分支优化：neg+sbb算术运算代替逻辑跳

今天在分析一个样本的时候，发现一段代码。

1 // .text:100012DF                 sub     esi, 0B7h  // 183
2 // .text:100012E5                 neg     esi
3 // .text:100012E7                 sbb     esi, esi
4 // .text:100012EA                 inc     esi

neg指令影响的标志

如果源操作数是 0，则 CF 标志清除为 0；否则设置为 1。OF、SF、ZF、AF 及 CF 标志根据结果设置。

neg求补指令：相当于按各位取反加1

现在代入三种值来进行验证：

1、esi 等于 183。则有：

    sub esi, 0b7h;  esi == 0;  cf == 0;

    neg  esi;          esi == 0; cf == 0;

    sbb  esi, esi;    esi == 0; cf == 0;

    inc esi;            esi == 1;

最终结果为：1

2、esi 小于 183。则有：

    sub esi, 0b7h;  esi == 负数;  cf == 1;

    neg  esi;          esi == 正数;  cf == 1; 

    sbb  esi, esi;    esi == -1;    cf == 1;  sbb指令带cf(进位、借位)减法.多减去一个1.则为-1

    inc esi;            esi == 0;      cf == 1; 

最终结果为：0

3、esi 大于 183。则有：

    sub esi, 0b7h;  esi == 正数;  cf == 0;

    neg  esi;          esi == 负数;  cf == 1; 

    sbb  esi, esi;    esi == -1;    cf == 1;  sbb指令带cf(进位、借位)减法.多减去一个1.则为-1

    inc esi;            esi == 0;      cf == 1; 

最终结果为：0

那么遇到以上代码。则为vc编译器在02中，对逻辑跳转进行的优化。

直接还原为：

if (esi == 183)

{

   return true;

}

return false;

==============================================================

计算机中数码的表示：

定义－》

正数：原码，反码，补码相同。

负数：原码为其对应正数原码最高符号位取反。

　　　反码为其原码除符号位外都取反。

　　　补码为其原码除符号位外取反加１。

所以最高位符号位都不变。

补码机：正数补码为其原码，负数为其正数原码取反加１。

NEG指令，相当于0-OPR，并影响进位标志CF.

数学意义上相当于：相当于0-OPR

在计算时实际是以补码形式运算，运算时只有０不影响CF,其它情况都影响CF.为什么，请看以下分析：

（１）假设有数：a=3;

那么：NEG a

分析：a补码为0011，0的补码为0000，所以0000-0011最终会向高位借１所以会有CF=1

（２）假设有数：a=-3;

那么：NEG a

分析：a为负数，补码为1101，所以0000-1101=0011即正数3,所以CF=1

NEG+SBB指令

假设有C语言：
　　if(foo() != 0)
　　{
　　　　return(FALSE);
　　}else{
　　　　return(TURE);
　　}
也可以是：
　　if(foo() != 0) return(FALSE);
　　return TURE;

可以这样汇编(用fasm语法)：

　　call [foo];调用foo()，返回值在eax中
　　neg eax;把操作数按位求反后末位加1, 且if(EAX==0){CF=0}else{CF=1}
　　sbb eax,eax; eax-eax-cf ==> (eax)
　　　　　　　　;操作结果:如果foo的返回值不是 0，此时 (eax) = -1
　　　　　　　　;　　　　:如果foo的返回值是 0，此时 (eax) = 0
　　inc eax　　; 操作结果：如果foo的返回值不是 0，此时 (eax) = 0
　　　　　　　　;　　　　：如果foo的返回值是 0，此时 (eax) = 1

; 进一步解释
; if (EAX)=0 则：
; NEG EAX ;等价于： 0 - (EAX) = 0 ， 结果： (EAX)=0 ，CF=0
; SBB EAX, EAX　; 等价于 (EAX)-(EAX)-(CF) ， 结果为： (EAX)=0
; INC EAX　; ，结果 (EAX)=1

;if EAX!=0 (假设 EAX=5) 则：
; NEG EAX 等价于： 0 - 5 = -5 所以： (EAX)= -5 ，但CF=1
; SBB EAX, EAX 等价于 (EAX)-(EAX)-(CF) 即： (EAX)= -1
; INC EAX 结果 (EAX)=0