反汇编—switch

单线表

x64和x86分析类似

标号1的位置要计算出：减去(debug) / 加上(release)第一个case要等于0，因为第一个case在跳转表数组的0下标位置，

标号2的位置计算出最大case公式：10+7=17

通过1和2，可以知道它们应该是连续case，还要判断是否缺项，进入跳转表看

可以看到原本应该是case12和case14的位置显示的是def，故case12和case14缺项，代码如下

switch(Var)
{
    case 10:
    {
        
    }
    case 11:
    {
                        //缺了case12 、case14
    }
    case 13:
    {
        
    }
    case 15:
    {
        
    }
    case 16:
    {
        
    }
    case 17:
    {
        
    }
}

---

多线表

Release:

首先通过反汇编+标号6、7得知有跳转表，大概就是switch语句。

通过标号1、2、3得知switch被分为3份，大于0xFF，等于0xFF，小于0xFF。

通过标号4、5结合小于0xFF这条分支，我们可以知道两个十分重要的信息，1.eax+0xFFFFFFF6要等于0，即eax = 0xA（最小的case），2.0xA + 0xF4 = 0xFE（最大的case）。

movzx  eax，byte 401148[eax]          jmp  4010b9[eax*4]    

通过上图，在4010b9地址数组里面，下标为4的地方，参数是def_xxxxx,代表是无效地址，实际跳转去switch的结尾，其中下标0、1、2、3,有实际跳转地址，可以知道这条分支有4个case。

通过上面可以知道这条分支有4个case，又通过在401148地址数组里面观察发现有很多4（这个数组就是存放4010b9数组下标的数组），其中下标为 0、1、2的地方，对应4010b9地址数组里面下标为0、1、2的地方，即可以推出 case 0xA、 case 0xB、case 0xC，然后看401148地址数组的最后一个字节是3，代表它在4010b9地址数组的下标，又因为它是401148地址数组的最后一个字节，即0xFE，故是这条分支的最后一个case，把他们转成10进制。

case 10、case 11、case12、case  254