函数调用分析

最新推荐文章于 2024-04-12 17:43:00 发布
最新推荐文章于 2024-04-12 17:43:00 发布
阅读量186 收藏 2
点赞数
文章标签： Windows 汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61553520/article/details/132676793
版权

目录

函数相关的汇编指令

JMP指令

call指令

ret指令

VS2019正向分析main函数

总结调用函数堆栈变化规律

x64dbg分析调用函数

IDA分析调用函数

函数相关的汇编指令

JMP指令

JMP 指令表示的是需要跳转到哪个内存地址，相当于是间接修改了 EIP 。

call指令

call 指令也是用来修改 EIP 寄存器的 
call 0x401000

相当于

push 0x401000+5
jmp 0x401000

调用函数前地址

执行后 进入函数执行代码段，call指令地址 00831f83+0x5 = 00831f88 压入堆栈

 

ret指令

相当于

mov eip,[esp];      ESP地址内存的地址（call 函数后下一条指令地址）给EIP
add esp,0x4;

EIP存储的是一个地址，这个地址，这个地址的空间存储的是汇编指令

VS2019正向分析main函数

测试代码

#include <stdio.h>

int m = 999;

int add(int a, int b)
{
	int c = a + b;
	return c;
}

int main()
{
	int x = 3;
	int y = 4;
	int z = add(x, y);

	printf("add()返回值是%d  int m = %d", z, m );
	
	return 0;
}

调用堆栈

invoke main函数调用了main函数，main函数有3个参数

    static int __cdecl invoke_main()
    {
        return main(__argc, __argv, _get_initial_narrow_environment());
    }

main()函数汇编代码分析


int main()
{
00542560 55                   push        ebp  
00542561 8B EC                mov         ebp,esp  
00542563 81 EC E4 00 00 00    sub         esp,0E4h  
00542569 53                   push        ebx  
0054256A 56                   push        esi  
0054256B 57                   push        edi  
0054256C 8D 7D DC             lea         edi,[ebp-24h]  
0054256F B9 09 00 00 00       mov         ecx,9  
00542574 B8 CC CC CC CC       mov         eax,0CCCCCCCCh  
00542579 F3 AB                rep stos    dword ptr es:[edi]  
0054257B B9 03 C0 54 00       mov         ecx,offset _5899AD65_test@cpp (054C003h)  
00542580 E8 87 ED FF FF       call        @__CheckForDebuggerJustMyCode@4 (054130Ch)  
	int x = 3;
00542585 C7 45 F8 03 00 00 00 mov         dword ptr [x],3  
	int y = 4;
0054258C C7 45 EC 04 00 00 00 mov         dword ptr [y],4  
	int z = add(x, y);
00542593 8B 45 EC             mov         eax,dword ptr [y]  
00542596 50                   push        eax  
00542597 8B 4D F8             mov         ecx,dword ptr [x]  
0054259A 51                   push        ecx  
0054259B E8 1B EE FF FF       call        add (05413BBh)  
005425A0 83 C4 08             add         esp,8  
005425A3 89 45 E0             mov         dword ptr [z],eax  

	printf("add()返回值是%d  int m = %d", z, m);
005425A6 A1 28 A0 54 00       mov         eax,dword ptr [m (054A028h)]  
005425AB 50                   push        eax  
005425AC 8B 4D E0             mov         ecx,dword ptr [z]  
005425AF 51                   push        ecx  
005425B0 68 CC 7B 54 00       push        offset string "add()\xb7\xb5\xbb\xd8\xd6\xb5\xca\xc7%d" (0547BCCh)  
005425B5 E8 E8 ED FF FF       call        _printf (05413A2h)  
005425BA 83 C4 0C             add         esp,0Ch  

	return 0;
005425BD 33 C0                xor         eax,eax  
}
005425BF 5F                   pop         edi  
005425C0 5E                   pop         esi  
005425C1 5B                   pop         ebx  
005425C2 81 C4 E4 00 00 00    add         esp,0E4h  
005425C8 3B EC                cmp         ebp,esp  
005425CA E8 61 EC FF FF       call        __RTC_CheckEsp (0541230h)  
005425CF 8B E5                mov         esp,ebp  
005425D1 5D                   pop         ebp  
005425D2 C3                   ret

开辟栈帧

int main()
{
00542560 55                   push        ebp  
00542561 8B EC                mov         ebp,esp

给函数的局部变量开辟空间，0E4h个空间

00542563 81 EC E4 00 00 00    sub         esp,0E4h

保存寄存器值 

00542569 53                   push        ebx  
0054256A 56                   push        esi  
0054256B 57                   push        edi

给24h(36个字节)初始化，每个字节为0xCC，范围是EBP(0x009bfdb0) - 0x009bfd8C

具体细节：

  1. REP STOS 指令的作用是将一个指定的值写入字符串中的每个字节或字。
  2. EAC存储要初始化的值，0XCC ，是 int 3 截断告警(防止代码执行到此)
  3. ECX存储次数，9次，每次4个字节，一共36个字节
  4. lea取地址给EDI，目标
  5. rep stos根据DF寄存器决定赋值的方向，DF=0，低->高；高->低
0054256C 8D 7D DC             lea         edi,[ebp-24h]  
0054256F B9 09 00 00 00       mov         ecx,9  
00542574 B8 CC CC CC CC       mov         eax,0CCCCCCCCh  
00542579 F3 AB                rep stos    dword ptr es:[edi]

初始化完成

VS2019系统函数

0054257B B9 03 C0 54 00       mov         ecx,offset _5899AD65_test@cpp (054C003h)  
00542580 E8 87 ED FF FF       call        @__CheckForDebuggerJustMyCode@4 (054130Ch)

局部变量赋值

	int x = 3;
00542585 C7 45 F8 03 00 00 00 mov         dword ptr [x],3  
	int y = 4;
0054258C C7 45 EC 04 00 00 00 mov         dword ptr [y],4

取地址查看

转到对应内存空间

maiin函数执行到最后一条语句，EAX是返回值，要清0

	return 0;
005425BD 33 C0                xor         eax,eax

恢复易失性寄存器

005425BF 5F                   pop         edi  
005425C0 5E                   pop         esi  
005425C1 5B                   pop         ebx

恢复函数局部变量空间，函数外平栈

005425C2 81 C4 E4 00 00 00    add         esp,0E4h

检查堆栈有无异常，VS2019函数，无需关注

005425C8 3B EC                cmp         ebp,esp  
005425CA E8 61 EC FF FF       call        __RTC_CheckEsp (0541230h)

恢复栈帧，具体细节如下：

  1. MOV ESP,EBP   
  2. pop ebp      恢复原先栈帧的栈底
  3. ret         恢复原先栈帧的栈顶
005425CF 8B E5                mov         esp,ebp  
005425D1 5D                   pop         ebp  
005425D2 C3                   ret

main函数调用已经分析完毕，中间还调用了add函数

	int z = add(x, y);
00542593 8B 45 EC             mov         eax,dword ptr [y]  
00542596 50                   push        eax  
00542597 8B 4D F8             mov         ecx,dword ptr [x]  
0054259A 51                   push        ecx  
0054259B E8 1B EE FF FF       call        add (05413BBh)  
005425A0 83 C4 08             add         esp,8  
005425A3 89 45 E0             mov         dword ptr [z],eax

具体细节：

函数参数压入堆栈

00542593 8B 45 EC             mov         eax,dword ptr [y]  
00542596 50                   push        eax  
00542597 8B 4D F8             mov         ecx,dword ptr [x]  
0054259A 51                   push        ecx

调用函数，并且下一条指令压入堆栈

0054259B E8 1B EE FF FF       call        add (05413BBh)

查看add函数汇编

int add(int a, int b)
{

开辟栈帧

00542EA0 55                   push        ebp  
00542EA1 8B EC                mov         ebp,esp  

开辟局部变量空间

00542EA3 81 EC CC 00 00 00    sub         esp,0CCh  

保存易失性寄存器

00542EA9 53                   push        ebx  
00542EAA 56                   push        esi  
00542EAB 57                   push        edi

初始化局部变量的堆栈
  
00542EAC 8D 7D F4             lea         edi,[ebp-0Ch]  
00542EAF B9 03 00 00 00       mov         ecx,3  
00542EB4 B8 CC CC CC CC       mov         eax,0CCCCCCCCh  
00542EB9 F3 AB                rep stos    dword ptr es:[edi] 

VS2019的函数
 
00542EBB B9 03 C0 54 00       mov         ecx,offset _5899AD65_test@cpp (054C003h)  
00542EC0 E8 47 E4 FF FF       call        @__CheckForDebuggerJustMyCode@4 (054130Ch) 

加法运算
 
	int c = a + b;
00542EC5 8B 45 08             mov         eax,dword ptr [a]  
00542EC8 03 45 0C             add         eax,dword ptr [b] 
00542ECB 89 45 F8             mov         dword ptr [c],eax  

c作为函数返回值，把值给eax寄存器

	return c;
00542ECE 8B 45 F8             mov         eax,dword ptr [c]  
}

恢复寄存器

00542ED1 5F                   pop         edi  
00542ED2 5E                   pop         esi  
00542ED3 5B                   pop         ebx  

平栈局部变量

00542ED4 81 C4 CC 00 00 00    add         esp,0CCh  

VS2019函数，检查堆栈是否有异常

00542EDA 3B EC                cmp         ebp,esp  
00542EDC E8 4F E3 FF FF       call        __RTC_CheckEsp (0541230h)  

恢复原栈帧的栈底

00542EE1 8B E5                mov         esp,ebp  
00542EE3 5D                   pop         ebp  

恢复原栈帧的栈顶，并且恢复程序执行流程

00542EE4 C3                   ret

到此栈还未回复完全，还有函数参数

平栈函数参数

005425A0 83 C4 08             add         esp,8

把函数返回值给z

005425A3 89 45 E0             mov         dword ptr [z],eax

总结调用函数堆栈变化规律

  1. 把函数参数压入栈
  2. call 函数   下一条指令地址压入堆栈（之后都是被调函数的引起的变化）
  3. 把原栈帧的栈帧基址（EBP）压入堆栈
  4. 开辟栈帧   
  5. 开辟局部变量空间
  6. 保存寄存器
  7. 给局部变量空间初始化
  8. 函数有返回值一半保存给eax
  9. 恢复寄存器
  10. 平栈 函数局部变量空间
  11. 恢复栈帧

x64dbg分析调用函数

定位到main函数

add函数

main函数

IDA分析调用函数

IDA其实和x64dbg一样

.text:00412560 ; int __cdecl main(int argc, const char **argv, const char **envp)
.text:00412560 main            proc near               ; CODE XREF: j_main↑j
.text:00412560
.text:00412560 var_24          = byte ptr -24h
.text:00412560 var_20          = dword ptr -20h
.text:00412560 var_14          = dword ptr -14h
.text:00412560 var_8           = dword ptr -8
.text:00412560 argc            = dword ptr  8
.text:00412560 argv            = dword ptr  0Ch
.text:00412560 envp            = dword ptr  10h
.text:00412560
.text:00412560                 push    ebp
.text:00412561                 mov     ebp, esp
.text:00412563                 sub     esp, 0E4h
.text:00412569                 push    ebx
.text:0041256A                 push    esi
.text:0041256B                 push    edi
.text:0041256C                 lea     edi, [ebp+var_24]
.text:0041256F                 mov     ecx, 9
.text:00412574                 mov     eax, 0CCCCCCCCh
.text:00412579                 rep stosd
.text:0041257B                 mov     ecx, offset unk_41C003
.text:00412580                 call    sub_41130C
.text:00412585                 mov     [ebp+var_8], 3
.text:0041258C                 mov     [ebp+var_14], 4
.text:00412593                 mov     eax, [ebp+var_14]
.text:00412596                 push    eax
.text:00412597                 mov     ecx, [ebp+var_8]
.text:0041259A                 push    ecx
.text:0041259B                 call    sub_4113BB
.text:004125A0                 add     esp, 8
.text:004125A3                 mov     [ebp+var_20], eax
.text:004125A6                 mov     eax, dword_41A028
.text:004125AB                 push    eax
.text:004125AC                 mov     ecx, [ebp+var_20]
.text:004125AF                 push    ecx
.text:004125B0                 push    offset unk_417BCC
.text:004125B5                 call    sub_4113A2
.text:004125BA                 add     esp, 0Ch
.text:004125BD                 xor     eax, eax
.text:004125BF                 pop     edi
.text:004125C0                 pop     esi
.text:004125C1                 pop     ebx
.text:004125C2                 add     esp, 0E4h
.text:004125C8                 cmp     ebp, esp
.text:004125CA                 call    sub_411230
.text:004125CF                 mov     esp, ebp
.text:004125D1                 pop     ebp
.text:004125D2                 retn
.text:004125D2 main            endp

Dao-道法自然
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
探索调试利器：Invoke-x64dbg-Loaddll
gitblog_00033的博客
04-20 424
探索调试利器：Invoke-x64dbg-Loaddll 项目地址:https://gitcode.com/Rvn0xsy/Invoke-x64dbg-loaddll 在软件开发和逆向工程的世界里，有一个工具常常被高手们提及，那就是x64dbg。而今天我们要介绍的是一个基于x64dbg的插件——Invoke-x64dbg-Loaddll。这个项目由Rvn0xsy开发，它为自动化调试增添了强大的功能...
x64dbg 修改为dll_X64Dbg使用教程
weixin_39905816的博客
12-21 881
内存读取[addr] 读取DWORD / QWORDn:[addr] 从addr开始读取n个字节seg:[addr] 段寄存器加偏移读取DWORD / QWORD seg可以gs，es，cs，fs，ds，ssbyte:[addr] 读取BYTEword:[addr] 读取worddword:[addr] ...
vs error 无法解析的外部符号 _main，该符号在函数 “int __cdecl invoke_main
highlighters的博客
05-28 1万+
原因分析 出现这种问题的原因，有很多种，第一种也是最常见的，是你的项目中出现了多个cpp文件，而且里面包含多个main函数。 第二种是你的代码是从qq或其他方式（如记事本）复制而来的代码，这种时候换行符可能会发生变化，看了网上大佬的解释，换行符是有很多个编码的，格式不对就会出问题，这种时候往往会提示要求你将源文件转化为DOS或UNIx格式，出现警告说明你属于这一种情况，你需要在vs的文件菜单里找到高级保存选项（vs高版本需要在设置里调出来，不会的百度搜），然后选择window（CR LF），即window
1.c语言执行的入口函数是,C语言中的main函数为什么被称作程序入口
weixin_35823048的博客
05-20 2150
在系统把使用权交给我们的这个过程，就是系统安排我们程序运行的过程，也就是准备进入我们程序的入口函数main或者WinMain的过程。操作系统时刻都在运行中，除非你关机断电了。而负责管理各个程序运行的部分就是系统的调度程序。它一直和交通警察一样的，管理进程的运作。当你双击的exe程序时，系统会检测到你的鼠标的动作，从而进行处理。如果发现你双击的是某个exe，系统发现你想要执行一个程序，便会安排让你的...
寻找Windows API 原始字节（x64dbg）
bring_coco的博客
10-22 365
首先我们将我们的木马移入x64dbg。
函数调用分析工具egypt
07-19
《函数调用分析工具egypt深度解析》 在软件开发和优化过程中，理解程序的运行流程至关重要，尤其是函数间的调用关系。函数调用分析工具egypt，以其独特的功能，为C/C++开发者提供了深入洞察代码执行路径的可能。...
C语言函数调用分析总结
08-10
本文将对C语言的函数调用进行详细分析，并结合给出的代码实例进行解释。 首先，我们需要了解X86体系结构中的一些关键寄存器的作用。在X86架构中，ESP（Stack Pointer）寄存器存储当前栈顶的地址，而EBP（Base ...
2函数调用分析.zip
12-23
本压缩包“2函数调用分析.zip”包含了一些相关文件，如源代码（2函数调用分析.cpp、StdAfx.cpp）和其他项目配置文件，这些都与函数调用分析紧密相关。下面我们将深入探讨函数调用的各个方面。 1. **函数定义与声明*...
分析 C 或 C++ 语言代码的函数调用关系
07-25
在 Linux 环境下，借助工具 Code Vize 可提取出开源软件中函数以及函数之间的依赖关系，并将分析结果以文本形式输出到文件中，然后借助于可视化工具 Graphviz 可将节点以及节点之间的依赖关系以图形化的方式 展示...
带控制流的静态函数调用分析方法
08-28
### 带控制流的静态函数调用分析方法 #### 概述 在现代软件开发过程中，理解和维护大型代码库是一项极具挑战性的任务。对于软件工程师来说，掌握一种有效的方法来解析复杂的函数调用关系至关重要。传统的静态分析...
修改x64dbg插件 Multiline Ultimate Assembler 完美支持中文
huangyalei的博客
01-18 1809
修改x64dbg插件 Multiline Ultimate Assembler 完美支持中文
QtCreator 运行时库错误
SimpleForest的博客
04-03 1279
Qt5.10.0安装完成后，启动QtCreator时出现错误：无法定位程序输入点_o_initialize_narrow_environment 于动态链接库api-ms-win-crt-private-|1-1-0.dll上。原因：运行库版本不一致解决办法：去安装目录找到vcredist_msvc2015_x86.exe，重新安装...
汇编基础-----通过x64dbg了解什么是堆栈
最新发布
a1309525802的博客
04-12 1138
在汇编语言中，堆栈（stack）是一种用于存储临时数据和执行函数调用的内存结构。堆栈是一种后进先出（Last-In-First-Out, LIFO）的数据结构，通常用于保存函数调用的返回地址、局部变量和参数等。ESPRSP理解堆栈在汇编语言中的作用和原理对于理解函数调用、内存管理和程序执行流程非常重要。通过合理地使用堆栈，可以实现高效的函数调用和数据传递，同时避免堆栈溢出等问题。
易语言远程x64位汇编call技术
hzw320的博客
08-23 7665
易语言x64位调用call函数技术 上两篇易语言对x64位进程操作的技术贴发出后，因为得知我们 Game-Ec 驱动模块8.5.3里 开发了对x64程序进程里的模块，API取地址，内存读写，内存搜索，函数hook，call函数调用等诸多命令功能后，很多写64位游戏辅助的学员激动不已。 因为这些功能预示着写64位游戏辅助不用换其他语言来写了，有了这次版本里加入的各种x64功能，易语言可以完美的开发64位游戏内存辅助了，因为可以读写内存数据，可以HOOK，可以内存搜索，最关键的是还可以远程调用x64程序进程里的
X64Dbg使用教程
南宫封清的博客
04-08 3万+
读取内存数据 字节/字/双字/四字/指针(ptr) ReadByte,Byte,byte(addr)：从 addr 读取一个字节，并返回该值。 ReadWord,Word,word(addr)：从 addr 读取一个字(2字节)，并返回该值。 ReadDword,Dword,dword(addr)：从 addr 读取双字(4字节)，并返回该值。 ReadQword,Qword,qword(add...
C/C++报错：无法解析的外部符号 _main，该符号在函数 “int __cdecl invoke_main(void)“的处理方法
qq_41043166的博客
09-24 8162
无法解析的外部符号main/winmain
error LNK2019: 无法解析的外部符号 WinMain，该符号在函数 "int __cdecl invoke_main(void)”中被引用...
weixin_34268169的博客
05-12 5978
 一，问题描述 MSVCRTD.lib(exe_winmain.obj) : error LNK2019: 无法解析的外部符号 WinMain，该符号在函数 "int __cdecl invoke_main(void)" (?invoke_main@@YAHXZ) 中被引用CamShift.exe : fatal error LNK1120: 1 个无法解析的外部命令 error LNK2001...
main(int argc,char *argv[] )参数输入
BBS_vip的专栏
04-28 5656
int main（int argc，char*argv[]） 如果直接运行的时候,默认的argc是为1,而argv[0]=该.exe文件的物理地址,这个你可以设置断点跟进去看 如果你想要多个参数,你可以在命令项下运行:举个例子: int main（int argc，char*argv[]） { for(int i=0;i<argc;i++) cout<<argv[i]<
[C/C++基础知识] main函数的参数argc和argv
热门推荐
杨秀璋的专栏
03-05 9万+
该篇文章主要是关于C++\C语言最基础的main函数的参数知识,是学习C++或C语言都必备的知识点.不知道你是否知道该知识？希望对大家有所帮助. 一.main()函数参数 通常我们在写主函数时都是void main()或int main() {..return 0;},但ANSI-C(美国国家标准协会,C的第一个标准ANSI发布)在C89/C99中main()函数主要形式为: (1).int
反汇编基础与函数调用分析
这涉及到理解函数调用、堆栈操作和变量赋值等核心概念。下面我们将详细探讨这些知识点。 首先，函数调用是程序执行中的关键部分。在反汇编代码中，Call指令用于调用函数，而参数通常通过栈来传递。在Call指令之前，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Dao-道法自然

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值