否为目标寄存器赋1

2无序常量的三目运算

mov      Reg32,arg

sub       Reg32,0x????//试图将参数平衡为0，如果失败如果成功......

neg       Reg32//取反

sbb       Reg32,Reg32//有意思的自减，如果neg导致CF位置1，这里会得到0xFFFFFFFF，否则这里会得到0x0

and       eax,0x??

and        Reg32,sub1//三目中的第二项

3值为变量的三目运算