if语句逆向分析（中）

if…else if…else if…else多分支语句的反汇编判断

//参考准则如下
	//1、当每个跳转指令要跳转的地址前面都有JMP指令
	//2、上面的跳转指令的地址都是一样的
	//3、如果某个分支没有条件判断，则为else部分
IF_begin:
		影响标志位的指令；
		jxx [else if 的地址]；
IF_end
				jmp  end;
else if_begin:
		影响标志位的指令；
		jxx [else is 的地址]
else begin：
......
else end;
end;

案例分析（忽略了开堆栈和恢复堆栈的部分）

004010C8   mov         dword ptr [ebp-4],0	//第一个局部变量
004010CF   mov         dword ptr [ebp-8],1	//第二个局部变量
004010D6   mov         dword ptr [ebp-0Ch],2	//第三个局部变量
004010DD   mov         eax,dword ptr [ebp+8]	//取第一个参数
004010E0   cmp         eax,dword ptr [ebp+0Ch] //第一个参数和第二参数比较大小
004010E3   jle         004010f0 //如果参数一小于等于参数二，这跳转到4010f0，否则顺序执行下去
004010E5   mov         ecx,dword ptr [ebp-8] //第一次的比较未跳转，取第二个局部变量
004010E8   add         ecx,1
004010EB   mov         dword ptr [ebp-4],ecx //第二个局部变量1加一后赋给第一个变量，0变成2
004010EE   jmp         00401123 //此处无条件强制跳转到401123
004010f0   mov         edx,dword ptr [ebp+8] //第一次比较后跳转到这里
004010F3   cmp         edx,dword ptr [ebp+10h] //比较参数一和参数三的大小
004010F6   jle         00401103  //参数一小于等于参数三时跳转
004010F8   mov         eax,dword ptr [ebp-0Ch] //参数三大于参数一，取变量三的值，加1后赋给变量一
004010FB   add         eax,1
004010FE   mov         dword ptr [ebp-4],eax 
00401101   jmp         00401123  // 此处无条件强制跳转到401123
00401103   mov         ecx,dword ptr [ebp+0Ch]  //第二次比较跳转到这里：进行第三次比较--参数二和参数三
00401106   cmp         ecx,dword ptr [ebp+10h]  
00401109   jle         00401116			//参数二小于等于参数三，则跳转到401116
0040110B   mov         edx,dword ptr [ebp-8]  //变量二和变量三的值相加赋给变量一，返回变量一
0040110E   add         edx,dword ptr [ebp-0Ch]
00401111   mov         dword ptr [ebp-4],edx
00401114   jmp         00401123   //强制跳转
00401116   mov         eax,dword ptr [ebp-0Ch] // 第三次比较跳转到这里：变量二+变量三+1 赋给变量一，返回变量一
00401119   mov         ecx,dword ptr [ebp-8]
0040111C   lea         edx,[ecx+eax+1]
00401120   mov         dword ptr [ebp-4],edx
00401123   mov         eax,dword ptr [ebp-4]

//还原C代码
int func(int a,int b,int c){
	int x=0,y=1,z=2;
	if(a>b){
		x = y+1;
	}
	else if(a>c){
		x = z+1;
	}
	else if(b>c){
		x = y+z+1;
	}
	return x;
}

int main(){
	int a,b,c;
	func(a,b,c);
}