[笔记]windows逆向学习

---

常见含义

寄存器

一般寄存器:AX、BX、CX、DX
AX:累积暂存器，BX:基底暂存器，CX:计数暂存器，DX:资料暂存器

索引暂存器:SI、DI
SI:来源索引暂存器，DI:目的索引暂存器

堆叠、基底暂存器:SP、BP
SP:堆叠指标暂存器
BP:基底指标暂存器

EAX、ECX、EDX、EBX：為ax,bx,cx,dx的延伸，各為32位元
ESI、EDI、ESP、EBP：為si,di,sp,bp的延伸，32位元

eax, ebx, ecx, edx, esi, edi, ebp, esp等都是
X86 汇编语言中CPU上的通用寄存器的名称，是32位的寄存器。
如果用C语言来解释，可以把这些寄存器当作变量看待。

EBP：EBP应该就是针对当前函数，作用域独立存在的一个堆栈的首地址了。
ESP: 而ESP就是，执行当前栈顶的一个指针，这个作用域是跨越了所有函数调用的。
EIP：当前指令指针

常用命令

dd xxxxxxxx;跳转命令

汇编

常用指令

Push

创建函数帧 传入栈帧的参数

Align

align 地址对齐的伪指令，用来指定符号的对齐方式。

C++基础

虚函数

类的存在内存中 只有成员变量，如果有继承父类的虚函数 会存在虚函数指针 指向虚表中的实现

od四个区域

左上 代码段
右上 寄存器
左下 数据区
右下 栈区

逆向观察函数栈帧

每一个函数没运行完就调用其他函数的话 会建立一个栈帧存在栈区

esp:栈帧顶
ebp:栈帧底
进入一个新栈帧 会把上一个栈帧的esp变成这个的ebp ，栈方向从下往上（堆从上往下）???
sub esp,0xc0 为新的栈帧开辟空间 0xc0
之后保存几个可能会用到的寄存器，ebx,esi,edi,函数执行完再pop

调用约定

__cdecl: 母函数平栈
__stdcall: 子函数平栈 retn 参数长度
__fastcall: 开辟栈帧传递参数 通过寄存器存参数，而不是通过堆栈，所以比较快 所以fast

指针引用与拷贝构造 深拷贝和浅拷贝

指针：存储着所指向目标的地址
引用：初始化时将目标的地址重命名了一份
拷贝构造：1.类默认的重载=的构造方法
classA& operator =(classA &object){…}
2.重载构造方法
classA (classA &object){…}
属于浅拷贝

深拷贝和浅拷贝区别：
浅拷贝只拷贝了地址，如果地址的值销毁，拷贝的目的对象被访问就会非法越界
深拷贝拷贝了值。
这种问题常出现在类中含有指针成员变量当中，没有重现拷贝构造函数，导致。