C标准库——字符串函数反汇编分析

最新推荐文章于 2023-08-22 16:13:15 发布
最新推荐文章于 2023-08-22 16:13:15 发布
阅读量752 收藏 2
点赞数
分类专栏： 逆向学习 文章标签： 汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Tandy12356_/article/details/130962976
版权

1、前置概念补充 

test：逻辑与，如果是1，zf就是1，如果是0，zf就是0 

可以还原成等价的高级语言，理解代码逻辑，但是不一定是源代码

大写的A：41，小写a：61

ascii:a:0x61        >16^2

unicode:a:0x0061        >16^4

unicode文件的开头是ff fe，0d 00 0a 00构成了一个换行符相当于\r\n回车+换行

 .txt代码段，.data数据段，.rdata只读常量区

char str[]="hello"

strlen算出的字符串长度是不包含最后一个字符\0的：5

sizeof(str)        >6

release下的strlen的反汇编代码

按a是以ascii呈现内存

strcpy函数逆向：

 main当中有两个全局的地址：

按下n可以对变量重命名

在release版本当中strcpy已经被内联了，被编译成内联函数的形式，并做了一些优化

ida当中右键进入主函数，点击去常量，按a变成字符串形式，然后按下esc来返回

ida打开会生成四个数据库文件，如果修改的话直接打包保存，到时候直接打开idb文件就好了

collect garbege：当ida文件比较大了，想节省空间，就选择这个选项，

相同返回0，不同返回-1

字符串chaz strstr返回下标

这样有利于在反汇编代码当中去识别字符串操作的函数，因为发布版他都是以内联的形式出现，不像在debug版本当中这么明显地显示出来，这样我们拿到一个陌生的程序就可以识别出来他是对字符串进行了什么样的操作是拷贝还是比较 

vs2019下的strcpy函数：直接以内联形式调用不具备参考意义

2、strlen函数逆向分析

test cl,cl的作用就是判断cl是否为0

00FA1040 >/$  55            push ebp
00FA1041  |.  8BEC          mov ebp,esp
00FA1043  |.  83EC 08       sub esp,0x8
00FA1046  |.  A1 0021FA00   mov eax,dword ptr ds:[0xFA2100]          ;  hello
00FA104B  |.  8945 F8       mov [local.2],eax
00FA104E  |.  66:A1 0421FA0>mov ax,word ptr ds:[0xFA2104]            ;  o
00FA1054  |.  66:8945 FC    mov word ptr ss:[ebp-0x4],ax
00FA1058  |.  8D45 F8       lea eax,[local.2]
00FA105B  |.  8D50 01       lea edx,dword ptr ds:[eax+0x1]
00FA105E  |.  66:90         nop
00FA1060  |>  8A08          /mov cl,byte ptr ds:[eax]
00FA1062  |.  40            |inc eax
00FA1063  |.  84C9          |test cl,cl
00FA1065  |.^ 75 F9         \jnz short 汇编代码.00FA1060
00FA1067  |.  2BC2          sub eax,edx
00FA1069  |.  50            push eax
00FA106A  |.  68 0821FA00   push 汇编代码.00FA2108                       ;  hhh%d\n
00FA106F  |.  E8 9CFFFFFF   call 汇编代码.printfTStartupr_initialize_mta>
00FA1074  |.  68 1021FA00   push 汇编代码.00FA2110                       ; /pause
00FA1079  |.  FF15 7820FA00 call dword ptr ds:[<&api-ms-win-crt-runt>; \system
00FA107F  |.  83C4 0C       add esp,0xC
00FA1082  |.  33C0          xor eax,eax
00FA1084  |.  8BE5          mov esp,ebp
00FA1086  |.  5D            pop ebp
00FA1087  \.  C3            retn

3、strcpy函数逆向分析

字符串赋值有时候一次性赋值不完，这种是使用字符数组来存储的

00DB104E  |.  45            inc ebp                                  ;  o
00DB104F  |?  FC            cld
00DB1050  |?  A1 0021DB00   mov eax,dword ptr ds:[0xDB2100]          ;  hello
00DB1055  |?  8945 F4       mov [local.3],eax
00DB1058  |.  66:A1 0421DB0>mov ax,word ptr ds:[0xDB2104]            ;  o

 

00DB1040 >/$  55            push ebp
00DB1041  |.  8BEC          mov ebp,esp
00DB1043  |.  83EC 0C       sub esp,0xC
00DB1046  |.  A1 0430DB00   mov eax,dword ptr ds:[__security_cookie_>;  hello
00DB104B  |.  33C5          xor eax,ebp
00DB104D  |?  8945 FC       mov [local.1],eax
00DB1050  |?  A1 0021DB00   mov eax,dword ptr ds:[0xDB2100]          ;  hello
00DB1055  |?  8945 F4       mov [local.3],eax
00DB1058  |.  66:A1 0421DB0>mov ax,word ptr ds:[0xDB2104]            ;  o
00DB105E  |.  66:8945 F8    mov word ptr ss:[ebp-0x8],ax
00DB1062  |.  33C0          |xor eax,eax
00DB1064  |?  0f1f40 00     nop dword ptr ds:[eax]
00DB1068  |?  0f1f8400 0000>nop dword ptr ds:[eax+eax]
00DB1070  |?  8A88 0821DB00 mov cl,byte ptr ds:[eax+0xDB2108]        ;  world
00DB1076  |?  8D40 01       lea eax,dword ptr ds:[eax+0x1]
00DB1079  |.  884C05 F3     mov byte ptr ss:[ebp+eax-0xD],cl         ; \system
00DB107D  |?  84C9          test cl,cl
00DB107F  |.^ 75 EF         jnz short 汇编代码.00DB1070
00DB1081  |?  8D45 F4       lea eax,[local.3]
00DB1084  |.  50            push eax
00DB1085  |?  68 1021DB00   push 汇编代码.00DB2110                       ;  hhh%s\n
00DB108A   ?  E8 81FFFFFF   call 汇编代码.printfTStartupr_initialize_mta>
00DB108F   ?  68 1821DB00   push 汇编代码.00DB2118                       ;  pause
00DB1094   ?  FF15 7820DB00 call dword ptr ds:[<&api-ms-win-crt-runt>;  ucrtbase.system
00DB109A   ?  8B4D FC       mov ecx,dword ptr ss:[ebp-0x4]           ;  kernel32.BaseThreadInitThunk
00DB109D   ?  83C4 0C       add esp,0xC
00DB10A0   ?  33CD          xor ecx,ebp
00DB10A2   ?  33C0          xor eax,eax
00DB10A4   .  E8 04000000   call 汇编代码.__security_check_cookiepresent>
00DB10A9   .  8BE5          mov esp,ebp
00DB10AB   ?  5D            pop ebp                                  ;  kernel32.762D00C9
00DB10AC   ?  C3            retn

使用两个字符数组的情况：

#include <iostream>
#pragma warning (disable:4996)
using namespace std;

int main()
{
    int n;
    char str1[] = "hello";
    char str2[] = "world";
    strcpy(str1, str2);
    printf("hhh%s\n", str1);
    system("pause");
    return 0;
}

 反汇编：

009F1040 >/$  55            push ebp
009F1041  |.  8BEC          mov ebp,esp
009F1043  |.  83EC 14       sub esp,0x14
009F1046  |.  A1 04309F00   mov eax,dword ptr ds:[__security_cookie_>;  hello
009F104B  |.  33C5          xor eax,ebp
009F104D  |?  8945 FC       mov [local.1],eax
009F1050  |?  A1 00219F00   mov eax,dword ptr ds:[0x9F2100]          ;  hello
009F1055  |?  8945 F4       mov [local.3],eax
009F1058  |.  0FB705 04219F>movzx eax,word ptr ds:[0x9F2104]         ;  o
009F105F  |?  66:8945 F8    mov word ptr ss:[ebp-0x8],ax
009F1063  |.  A1 08219F00   |mov eax,dword ptr ds:[0x9F2108]         ;  world
009F1068  |?  8945 EC       mov [local.5],eax
009F106B  |?  0FB705 0C219F>movzx eax,word ptr ds:[0x9F210C]         ;  d
009F1072  |?  66:8945 F0    mov word ptr ss:[ebp-0x10],ax
009F1076  |?  33C0          xor eax,eax
009F1078  |?  0f1f8400 0000>nop dword ptr ds:[eax+eax]
009F1080  |?  8A4C05 EC     mov cl,byte ptr ss:[ebp+eax-0x14]
009F1084  |.  8D40 01       lea eax,dword ptr ds:[eax+0x1]
009F1087  \.  884C05 F3     mov byte ptr ss:[ebp+eax-0xD],cl
009F108B   ?  84C9          test cl,cl
009F108D   ?^ 75 F1         jnz short 汇编代码.009F1080
009F108F   ?  8D45 F4       lea eax,dword ptr ss:[ebp-0xC]           ;  pause
009F1092   ?  50            push eax
009F1093   ?  68 10219F00   push 汇编代码.009F2110                       ;  hhh%s\n
009F1098   ?  E8 73FFFFFF   call 汇编代码.printfTStartupr_initialize_mta>
009F109D   ?  68 18219F00   push 汇编代码.009F2118                       ;  pause
009F10A2   ?  FF15 78209F00 call dword ptr ds:[<&api-ms-win-crt-runt>;  ucrtbase.system
009F10A8   ?  8B4D FC       mov ecx,dword ptr ss:[ebp-0x4]           ;  kernel32.BaseThreadInitThunk
009F10AB   ?  83C4 0C       add esp,0xC
009F10AE   .  33CD          xor ecx,ebp
009F10B0   .  33C0          xor eax,eax
009F10B2   ?  E8 04000000   call 汇编代码.__security_check_cookiepresent>
009F10B7   .  8BE5          mov esp,ebp
009F10B9   .  5D            pop ebp                                  ;  kernel32.762D00C9
009F10BA   ?  C3            retn

5、strcmp函数逆向

#include <iostream>
#pragma warning (disable:4996)
using namespace std;

int main()
{
    int n;
    char str1[] = "hello";
    char str2[] = "world";
    n = strcmp(str1, str2);

    printf("hhh%d\n", n);
    system("pause");
    return 0;
}

汇编代码：

00FD1040 >/$  55            push ebp
00FD1041  |.  8BEC          mov ebp,esp
00FD1043  |.  83EC 10       sub esp,0x10
00FD1046  |.  A1 0021FD00   mov eax,dword ptr ds:[0xFD2100]          ;  hello
00FD104B  |.  8D4D F0       lea ecx,[local.4]
00FD104E  |.  8945 F0       mov [local.4],eax
00FD1051  |.  0FB705 0421FD>movzx eax,word ptr ds:[0xFD2104]         ;  o
00FD1058  |.  66:8945 F4    mov word ptr ss:[ebp-0xC],ax
00FD105C  |.  A1 0821FD00   mov eax,dword ptr ds:[0xFD2108]          ;  world
00FD1061  |.  8945 F8       mov [local.2],eax
00FD1064  |.  0FB705 0C21FD>movzx eax,word ptr ds:[0xFD210C]         ;  d
00FD106B  |.  66:8945 FC    mov word ptr ss:[ebp-0x4],ax
00FD106F  |.  8D45 F8       lea eax,[local.2]
00FD1072  |>  8A11          /mov dl,byte ptr ds:[ecx]
00FD1074  |.  3A10          |cmp dl,byte ptr ds:[eax]
00FD1076  |.  75 1A         |jnz short 汇编代码.00FD1092
00FD1078  |.  84D2          |test dl,dl
00FD107A  |.  74 12         |je short 汇编代码.00FD108E
00FD107C  |.  8A51 01       |mov dl,byte ptr ds:[ecx+0x1]
00FD107F  |.  3A50 01       |cmp dl,byte ptr ds:[eax+0x1]
00FD1082  |.  75 0E         |jnz short 汇编代码.00FD1092
00FD1084  |.  83C1 02       |add ecx,0x2
00FD1087  |.  83C0 02       |add eax,0x2
00FD108A  |.  84D2          |test dl,dl
00FD108C  |.^ 75 E4         \jnz short 汇编代码.00FD1072
00FD108E  |>  33C0          xor eax,eax
00FD1090  |.  EB 05         jmp short 汇编代码.00FD1097
00FD1092  |>  1BC0          sbb eax,eax
00FD1094  |.  83C8 01       or eax,0x1
00FD1097  |>  50            push eax
00FD1098  |.  68 1021FD00   push 汇编代码.00FD2110                       ;  hhh%d\n
00FD109D  |.  E8 6EFFFFFF   call 汇编代码.printfTStartupr_initialize_mta>
00FD10A2  |.  68 1821FD00   push 汇编代码.00FD2118                       ; /pause
00FD10A7  |.  FF15 7820FD00 call dword ptr ds:[<&api-ms-win-crt-runt>; \system
00FD10AD  |.  83C4 0C       add esp,0xC
00FD10B0  |.  33C0          xor eax,eax
00FD10B2  |.  8BE5          mov esp,ebp
00FD10B4  |.  5D            pop ebp                                  ;  kernel32.762D00C9
00FD10B5  \.  C3            retn

大家直接对照源码，理解一下反汇编代码，感受一下自己探索的乐趣吧！

今天的内容就先到这里了，后面可能还会添加cstring库里的字符串处理函数噢！

喜欢的话记得多多点赞+收藏哦~💗💗💗🤞🤞

布の哥
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
C语言函数反汇编
qq_20254219的博客
03-24 4117
C语言函数反汇编 ​ 从反汇编的角度，看C是怎么创建函数的。在创建函数的过程中系统做了哪些准备，数据被存放在那里，又是如何完成函数操作的，参数与局部变量在底层硬件中又是怎么流动的？ 函数的创建与堆栈操作密切相关 空函数 主函数 带参函数 无参、有局部变量的函数 带参且有局部变量的函数 ​ 分别从这些函数入手，查看反汇编代码，发现异同，从而加深C语言函数定义的正向理解，以及函数的反汇编代码。 空函数与主函数： //空函数与主函数 #include "stdio.h" void Plus(){ }
恶意代码分析实战_04反汇编速成
最新发布
kitsch0x97的博客
05-08 1102
静态分析基础技术就像在解剖时只看到尸体表面。通过这些分析，你可以得到一些初步结论。但要了解整体情况，还需要更深层次的分析。动态分析基础技术也有不足。比如，当恶意代码收到一个特殊设计的网络包时，你可以通过动态分析基础技术知道它的反应。但你却无法了解这个网络包的格式。为了对恶意为了对恶意代码进行更深层次的分析，需要对恶意代码进行逆向分析。
实例分析objdump反汇编用法
ARM-Linux
07-06 1万+
Ubuntu版本：ubuntu-gnome-16.04-desktop-amd64，gnome版-----------------------------------------------------------------------------------objdump命令是用查看目标文件或者可执行的目标文件的构成的gcc工具。1. 准备代码hello.c#include &lt;linux...
C基础反汇编
热门推荐
Hello_MyDream的博客
06-07 2万+
switch switch性能高于if语句的原因在于在case值较为连续的时候会生成值连续的大表，用switch的参数减去第一个最小的case值，和最大值进行比较，小于等于的话在表的范围内寻址即可[ecx*4+0F44D04h]。牺牲内存空间，提升效率，以空间换时间。有时间隔较大的还需要生成小表来记录大表的偏移量，省去大表的许多数据。小表记录偏移量的最大值为FF。 int main(int argc, char *argv[]) { switch (1) { case 1: printf(.
x64下隐藏可执行内存
hongduilanjun的博客
09-14 2213
我们如果想要实现进程隐藏在3环通常会使用到PEB断链去达到隐藏进程的效果，但是那只是表面上的进程隐藏，所有内存的详细信息都会被储存在vad树里面，这里我们就来探究在64位下如何隐藏可执行内存。
TObject简要说明(Z)
a7129691的博客
11-28 154
TObject = class //创建 constructor Create; //释放 procedure Free; //初始化实列 class function InitInstance(Instance: Pointer): TObject; //清除实列 procedure CleanupInstance; //获得类的类型 function ClassT...
你必须知道的495个C语言问题
05-08
可我找不到任何方法来声明这样的函数——感觉我需要一个返回指针的函数，返回的指针指向的又是返回指针的函数……，如此往复，以至无穷。 数组大小 1.23　能否声明和传入数组大小一致的局部数组，或者由其他参数...
《你必须知道的495个C语言问题》
03-20
书中列出了C用户经常问的400多个经典问题，涵盖了初始化、数组、指针、字符串、内存分配、库函数、C预处理器等各个方面的主题，并分别给出了解答，而且结合代码示例阐明要点。 《你必须知道的495个C语言问题》结构...
c#学习笔记.txt
12-15
用引号引起来的字符串括在双引号 (") 内, 并且可以包含包括换码序列在内的任何字符用 @ 引起来的字符串以 @ 开头，并用双引号引起来。用 @ 引起来的字符串以 @ 开头，并用双引号引起来。若要在一个用 @ 引起来的字符...
5.3 汇编语言：字符串操作指令
CSDN
08-22 1万+
本章将深入研究字符串操作指令，这些指令在汇编语言中具有重要作用，用于处理字符串数据。我们将重点介绍几个关键的字符串操作指令，并详细解释它们的功能和用法。通过清晰的操作示例和代码解析，读者将了解如何使用这些指令进行字符串比较、复制、填充等常见操作。我们还将探讨不同指令之间的区别，并提供实际的示例程序，展示字符串操作指令在实际场景中的应用。通过学习本章，读者将能够拓展汇编技能，为处理字符串数据提供高效而精确的解决方案。
C++内嵌汇编（一）：反汇编分析C++代码
chuanwang66的专栏
03-01 564
注：本文是“百度文库”中下载的文章^^谢谢作者   Sam: 使用binutils-2.23.1这个软件中的小工具objdump -d *.o 可以对一个目标文件进行反汇编：） 了解反汇编的一些小知识对于我们在开发软件时进行编程与调试大有好处，下面以 VS2008 环境下的 VC++ 简单介绍一下反汇编的一些小东西！ 1 、新建简单的 VC 控制台应用程序 A 、打开 Micr...
反汇编学习之路之查找参考字符串
知其所以然
04-18 2万+
ollydbg（下面简称OD）提供了这样的一个功能：可以查找程序运行中出现的字符串。 比如下面的该软件，会弹出这样的对话框： 我们可以在弹出这个对话框时，回到OD操作界面进行查找上述对话框中出现的字符串。 方法： 1，在下图所示的区域内鼠标右键，选择“查找(S)” 选项，接着选择“所有参考文本字串”选项： 2，接着在OD弹出的窗口中鼠标右键选择“查找文本”选项：
c语言反汇编过程,利用反汇编手段解析C语言函数
weixin_42342226的博客
05-24 1428
【【技匠志】利用反汇编手段解析C语言函数】https://toutiao.com/group/6792908403560677900/?app=explore_article&timestamp=1588344767&req_id=202005012252460100140530921E55BDFA&group_id=6792908403560677900&tt_f...
反汇编C代码解析
lzx的博客
06-19 1566
源程序 // hello.c #include<stdio.h> int main() { char str[] = "Hello World"; printf("Hello World\n"); return 0; } 生成汇编语言文件 gcc -S hello.c -o hello.s 查看你汇编语言文件 .file "hello.c" .text .section .rodata .LC0: .string "Hello World" .text .
反汇编与逆向分析
xcw_1987的博客
04-12 448
使用VS反汇编调试 http://blog.csdn.net/mohan90118/article/details/47334199 浅析VS2010反汇编 http://blog.csdn.net/u013467442/article/details/47060261 vs中c++的反汇编分析 http://blog.csdn.net/x1779702681/article/detai...
使用Objdump进行目标文件的反汇编和文件布局的简要分析
天天爱增肥
09-25 4672
一、源代码文件如下图
循环语句的反汇编分析
qq_31125257的博客
10-16 506
for语句的句法 实例分析1 汇编代码的一般顺序：表达式1----->表达式3-----》表达式2，如下图 也可以如下汇编代码所示，按正常的顺序逻辑：1—2----3 1 mov eax,[ebp+8]//赋初值 2 mov [ebp-4],eax 3 mov edx,[ebp-4]//条件判断 4 cmp edx,[ebp-Ch] 5 jge 16 6 mov eax,[ebp-4]//循环体 7 push eax 8 push offset string "%d\n" 9 call
解析一段代码的反汇编
xiaojiaoya666的博客
08-20 1027
代码如下： int main() { int i = 1; int ret = (++i) + (++i) + (++i); printf("ret=%d\n", ret); system("pause"); return 0; } 解析： 解析（vc 6.0） 有问题还望各位指出哦！...
二进制炸弹第一阶段的比较字符串函数反汇编，并逐条解释汇编指令的含义
06-03
首先，让我们来看一下二进制炸弹第一阶段的比较字符串函数的反汇编代码： ```assembly 08048c4b <strings_not_equal>: 8048c4b: 55 push ebp 8048c4c: 89 e5 mov ebp,esp 8048c4e: 83 ec 18 sub esp,0x18 8048...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值