C/C++逆向：寻找main函数（Debug-x86）

于 2024-08-25 22:50:32 发布
阅读量1.1k 收藏 20
点赞数 24
分类专栏： C/C++逆向 文章标签： 安全 网络安全 c++ c语言 开发语言 microsoft
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/WolvenSec/article/details/141536529
版权

在程序的逆向分析中，寻找main函数在逆向分析中是非常重要的，它是程序的核心执行点，从这里开始，程序的主要逻辑开始展开；在这边我们需要明确两个概念：用户入口（User Entry Point） 和 应用程序入口（Application Entry Point）；它们分别指代了程序的不同阶段的执行起点。

用户入口
用户入口是开发者编写的用于程序执行开始的函数。对于大多数 C/C++ 程序而言，这个入口函数通常是 `main`，但也可以是 `WinMain`（在 Windows GUI 程序中）或其他用户定义的入口函数。
应用程序入口
应用程序入口是操作系统在加载可执行文件时调用的第一个代码位置。这个位置通常是由编译器或链接器自动生的，它负责初始化运行时环境，准备好执行用户编写的 `main` 函数、`WinMain`（在 Windows GUI 程序中）其他用户定义的入口函数。

在逆向工程中，通过理解和识别这两个不同的入口点，可以更好地分析程序的结构和执行流程。例如，通过定位应用程序入口，你可以看到如何设置和调用用户入口函数；而通过分析用户入口函数，可以理解程序的主要逻辑和功能。

影响主函数寻找的因素

影响主函数寻找的因素多种多样，这边就选择几个因素来进行记录与描述：

1.编译器优化：编译器的优化级别（如-O0、-O2、-O3等）直接影响生成代码的复杂性和结构。在高优化级别下，编译器可能会将多个小函数内联，移除未使用的代码，或重新组织控制流，这会使得主函数难以识别。
2.程序类型： ①控制台程序的入口函数通常是main，而GUI程序可能是WinMain、wWinMain或其他自定义入口点。这种差异会影响你寻找主函数的方式。
            ②DLL文件没有传统意义上的main函数，而是使用DllMain作为入口函数。对于DLL，主函数通常会被替换为DllMain，而主要逻辑可能在其他导出函数中实现。
3.编译器和链接器的版本：①编译器版本：不同版本的编译器生成的代码可能有显著不同。例如，新版本的编译器可能使用了新的优化技术，或者改变了函数调用约定，从而使得代码结构发生变化。
                    ②链接器行为：不同的链接器可能会生成不同的启动代码。例如，一些链接器可能在最终的可执行文件中插入额外的初始化代码，这些代码可能混淆主函数的识别。
4.操作系统和平台：①操作系统差异：不同的操作系统有不同的启动流程。例如，Linux上main函数通常由_start或__libc_start_main调用，而在Windows上，入口点可能是WinMainCRTStartup。这些启动流程差异会影响寻找主函数的方式。
               ②处理器架构：不同的处理器架构（如x86、x64、ARM）可能有不同的调用约定和寄存器使用，这些差异会影响反汇编代码的理解和主函数的识别。

寻找main函数

1.根据main函数的三个参数(x86程序)定位main函数

在进行x86程序的静态分析时，寻找main函数的入口点可以通过识别传递给main函数的三个标准参数来实现。main函数的三个参数通常在C/C++程序中用来传递命令行参数和环境变量，这三个参数是argc、argv和envp:

int main(int argc, char *argv[], chat *envp[])

它们通常由启动代码传递给main函数；这三个参数的具体作用如下：

1.argc:表示传递给程序的命令行参数的数量;这个值包括程序的名称（即第一个参数），因此argc的值至少为1。
    例子: 如果程序以./program arg1 arg2方式运行，那么argc的值为3。
2.argv:表示命令行的各个参数。argv[0]通常是程序的名称，argv[1]是第一个参数，以此类推。
    例子: 对于./program arg1 arg2，argv[0]是"./program"，argv[1]是"arg1"，argv[2]是"arg2"。
3.envp:是一个指向环境变量的字符串数组。每个元素是一个以"key=value"形式表示的环境变量字符串。这个参数在很多编译器中是可选的，因此不总是出现在main函数中。
    例子: 环境变量可能包括PATH、HOME等，表示系统的配置信息和环境设置。

main函数的三个参数示例：这段C代码是一个演示如何处理命令行参数和环境变量的简单程序。

#include <stdio.h>
#include <stdlib.h>
​
int main(int argc, char *argv[], char *envp[]) {
    printf("Number of arguments : ");
    printf("%d\r\n", argc);//参数个数
​
    for (size_t i = 0; i < argc; i++)
    {
        printf("Argument%d:", i);
        printf("%s\r\n", argv[i]);//参数内容
    }
​
    for (char **env = envp; *env != 0; env++) {
        char *currentEnv = *env;
        printf("%s", currentEnv); //环境
    }
    return 0;
}

int main(int argc, char *argv[], char *envp[]): 这是程序的主函数。printf("Number of arguments : "); 打印出 "Number of arguments : " 字符串。printf("%d\r\n", argc); 打印出命令行参数的个数 argc。

这个 for 循环遍历所有的命令行参数：

  • printf("Argument%d:", i); 打印出 "Argument" 及当前参数的索引号。

  • printf("%s\r\n", argv[i]); 打印出具体的参数内容。

for (char **env = envp; *env != 0; env++) {
    char *currentEnv = *env;
    printf("%s", currentEnv);
}

这个 for 循环遍历所有的环境变量:

char **env = envp; 初始化一个指向环境变量数组的指针。

*env != 0; 循环条件是当前环境变量指针不为 NULL。

env++ 移动到下一个环境变量。

printf("%s", currentEnv); 打印出当前的环境变量字符串。

生成程序后（程序名为ConsoleApplication3.exe），运行目录并指定对应的参数：

ConsoleApplication3.exe Hello WolvenChan

这个点补充完毕后，我们使用IDA针对最简单的Hello World程序进行逆向分析尝试：使用IDA对程序进行分析，因为程序比较简单所以IDA能帮我们识别main函数：

我们可以直接在Function Window中按下ctrl+F，并输入main进行主函数的定位（左边的红色方框），同样的在View-A窗口中我们可以使用Alt+T进行关键字main的搜索：

除了main关键词我们还可以搜索如argc、argv、envp三个关键字进行定位；这个方法能够正常使用的前提是程序没有混淆。在2012版的VS中我们可以尝试找到一个call指令前面紧跟着3个push（因为main函数的参数有三个，这三个push是将参数压入栈的操作）；

有读者可能会问，如果我写程序的时候main函数不带参数又该如何应对呢，这边要声明一点是不管我们代码中实际使用了几个参数，在程序被编译时其main函数肯定是三个参数的。当然还有一点要声明：3个push一个call的方式寻找main只能在2012版左右的VS编译生成的程序逆向中使用，现在的vs2017以及以后的版本用这种方法找main函数的几率就比较小了。此外，在Debug模式下，由于没有激进的优化，代码通常更接近源代码结构，使得这种方法更为有效。另外，x64程序如今使用fastcall的调用约定，无法使用这个方法进行main的定位。

2.字符串搜索定位main函数
①IDA

main 函数通常会调用一些标准库函数，例如 printf 或 puts，这些函数可能会引用一些字符串。可以通过字符串搜索来定位可能的 main 函数。这里我们可以使用快捷键Shift + F12 打开字符串窗口。在字符串窗口中查找在程序中出现过的字符串，如在本次作为例子的程序中就有一个最直接明显的字符串：Hello World

②x86dbg/x64dbg

在x96dbg中使用字符串搜索定位main函数：使用x96dbg加载程序进行动态调试分析。

加载完毕后发现当前所处的模块是ntdll.dll；ntdll.dll 是 Windows 操作系统的一个系统动态链接库，包含了许多低级别的系统服务，特别是与内核相关的操作。这包括系统调用接口、异常处理、内存管理等关键功能，它是几乎所有 Windows 应用程序都依赖的一个模块，这个模块并不需要我们进行分析，这个时候我们可以按 F9 继续执行程序，直到遇到你自己程序中的断点或其他感兴趣的地方。

通过上图可以看到，按下F9后，上面的模块就切换成了我的程序名；接着可以右击反汇编的窗口，选择搜索->所有模块->字符串进行关键字搜索，此时就可以根据程序的一些字符串特征进行搜索，定位程序的main函数。

接着双击搜索出来的结果，转到原反汇编代码中：找到main函数。

寻找字符串也是有着很多限制，如果程序中没有进行输出和输入，那么就没有办法利用字符串去寻找主函数。如果存在字符串的话他也是最快找到入口点的方法之一。

3.通过编译器特征定位 main 函数

不同版本的编译器生成的代码可能会有特定的标记或行为模式，比如某些版本的编译器会生成特定的栈帧布局或函数 prologue/epilogue（函数的 prologue 和 epilogue 是函数在执行过程中用于设置和清理栈帧的标准序列。这些序列是编译器在生成函数代码时自动插入的，用于管理栈和寄存器，确保函数调用的正确性），这些都可以作为识别 main 函数的依据。

在这边我主要分析特征的方法是逆推，使用不同（版本）的编译器生成对应的Demo程序（Demo程序尽量简单，如Hello World）,接着对Demo程序进行静态分析，因为程序比较简单，所以能够很快定位到main函数，从main函数不断往上一层推，在每一层函数调用中提取特征，直到找不到更上一层函数。然后通过动态调试分析我们真正需要调试的应用程序（非Demo），依靠特征定位main函数。接下来我们就举一个例子：

①Demo程序提取特征

找到main函数：

后，选定main函数名，使用Ctrl+X进行交叉引用找到该函数的上一层引用；

当前引用中仅有一个jmp，先进行记录：

当前记录：

第一个jmp

接着选中当前函数的函数名，再次进行交叉引用，获取上一层引用：

当前函数情况：

可以看到上一个函数在第4个call被调用，进行记录，当前的记录为：

第4个call
第一个jmp

接着还是选中当前函数

使用交叉引用获取上一层引用：

可以看到上层函数在这边的第一个call被调用，但是如果这边只是一个call的话可能到时候不太好定位，所以此时我们往上/下提取特征：

call    ?invoke_main@@YAHXZ ; invoke_main(void)
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]

当前记录：

第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着进行交叉引用：

特征：

第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82

当前总记录：

第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

选中函数，接着向上进行引用获取：

当前特征：

第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51

当前总记录：

第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着交叉引用获取上一层引用：

特征：

第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01

当前记录：

第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01
​
第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着交叉引用：

特征：

第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B

总记录：

第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B
​
第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01
​
第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着交叉引用：

当前特征：

第二个call

总记录：

第二个call
​
第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B
​
第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01
​
第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着交叉引用：

特征：

push
mov 
call

总记录：

第一个call
push
mov 
call
​
第二个call
​
第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B
​
第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01
​
第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着交叉引用：

特征：

第一个jmp

总记录：

第一个jmp
​
第一个call
push
mov 
call
​
第二个call
​
第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B
​
第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01
​
第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51
​
第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82
​
第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]
​
第4个call
第一个jmp

接着进行交叉引用：

此处显示：这个函数并未被引用，至此我们的特征提取完成。

动态调试定位main函数

接着将程序加载进x96dbg中，根据IDA获取的特征（总记录）进行动态调试定位main函数：

按下F9进入当前分析的程序相关模块；

根据特征，我们要选择第一个jmp,按下F7/F8进行跳转：

紧接着再根据特征进行跳转：

第一个call
push
mov 
call

进入第一个call；

此处需要使用F7进行步入；步入后接着根据特征找到第二个call

经过第一个call时，点击F8进行步过，第二个call时点击F7步入；接着根据特征找到第一个jnz，特征如下：

第一个jnz
mov     large fs:0, eax
mov     [ebp+ms_exc.old_esp], esp
push    1
call    j____scrt_initialize_crt
add     esp, 4
movzx   eax, al
test    eax, eax
jnz     short loc_411D7B

这边jne与jnz是一样的，这点如果有疑惑请回头看看我之前的汇编相关文章；再这边我们可以再jne出点击F2进行断点标记，接着使用f9运行程序至断点处，再点击F7/F8进行步入或者步过：

接着还是根据特征找到第一个jmp进行跳转：

第一个jmp
mov     [ebp+var_1A], al
cmp     dword_41A158, 1
jnz     short loc_411DA0
push    7
call    j____scrt_fastfail
jmp     short loc_411E01

使用F2在jmp处打断点，接着使用F9运行至断点处，但是因为上述jne在进行跳转时会跳过jmp命令的执行，所以我们这边转换思路：将光标移动至jmp跳转的位置，按下F4运行程序至jmp跳转的位置：

接着根据特征进行寻找第一个jz：

第一个jz
movzx   ecx, [ebp+var_1A]
push    ecx
call    j____scrt_release_startup_lock
add     esp, 4
call    sub_411195
mov     [ebp+var_20], eax
mov     edx, [ebp+var_20]
cmp     dword ptr [edx], 0
jz      short loc_411E51

找到后使用F2打断点，F9运行至断点处，接着使用F7/F8进行跳转，接着根据特征寻找第一个jz

第一个jz
call    sub_41123A
mov     [ebp+var_24], eax
mov     edx, [ebp+var_24]
cmp     dword ptr [edx], 0
jz      short loc_411E82

依照上述步骤进行跳转后，接着根据特征寻找第一个call

第一个call
call    ?invoke_main@@YAHXZ ; invoke_main(void)   
mov     [ebp+Code], eax
call    j____scrt_is_managed_app
movzx   ecx, al
test    ecx, ecx
jnz     short loc_411E9F
mov     edx, [ebp+Code]

F7步入；再根据特征寻找第4个call；

F7步入后，就可以定位到main函数的跳转表：

跳转表（Jump Table）是一种编程结构，用于实现程序中的多分支控制流，尤其是在处理 switch-case 语句或类似逻辑时。在汇编或机器码中，跳转表是一组内存地址的集合，每个地址对应不同代码块的入口点。程序在执行时，通过索引跳转表来选择要执行的代码块。

按下F7/F8后就可以定位到当前程序的main函数了：

因为笔者当前使用的程序是使用VS2017生成的，解决方案为Debug，解决平台为x86;即上述总记录中的特征就是VS2017\Debug x86程序的特征，若是相同环境生成的程序则都可以根据这个特征去定位到main函数。其他环境生成的程序则与本文也是一个思路。

对该方法进行总结：根据相同编译器去写一个demo(尽量简单)，接着根据静态调试在demo中获取的特征，在动态调试中进行主函数定位。

WolvenSec
关注
专栏目录
深入C/C++之基于Cookie的安全检查
dvlinker的技术专栏
09-09 2025
深入C/C++之基于Cookie的安全检查（VS2005）
红队专题-REVERSE汇编/二进制PWN/逆向/反编译
aming小老弟
10-10 1461
ROP（Return-Oriented Programming）链是一种计算机安全领域中的攻击技术，用于绕过内存执行保护措施，实现利用漏洞进行代码注入和控制流劫持。由一系列已存在于程序内存中的代码片段（称为gadget）组成的，这些片段通常是程序的合法指令序列。通过将这些gadget按照特定的顺序串联起来，攻击者可以构造出一条可执行的ROP链，用于实现特定的攻击目的。ROP链的基本原理依赖于已存在的代码片段，而不是插入自定义的恶意代码。这样可以避免执行数据区域中的恶意代码，
逆向工程核心原理学习笔记（一）：寻找程序的主函数（Main）
killcoco的小窝
04-14 3950
首先编译release版本的helloword程序，代码如下： 编译完成，拖进OD，结果如图。 程序断在了004011A1 这个地址，这个就是EntryPoint. 这个地址调用了004022DF这个地址的函数，F7跟进函数，如图。 并没有什么有用的信息让我们查找Main函数，然后Ctrl+F9调到函数结尾,retn. 然后F8跳出，到达了
C++黑客编程第五章C语言逆向基础笔记（一）
小飞飞的博客
03-14 550
C语言源代码如下： #include <stdio.h> #include <windows.h> int test(char *szStr, int nNum) { printf("%s, %d \r\n", szStr,nNum); MessageBox(NULL,szStr,NULL,MB_OK); return 5; } int main(int a...
C程序逆向破解-入门学习（1）
邓霖涛的博客
12-16 3402
直接进入正题，本文学习了解计算机程序的执行原理，以及我们可以如何逆向程序修改程序的执行逻辑的基本原理。 本文从手写C的helloworld程序编译执行到逆向汇编该helloworld程序查看汇编执行，然后对相应的程序指令进行修改实现修改原有程序。 准备: 自行C语言的开发环境，MinGW 32或64位，x32dbg与x64dbg 编写程序hello.c #include <stdio.h> #include <stdlib.h> void main() { /* 我的..
C语言与软件逆向工程：反汇编、静态分析与动态调试技术（三）
最新发布
weixin_56154577的博客
04-25 1207
静态分析是一种软件分析方法，其核心特点是无需实际执行程序就能对源代码或编译后的二进制代码进行深入分析，以揭示程序的结构、行为、数据流和控制流等内在特性。
C语言与软件逆向工程：反汇编、静态分析与动态调试技术（一）
weixin_56154577的博客
04-25 1185
C语言是一种结构化、高效、可移植的高级编程语言，自其诞生以来，一直在软件开发领域占据着举足轻重的地位。
「现代C++设计魅力」虚函数继承-thunk技术初探
阿里云云栖号
01-29 2116
简介：工作中使用LLDB调试器调试这一段C++多继承程序的时候，发现通过lldb print(expression命令的别名) 命令获取的指针地址和实际理解的C++的内存模型的地址不一样。那么到底是什么原因呢？ 作者 | 扬阜 来源 | 阿里技术公众号 一 问题背景 1 实践验证 工作中使用LLDB调试器调试这一段C++多继承程序的时候，发现通过lldb print(expression命令的别名) 命令获取的指针地址和实际理解的C++的内存模型的地址不一样。那么到底是什么原因呢？程序如下：
C++ Clion 使用Botan 进行MD5/AES/RSA加解密
努力学逆向的博客
12-08 878
Clion 使用Botan 进行MD5/AES/RSA加解密
Bochs源码分析 - 24：bochs对Non-PAE-4K页的实现代码
WriteAnything_的博客
08-07 340
前言 我们现在在构建好分页模式的基础上，来通过对mov指令的分析来实现对bochs的Non-PAE-4K分页机制的分析，在分析过程中，我们会看到关于对页属性的各种检查，之后再来总结。 注意，其中可能涉及缓存部分（TLB），这个我们决定放在后面分析，因此如果遇到TLB信息，我们暂且跳过，不做过多解读。 反汇编定位代码 我们现在先将ex11-2/protected.asm中测试二的代码注释掉，为分析直观，将mov[xx],0 改为 mov[xx],4....
c语言逆向基础
##
11-21 3115
1. 全局变量 整数(00x12345678)在内存中的表示方式： 大端机：逻辑上低字节放在内存低地址（高高低低原则），78 56 34 12.Intel x86 小端机：逻辑上高字节放在内存低地址，12 34 56 78.PowerPC 全局变量的线性地址在编译时已经写定了，故每个进程中同一个全局变量的线性地址是相同的。 在CPU的保护模式下，对于同一个程序的每个进程都有自己独立的线性地址空
C程序逆向破解-入门学习（2）
邓霖涛的博客
12-16 1522
阅读到此的同学相信对程序的逆向已经有了一定的了解了，如果没有那么可以参考我前面的那篇文章，传送门C程序逆向破解-入门学习（1） 直接进入正题，本文来分析C程序的if else条件分支语句在逆向后的汇编指令，我们如何修改程序的逻辑指令。 编写程序hello.c，或者由之前的hello.c进行修改为以下代码 #include <stdio.h> #include <stdlib.h> void main() { /* 我的第一个 C 程序 */ int flag=0;
逆向入门分析实战（三）
蚁景网安学院
07-28 721
之前两篇文章，针对恶意代码为了确保自身只有一个实例在运行进行了正向开发和逆向分析。逆向入门分析实战（一）逆向分析入门实战（二）这种现象在恶意代码中非常常见，现在对上次的内容进行一个简要的...
萌新对C++编写的动态库逆向分析
03-10 683
DLL.dll 分析报告 0x00 样本信息 病毒名称：DLL.dll MD5 值：9810a578f60f8ff2e376769adac9ef38 SHA1：c605455357fe22654a7b974a2a7d301a1b0d064e SHA256：57e486fe50782e9fdfe73974baa88b553ba58eb5f99ef7386817a3d2e27430f5 这是小编准备的...
C++ 常见问题之CPP文件中没有main函数 | 九七的C++常见问题集锦
九七的博客
03-24 8633
问题 在看项目源码中的.cpp文件时，发现代码里面没有main函数，且Ctrl+F进行搜索后发现也没有任何带有“main”的代码（注意：连“winmain”这种都搜索不到） 原因 在嵌入式系统上（标准称为“独立”系统），允许独立系统使用具有不同名称的入口点（Google上的翻译）。这种情况常见于嵌入式开发中，cpp文件中之所以没有main函数，是因为这个cpp文件可能只是一个被（子进程）调用的功能模块，只是用来实现某个功能的模块。 我们都知道，cpp文件是需要经过编译等一系统操作变成机器语言才能在机器上运行
dbg 寻找main函数
eli的博客
10-25 1710
方法一，3个push和堆栈平衡 push edi push esi push dword ptr ds:[eax] call project1.D31040 add esp,C 如上，因为main函数的参数是3个，所以，在调用main函数之前一定会有3个参数入栈。 调用main函数后，要平栈，就需要add esp,C 这也是一个main函数的标志。 1，3个入栈 2，调用call--------main函数 3，栈顶指针+C 方法二，xxx ...
逆向-c语言
Stray的博客
03-24 482
逆向学习
C语言的入口函数
eli的博客
02-10 1958
起因 因为调试Rust,在main函数打了断点看了调用堆栈的信息.顺便看看C语言中在调用main函数之前的堆栈信息.这里主要以控制台程序为例. C语言中调用main函数的堆栈信息 先看一下调用的关系图: 在C:\Program Files (x86)\Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.24.28314\crt\src\vcruntime目录中,找到了exe_main.cpp文件, #de..
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值