IDA简单Switch-Case结构的汇编代码分析

最新推荐文章于 2024-05-24 09:46:10 发布
最新推荐文章于 2024-05-24 09:46:10 发布
阅读量4.1k 收藏
点赞数
分类专栏： 汇编语言基础 文章标签： 汇编 Switch-Case IDA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/faithzzf/article/details/53283213
版权

    使用IDA进行静态逆向分析，很重要的一点是对高级语言程序结构的解析，比如Switch-Case结构。偏偏IDA的F5功能很多时候会无法生成C语言代码，此时就需要我们自己分析汇编代码，理解switch-case结构等。

   从简单入手， 测试使用的C++代码如下：

    

int switch_case(char a,int b,int *c,int d,int e)
{
	switch(a)
	{
	case 'a':
		*c = d + 3;
		break;
	case 'b':
		*c = d + 4;
		break;
	case 'c':
		*c = d - 8;
		break;
	case 'd':
		*c = d + e;
		break;
	default:
		e -= 10;
		break;
	}

	switch(b)
	{
	case 1235:
		b += d;
		break;
	case 1236:
		b += e;
		break;
	case 1237:
		b += *c;
		break;
	case 1238:
		b -= 100;
		break;
	default:
		e += 100;
		break;
	}

	printf("a=%d\r\n,b=%d\r\n,*c=%d",a,b,*c);

	return e;
}

int main(int argc,char *argv[])
{
	int number = 0;
	int i = 0;
	int j = 0;
	int k = 0;
	scanf("%d",&number);
	scanf("%d",&i);
	scanf("%d",&j);
	scanf("%d",&k);

	char c = '\0';
	scanf("%c",&c);
	int m = switch_case(c,i,&number,j,k);

	printf("m = %d\r\n",m);

	return 0;
}
       编译生成release版本的EXE执行文件，删除pdb文件后，使用IDA加载EXE进行静态分析。首先看main函数调用swcitch_case函数处如何传递参数： 

.text:004010A0 var_14          = dword ptr -14h
.text:004010A0 var_10          = dword ptr -10h
.text:004010A0 var_C           = dword ptr -0Ch
.text:004010A0 var_8           = dword ptr -8
.text:004010A0 var_4           = dword ptr -4
.text:004010A0 argc            = dword ptr  4
.text:004010A0 argv            = dword ptr  8
.text:004010A0 envp            = dword ptr  0Ch
.text:004010A0
.text:004010A0                 sub     esp, 14h
.text:004010A3                 push    ebx
.text:004010A4                 push    esi
.text:004010A5                 mov     esi, ds:scanf
.text:004010AB                 push    edi
.text:004010AC                 lea     eax, [esp+20h+var_8]
.text:004010B0                 xor     ebx, ebx
.text:004010B2                 push    eax
.text:004010B3                 push    offset aD       ; "%d"
.text:004010B8                 mov     [esp+28h+var_8], ebx
.text:004010BC                 mov     [esp+28h+var_4], ebx
.text:004010C0                 mov     [esp+28h+var_C], ebx
.text:004010C4                 mov     [esp+28h+var_10], ebx
.text:004010C8                 call    esi ; scanf
.text:004010CA                 lea     ecx, [esp+28h+var_4]
.text:004010CE                 push    ecx
.text:004010CF                 push    offset aD       ; "%d"
.text:004010D4                 call    esi ; scanf
.text:004010D6                 lea     edx, [esp+30h+var_C]
.text:004010DA                 push    edx
.text:004010DB                 push    offset aD       ; "%d"
.text:004010E0                 call    esi ; scanf
.text:004010E2                 lea     eax, [esp+38h+var_10]
.text:004010E6                 push    eax
.text:004010E7                 push    offset aD       ; "%d"
.text:004010EC                 call    esi ; scanf
.text:004010EE                 lea     ecx, [esp+40h+var_14]
.text:004010F2                 push    ecx
.text:004010F3                 push    offset aC       ; "%c"
.text:004010F8                 mov     byte ptr [esp+48h+var_14], bl
.text:004010FC                 call    esi ; scanf
.text:004010FE                 mov     edx, [esp+48h+var_14]  ; char c 
.text:00401102                 mov     eax, [esp+48h+var_10]  ; int k 传入值
.text:00401106                 mov     edi, [esp+48h+var_C]   ; int j 传入值
.text:0040110A                 mov     ecx, [esp+48h+var_4]   ; int i 传入值
.text:0040110E                 push    edx                    ; char c 通过入栈传递参数
.text:0040110F                 lea     edx, [esp+4Ch+var_8]   ; int number 传入指针
.text:00401113                 call    sub_401000

      如上，sub_401000函数即为switch_case函数，该函数的起始地址为401000。

      Go on。再看看switch_case函数的汇编解析：

      

.text:00401000 sub_401000      proc near               ; CODE XREF: _main+73p
.text:00401000
.text:00401000 arg_0           = byte ptr  4   ; char c 通过入栈传递参数
.text:00401000
.text:00401000                 push    ebx
.text:00401001                 push    esi
.text:00401002                 movsx   esi, [esp+8+arg_0] ; arg_0 即为 char c
.text:00401007                 mov     ebx, eax        ; eax 为 int k 传入值
.text:00401009                 lea     eax, [esi-61h]  ; switch 4 cases  61h = 'a'
.text:0040100C                 cmp     eax, 3
.text:0040100F                 ja      short loc_401034 ; default
.text:00401011                 jmp     ds:off_401078[eax*4] ; switch jump  off_401078 为第一个switch case的跳转表首地址
.text:00401018
.text:00401018 loc_401018:                             ; DATA XREF: .text:off_401078o
.text:00401018                 lea     eax, [edi+3]    ; jumptable 00401011 case 97  edi 为 int j 传入值
.text:0040101B                 mov     [edx], eax
.text:0040101D                 jmp     short loc_401037
.text:0040101F ; ---------------------------------------------------------------------------
.text:0040101F
.text:0040101F loc_40101F:                             ; CODE XREF: sub_401000+11j
.text:0040101F                                         ; DATA XREF: .text:off_401078o
.text:0040101F                 lea     eax, [edi+4]    ; jumptable 00401011 case 98
.text:00401022                 mov     [edx], eax
.text:00401024                 jmp     short loc_401037
.text:00401026 ; ---------------------------------------------------------------------------
.text:00401026
.text:00401026 loc_401026:                             ; CODE XREF: sub_401000+11j
.text:00401026                                         ; DATA XREF: .text:off_401078o
.text:00401026                 lea     eax, [edi-8]    ; jumptable 00401011 case 99
.text:00401029                 mov     [edx], eax
.text:0040102B                 jmp     short loc_401037
.text:0040102D ; ---------------------------------------------------------------------------
.text:0040102D
.text:0040102D loc_40102D:                             ; CODE XREF: sub_401000+11j
.text:0040102D                                         ; DATA XREF: .text:off_401078o
.text:0040102D                 lea     eax, [edi+ebx]  ; jumptable 00401011 case 100
.text:00401030                 mov     [edx], eax
.text:00401032                 jmp     short loc_401037
.text:00401034 ; ---------------------------------------------------------------------------
.text:00401034
.text:00401034 loc_401034:                             ; CODE XREF: sub_401000+Fj
.text:00401034                 sub     ebx, 0Ah        ; default
.text:00401037
.text:00401037 loc_401037:                             ; CODE XREF: sub_401000+1Dj
.text:00401037                                         ; sub_401000+24j ...
.text:00401037                 lea     eax, [ecx-4D3h] ; switch 4 cases  ; ecx 为 int i 传入值
.text:0040103D                 cmp     eax, 3
.text:00401040                 ja      short loc_40105A ; default
.text:00401042                 jmp     ds:off_401088[eax*4] ; switch jump off_401088 为第二个switch case的跳转表首地址
.text:00401049
.text:00401049 loc_401049:                             ; DATA XREF: .text:off_401088o
.text:00401049                 add     ecx, edi        ; jumptable 00401042 case 1235
.text:0040104B                 jmp     short loc_40105D
.text:0040104D ; ---------------------------------------------------------------------------
.text:0040104D
.text:0040104D loc_40104D:                             ; CODE XREF: sub_401000+42j
.text:0040104D                                         ; DATA XREF: .text:off_401088o
.text:0040104D                 add     ecx, ebx        ; jumptable 00401042 case 1236
.text:0040104F                 jmp     short loc_40105D
.text:00401051 ; ---------------------------------------------------------------------------
.text:00401051
.text:00401051 loc_401051:                             ; CODE XREF: sub_401000+42j
.text:00401051                                         ; DATA XREF: .text:off_401088o
.text:00401051                 add     ecx, [edx]      ; jumptable 00401042 case 1237
.text:00401053                 jmp     short loc_40105D
.text:00401055 ; ---------------------------------------------------------------------------
.text:00401055
.text:00401055 loc_401055:                             ; CODE XREF: sub_401000+42j
.text:00401055                                         ; DATA XREF: .text:off_401088o
.text:00401055                 sub     ecx, 64h        ; jumptable 00401042 case 1238
.text:00401058                 jmp     short loc_40105D
.text:0040105A ; ---------------------------------------------------------------------------
.text:0040105A
.text:0040105A loc_40105A:                             ; CODE XREF: sub_401000+40j
.text:0040105A                 add     ebx, 64h        ; default
.text:0040105D
.text:0040105D loc_40105D:                             ; CODE XREF: sub_401000+4Bj
.text:0040105D                                         ; sub_401000+4Fj ...
.text:0040105D                 mov     edx, [edx]
.text:0040105F                 push    edx
.text:00401060                 push    ecx
.text:00401061                 push    esi
.text:00401062                 push    offset Format   ; "a=%d\r\n,b=%d\r\n,*c=%d"
.text:00401067                 call    ds:printf
.text:0040106D                 add     esp, 10h
.text:00401070                 pop     esi
.text:00401071                 mov     eax, ebx
.text:00401073                 pop     ebx
.text:00401074                 retn
.text:00401074 sub_401000      endp
.text:00401074
.text:00401074 ; ---------------------------------------------------------------------------
.text:00401075                 align 4
.text:00401078 off_401078      dd offset loc_401018    ; DATA XREF: sub_401000+11r
.text:00401078                 dd offset loc_40101F    ; jump table for switch statement
.text:00401078                 dd offset loc_401026
.text:00401078                 dd offset loc_40102D
.text:00401088 off_401088      dd offset loc_401049    ; DATA XREF: sub_401000+42r
.text:00401088                 dd offset loc_40104D    ; jump table for switch statement
.text:00401088                 dd offset loc_401051
.text:00401088                 dd offset loc_401055
.text:00401098                 align 10h
.text:004010A0
       如上，2个switch_case函数里面包括2个Switch-Case结构，汇编代码中就包含有2个跳转表，每个跳转表都包括4个case的跳转地址，可以理解为跳转数组，然后程序根据跳转数组的索引值，通过jmp指令跳转到各个分支即可。

      

faithzzf
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
IDA 对switch case反编译不出来的问题 解决方法
qq_36535153的博客
01-06 1325
对应的汇编如下: 解决方法是: 选中生成错误的那一段汇编 然后右键 有一个analyze selected Area 然后再 按tab 键 到 pseudocode 界面 就可以看到重新分析出来的代码 多出了好多的代码
IDA-Pro-7.7-反汇编程序
11-24
IDA Pro 7.7是一款可编程、可扩展的交互式多处理器反汇编程序，拥有功能最全的反汇编，反汇编中的任何内容都可以被修改，操作，重新排列或重新定义。
switch case 分支语句汇编分析
青之羽
06-23 1769
switch汇编语句分析包含以下四种不同的情况： 1.当case分支较少的时候 2.当case分支较多且连续的时候 3.当case分支较多且连续，中间删除某一个分支的时候 4.当case分支较多且连续，中间删除多个分支的时候 情况一：当case当中的分支语句较少的时候，其对应的汇编分析 #include<stdlib.h> #include<stdio.h> void function(int a) { switch (a) { case 1: printf(
C语言的 switch 语句的底层汇编具体实现（以ARM汇编为例讲解）
Eureka1024的博客
10-18 4157
我于昨晚去世，走时心如止水。我于今早重生，来时心怀暖阳。敬你岁月无波澜，祝我余生不悲欢！ - 选自散文集《我在人间凑数的日子》 一、参考资料 ARM M3/M4汇编指令TBB TBH实现复杂表格跳转 C语言switch语句的汇编语言实现 C语言汇编代码分析(switch case) 本文是在看大佬们的文章后自己总结的，感谢大佬们的文章分享。 二、具体分析 我们知道 C 语言的 switch 关键字可以让一些情况下的分支判断变得更简洁，可以避免大量使用 if-else if-else不断判断的情况，让代码.
反汇编静态分析工具IDA
weixin_47495230的博客
01-23 1202
所谓静态分析，是相对于动态分析而言的。在动态分析的过程中，调试器加载程序，并以调试模式运行起来，分析者可以在执行过程中观察程序的执行流程和计算结果。但是，在实际分析中，很多场合不方便运行目标，比如软件的某一模块（无法单独运行）病毒程序、设备环境不兼容导致无法运行。那么，在这个时候，需要直接把程序的二进制代码翻译成汇编语言，方便程序员阅读。像这样由目标软件的二进制代码到汇编代码的翻译过程，我们称之为反汇编。ollyDbg 也具有反汇编功能，但它是调试工具，其反汇编辅助分析功能有限，不适用于静态分析。
IDA反汇编深度总结（转载）
weixin_30446197的博客
08-01 774
1,[eax]的歧义（其中eax指向SourceString）：到底是*SourceString还是SourceString所处的结构的第一个偏移的结构。这个应该根据语境来，比如[eax]赋给的值的结构和第一偏移结构匹配，就是后面一种可能；反之就是第一种可能。2，IDA翻译的代码不一定是完全正确的，比如入口函数它会翻译为DriverEntry(int,PUNICODE_STRING SourceS...
IDA-pro-plus-6.5-x86-arm1.7.rar
05-14
使用教程见 https://blog.csdn.net/daidi1989/article/details/86304843#comments_12203591
逆向分析-IDA pro恶意代码（Crackme.exe）静态逆向分析
最新发布
06-14
C++语言编写的简易移位加密程序，帮助初学者小试牛刀，练习IDA pro静态逆向分析。
ida-embed-arch-disasm:允许IDA PRO在32位数据库中反汇编x86-64代码（WOW64）
05-08
使用32位IDA数据库时，允许您分解x86-64代码（如内联的WOW64代码）。 这将有助于分析WOW64模式开关。 依存关系 capstone Python模块 如果使用IDA 7和更高版本，请确保下载并安装适用于Python版本和体系结构的...
32位汇编语言学习笔记(12)--分析switch语句的汇编代码
swordmanwk的专栏
11-30 4587
 switch语句可以根据整数索引值进行多重分支选择，代码的可读性好，switch语句的汇编实现是通过跳转表来完成的，这样执行效率也很高。 int switch_eg(int x) {    int result = x;      switch (x) {      case 100:          resu
代码逆向（五）——switch-case识别技巧提高
蛛丝
08-12 3571
<br />我们前面为各位读者分别介绍了转成if-esle与利用跳转表两种优化模式，但是在最后我隐含着提出了一个问题，既如果我们的switch-case分支两个数之差大于50甚至更多的时候，那么我们此时是否仍需要利用跳转表来解决问题呢？很显然我们不能这样做，假如我们遇到如下这段代码：<br /><br />int _tmain(int argc, _TCHAR* argv[])<br />{<br />    switch (argc)<br />    {<br />    case 0:<br />  
ida使用Operand type将数转偏移指南以及switch修复
JackBoy的博客
07-19 500
First(lowest) input value：第一个或者最小的 case 值，填写的1，错误可以观察出来。紧接着选32bit，base用分析出的0x100003EC0。然后选中signed operand， 其实代表的是加操作数。switch 语句的首个指令的地址，这个不是很严格。这代表0x100003EC0被作为调整的base。这代表0x100003EC0被作为调整的base。可以看出base+0x10,已经是找到了分支。那怎么把下面的数据转换成偏移呢。5个需要重点关注的点。这段是负责跳转的地方。
反汇编系列(六) switchcase
能哥的专栏
01-09 1061
#include"stdio.h" int function(int a,int b) { int c=a+b; switch(c) { case 0: printf("c>0"); case 1: printf("c>10&&c<100");
探秘Swift世界：SwiftDump —— 你的Swift对象解析利器
gitblog_00003的博客
05-24 324
探秘Swift世界：SwiftDump —— 你的Swift对象解析利器 项目地址:https://gitcode.com/neil-wu/SwiftDump 在iOS和macOS开发中，了解应用程序内部结构的重要性不言而喻。今天，我们要向你推荐一个强大的开源工具——SwiftDump，它能让你轻易地从Mach-O文件中提取Swift对象的定义，无论是struct、class、enum还是prot...
编译器对switch case结构的优化
happylife1527的专栏
10-16 1484
在使用IDA分析Crack Me的时候，发现IDA对switch case结构的分析很是清晰，还发现了一个jump table for switch statement，也就是所谓的跳转表了，是编译器优化的结果。对于case分支的值是连续的那种，所有分支的跳转地址都会存入一个数组之中，然后通过case的值来寻址，如果值超出边界则直接跳到default分支所在地址。 .text:004010EA
每天一个IDA小技巧（六）交叉引用
Python3 爬虫实战 1:应对特殊字体,爬取猫眼电影实时排行榜
12-28 7893
在使用IDA进行逆向时，经常会碰到需要「定位某个变量被哪些函数访问」或者「某个函数是从什么地方被调用的」。这种跟踪变量或函数的功能在IDA中被称作交叉引用(XREF)，同时IDA还提供了...
分支结构在反汇编中特征
qq_61553520的博客
09-17 135
本文会使用IDA分析C语言的分支结构（if esle，switch）在反汇编代码中特征。
04-汇编初学之if/switch分支&循环
weixin_34221773的博客
05-05 307
0. CMP汇编指令&B指令扩展 CMP指令 CMP w0, w1 CMP 把一个寄存器的内容和另一个寄存器的内容或立即数进行比较。但不存储结果，只是正确的更改标志(更改cpsr标识寄存器相应位的值)。 一般CMP做完判断后会进行跳转，后面通常会跟上B指令！ B指令扩展 BL 标号：跳转到标号处，同时更新lr寄存器的值 B.GT 标号：比较结果是大于（greater than），执...
[系统安全15] 反汇编-switch-case分支
17bdw的编程备份笔记
10-23 27
0x1 switch-case分支 switch-case其实就是if-else语句的另一种体现形式。但大于3之后的switchc-case。编译器会对代码进行优化。 1.1 简单switch-case分支识别技巧 C源代码： int _tmain(int argc, _TCHAR* argv[]) { int nNum = 2; switch (nNum) { case 0: pr...
ida 逆向代码 --- 双精度浮点型jumpout
08-01
IDA逆向代码是指对二进制程序进行逆向分析和修改的过程。双精度浮点型jumpout是指在逆向代码过程中遇到的一个跳转指令，该指令可以根据双精度浮点数的值来进行跳转。 在IDA逆向代码中，双精度浮点型jumpout的实现方式通常是通过比较双精度浮点寄存器的值，并根据比较结果跳转到指定的地址。具体实现步骤如下： 1. 首先，使用IDA打开二进制程序，并进行逆向分析，找到双精度浮点型jumpout指令的位置。 2. 在跳转指令之前，通常会使用一条或多条指令将双精度浮点数的值加载到浮点寄存器中。 3. 找到进行比较的指令，该指令通常会使用浮点寄存器中的值与另一个双精度浮点数进行比较。比较操作可以是大于、小于、等于等。 4. 根据比较结果，使用条件跳转指令进行跳转。如果比较结果符合条件，则跳转到目标地址；否则，继续执行下一条指令。 5. 如果跳转成功，程序将会执行目标地址处的指令，否则继续执行下一条指令。 通过以上步骤，我们可以实现双精度浮点型jumpout的功能。在IDA逆向代码中，我们可以根据这个跳转指令的地址和执行条件，来分析和修改程序的行为。这在逆向工程中是非常有用的，可以帮助我们理解和改进二进制程序的逻辑。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值