逆向学习 堆栈图

逆向代码

跟着视频学的，这里的例子并没有提供正向代码不过很简单不影响，重点是为了理解堆栈。

0040118E    |.  6A 09                    PUSH 9
00401190    |.  6A 0C                    PUSH 0C
00401192    |.  6A 05                    PUSH 5
00401194    |.  E8 85FEFFFF              CALL HelloWor.0040101E
00401199    |.  83C4 0C                  ADD ESP,0C

00401100    /> \55                       PUSH EBP
00401101    |.  8BEC                     MOV EBP,ESP
00401103    |.  83EC 40                  SUB ESP,40
00401106    |.  53                       PUSH EBX
00401107    |.  56                       PUSH ESI
00401108    |.  57                       PUSH EDI
00401109    |.  8D7D C0                  LEA EDI,DWORD PTR SS:[EBP-40]
0040110C    |.  B9 10000000              MOV ECX,10
00401111    |.  B8 CCCCCCCC              MOV EAX,CCCCCCCC
00401116    |.  F3:AB                    REP STOS DWORD PTR ES:[EDI]
00401118    |.  8B45 08                  MOV EAX,DWORD PTR SS:[EBP+8]     
0040111B    |.  3B45 0C                  CMP EAX,DWORD PTR SS:[EBP+C]  
0040111E    |.  7E 12                    JLE SHORT HelloWor.00401132
00401120    |.  8B4D 08                  MOV ECX,DWORD PTR SS:[EBP+8] 
00401123    |.  3B4D 10                  CMP ECX,DWORD PTR SS:[EBP+10]
00401126    |.  7E 05                    JLE SHORT HelloWor.0040112D
00401128    |.  8B45 08                  MOV EAX,DWORD PTR SS:[EBP+8]
0040112B    |.  EB 15                    JMP SHORT HelloWor.00401142
0040112D    |>  8B45 10                  MOV EAX,DWORD PTR SS:[EBP+10]
00401130    |.  EB 10                    JMP SHORT HelloWor.00401142
00401132    |>  8B55 0C                  MOV EDX,DWORD PTR SS:[EBP+C]
00401135    |.  3B55 10                  CMP EDX,DWORD PTR SS:[EBP+10]
00401138    |.  7E 05                    JLE SHORT HelloWor.0040113F
0040113A    |.  8B45 0C                  MOV EAX,DWORD PTR SS:[EBP+C]
0040113D    |.  EB 03                    JMP SHORT HelloWor.00401142
0040113F    |>  8B45 10                  MOV EAX,DWORD PTR SS:[EBP+10]
00401142    |>  5F                       POP EDI
00401143    |.  5E                       POP ESI
00401144    |.  5B                       POP EBX
00401145    |.  8BE5                     MOV ESP,EBP
00401147    |.  5D                       POP EBP
00401148    \.  C3                       RETN

分析

原始ESP 0019FEF4
EBP 0019FF40
EBP作栈底,ESP为栈顶
①在传参之前有个ADD ESP,8 是保持原始的堆栈(上层传入两个参数)

②传参 c中参数在前的后push 顺序相反

push 9
push 0C
PUSH 5

实际为int 5, int 0c, int 9;
ESP-C = 0019FEE8

③CALL 函数
PUSH EIP
JMP
ESP-4 = 0019FEE4

④进入函数内部 PUSH EBP
ESP-4 = 0019FEE0

⑤MOV EBP,ESP
EBP = ESP = 0019FEE0

⑥开辟40h的空间作为函数临时内存
此时在子函数里EBP又变为当前函数栈底,ESP栈顶
SUP ESP,40
ESP-40 = 0019FEA0

⑧保留寄存器原始值 防止对原函数造成影响

PUSH EBX
PUSH ESI
PUSH EDI

ESP-C = 0019FE94

⑨初始化内存空间 防止不相干数据影响

LEA EDI,DWORD PTR SS:[EBP-40]
MOV ECX,10
MOV EAX,CCCCCCCC
REP STOS DWORD PTR ES:[EDI]

将开辟空间的栈顶值给EDI 利用STOS函数进行赋值
	STOS DWORD PTR ES:[EDI] 默认将EAX中的值赋值给EDI代表的内存中
REP ECX作为循环次数

ps：在od中可以F7步进REP EDI会自增DWORD

⑩函数操作
伪代码

int x = 0x5, y = 0xc, z = 0x9;
void func(int x, int y, int z)
{
	if(x < y)
		if(y < z)
			return z;
		else
			return y;
	else if(x < z)
		return z;
	else
		return x;			
}
func(a,b,c);

⑪还原寄存器值

POP EDI
POP ESI
POP EBX

ESP+C = 0019FEA0

⑫还原被调用函数栈顶

MOV ESP,EBP

ESP = EBP = 0019FEE0

⑬还原调用函数栈底

POP EBP

⑭返回调用函数

RETN

POP EIP
JMP
ESP+4 = 0019FEA8

⑮还原调用函数栈顶

ADD ESP,0C

因为传了三个参数
结束调用堆栈保持不变

总结

重点就是在ESP EBP每一步的含义，被调用CALL中的EBP+4 +8…是什么意思
汇编中一个完整CALL最精简的过程总结为
1 传参(与C中顺序相反,)
2 保留栈底push ebp
3 开辟空间
sub esp
mov ebp,esp
4 保护原有寄存器值
5 初始化内存
6 函数操作
7 还原寄存器
8 还原堆栈
其中在执行CALL的时候相当于PUSH EIP ,JMP
ESP先作为主函数的栈顶然后把值赋给EBP让其充当被调用的栈底说起来比较绕，务必理解图。
所以到了函数操作部分EBP作为子函数栈底(原本的ESP)，EBP+4即主函数的EIP
EBP+8为子函数的第一个参数 EBP+C为第二个