实验描述
使用相连的jz和jnz指令跳转到紧接着jnz指令的call指令的第二个字节。call指令实际上无效。验证ida在反汇编时会识别出call指令。
实验环境
操作系统:windows 7(安装于virtualbox中的虚拟机)
代码编辑器:sublime text 3
编译器:masm32
调试、反汇编工具:ollydbg,ida pro 6.8
实验过程
实验用的汇编代码如下(其中e8h即为call指令的机器码):
使用masm32编译器进行编译、链接:
使用ollydbg调试编译所得的可执行文件,发现od将伪call指令识别位字节数据e8h,也即od不受此迷惑:
使用ida进行反汇编,可看到ida将紧随jnz指令的数据反汇编为call指令,call的操作数被标为红色:
在ida中使用d键将00401004h的位置显示为字节数据,再用c键将跳转目标位置的数据解析为汇编指令:
实验结论
虽然实验中使用的这种对抗反汇编方法会让ida误解析(od则不会),但好在ida用特异颜色在有疑问处做了标记(为什么e8h后面的双字数据会被标红,原因还待解),可以依次判断反汇编代码存在的问题。