逆向知识十三讲,汇编中数组的表现形式,以及还原数组

            逆向知识十三讲,汇编中数组的表现形式,以及还原数组

讲解数组之前,要了解数组的特性

1.数据具有连续性

2.数据类型相同

比如:

  int Ary[3] = {0,1,2};

我们可以看出,上面定义的数组,数据是连续的,其中每个数据类型大小都是int类型(类型也是一样的)

汇编中识别数组:

    1.地址连续

    2.带有比例因子寻址   (lea  reg32,[xxx  + 4 *xxxx])

一丶一维数组在汇编中的表现形式

首先说下数组寻址公式,便于下面讲解

公式: 数组首地址 + sizeof(type) * n

伪代码:

  int Ary[3] = {1,2,3};

   Ary[N] = 1;

sizeof(type) : 这个是求数组元素的类型的,比如上面是int类型数组,我们求数组元素的类型  sizeof(Ary[0]);

n:      n的取值是下标运算,比如我们要求第数组中的第一项,(元素为2,从零开始),

代入公式:   Ary + sizeof(Ary[0]) * 1

        =  Ary +4 * 1

         = Ary + 4  取内容则是元素2了.

看例子:

高级代码:

int main(int argc, char* argv[])
{
    int Ary[3] = {0,1,2};
    int i = 0;

    scanf("%d",&i);

    Ary[i] = 3;  //这句话会产生数组寻址公式
    return Ary[i];
}

Debug下的汇编代码:

之截图重要代码

红色区域还有下面的add esp,8属于scanf上面的代码,给数组初始化等等,重要代码属于粉红框内的

1.  局部变量赋值给ecx

2.[ebp + ecx * 4 + var_c],写入了3,其中 ebp + var_c 是数组首地址, 4是sizeof(type), ecx则是n值.

由此代入我们的数组寻址公式  

Ary + sizeof(type) * n 

=  [ebp + Var_c + 4 * ecx]

只不过比例因子寻址会变化,转为公式是一样的,其中sizeof()求出的值变为了常量.

如果喜欢汇编的这种表达形式,可以把数组公式变换一下,

变为:

Ary + (n * sizeof(type))汇编是这种的,其实是一样的.

Release下的汇编

Release下也是一样的,可能和Debug汇编不一样,但是其本质也就是数组寻址公式一样的.

Ary + sizeof(type) * n

Ary+ (n*sizeof(type))

在这里可能大家会有疑问,为什么esp + var_c是数组首地址,而不用+18h?

因为在vc6.0下,是esp寻址,而这个18h只是做调整,IDA中显示成这样是想告诉我们,我要用到Var_C,但是因为我是esp寻址,所以我要调整一下才能找到var_c

而在高版本下,则会直接ebp寻址.不重要,知道就好.

二丶二维数组在汇编下的表现形式

数组寻址公式是一样的,但不同,

1.sizeof(type)变了. type的取值变为的自己的低维

2.不光求高维,低维也要求

现在的数组寻址公式变为了:

int ary[M][C];

  数组首地址 +sizeof(type[C]) * i + sizeof(type) * j;  i和j是下标运算的值,  比如 ary[3][4] = 1, 3是i,j是4,  不要和MC搞混,MC是数组定义的时候的值.

其中的sizeof(type[C])变为了二维数组的低维了.

如有一个数组为:

  int Ary[2][3] = {{1,2,3},{4,5,6}};  

我要求4所在的位置,

  我们打印的时候要输入 ary[1][0] 可以打印出4

那么我们可以通过手来计算出其位置

得出:

  Ary + sizeof(type[C]) * i + sizeof(type) * j

简化公式:

  Ary + C * sizeof(Type)*i + sizeof(type) * j     在Debug下会到这一步

简化公式:

  ary + sizeof(type) * (i * C + j);      在Release下会优化为这一步,因为发现了公因子 sizeof(type)了,可以提出来

代入公式得到:

  ary + 4 * 1 * 3 + 0

=  ary + 12

也就是说数组首地址 + 12 就得出4所在的地址位置.

+12在高级语言中,因为要%4对齐,所以我们要/4

所以得出 12 / 4 = 3,那么如果是指针指向数组的首地址,那么只需要+3即可取得数组的元素4,这也是一维数组访问二维数组元素的公式.

代码:

总结一下:

  首先要知道数组的寻址公式,因为维数组多了一维,所以要求出高维还要求出低纬度.而其中的type取值是取自己的低维

   公式;  数组首地址 + sizeof(type[C]) * i + sizeof(type)*j  重要,必须了解

举例子了解Debug下的汇编和Release下的数组寻址公式的区别

高级代码:

int main(int argc, char* argv[])
{
    int Ary[2][3] = {{1,2,3},{4,5,6}};
    int i = 0;
    int j = 0;
    scanf("%d%d",&i,&j);

    Ary[i][j] = 9;  //会产生数组寻址公式

    return 0;
}

Debug下的汇编

通过我们的数组寻址公式得出

  1.edx 是获取i的值

  2. edx * C  相当于我们的数组中的寻址公式 sizeof(type[C]) *i 的值.

  3.lea的时候 求出数组首地址 + sizeof(type[c])的值.

  4.ecx得出j的值

  5.eax + 4 * ecx  相当于数组首地址 + sizeof(type)*j

致此熟悉数组寻址公式看汇编代码很简单了.

所以Debug下的数组公式会变成

数组首地址 + sizeof(type[C]) * i + sizeof(type] * j

Release下的汇编

上面说过,在Release下会优化我们的原始的公式为

数组首地址 + sizeof(type) * (C * i + j)的形式

我们代入到汇编中查看.

1.eax 得出i的值

2.edx得出数组首地址的值

3.ecx的出   数组首地址 + i * 2 的值

4.add eax,ecx 重新写会eax,eax = 数组首地址 + i * 2 + i  那么可以简化为数组首地址 + i * 3即可.

5.运用数组寻址公式 [esp + var18 + 4 * eax]  esp + var18得出数组首地址  + i *3 + 4 

因为我们的j的取值是0,所以在Release下不是我们想象的 数组首地址 + i * 3 *4 + 0,+0优化掉了.

三丶三维数组在汇编中的表现形式

其实二维数组就介绍了高维数组怎么求了,以不变应万变.

有一个三维数组

  int Ary[M][C][H]

下标操作:

  ary[i][j][k] = 1;

数组寻址公式为:

  Ary + sizeof(type[C][H]) * i + sizeof(type[H])*j + sizeof(type)*k  在Debug下原模原样

在Release下会优化公式为:

  Ary + sizeof(type)*c*h*i + sizeof(type)*h*j + sizeof(type)*k

发现公因数继续优化

  Ary + sizeof(type) * (c*h*i + h*j + k)

发现了两个h

继续简化

Ary + sizeof(type) * (h*(c*i + j) + k);

所以上面就是最终公式

高级代码:

int main(int argc, char* argv[])
{
    int Ary[2][3][4] = {NULL};
    int i = 0;
    int j = 0;
    int k = 0;
    scanf("%d%d%d",&i,&j,&k);

    Ary[i][j][k] = 9;  //会产生数组寻址公式

    return 0;
}

Debug下的反汇编代码:

公式先贴出来:

Ary + sizeof(type[C][H]) * i + sizeof(type[H])*j + sizeof(type)*k

 代入公式看汇编

  1.eax = i的值

  2. eax * 30 ,相当于求 sizeof(type[C][H]) * i

  3.求出数组首地址+eax,也就是求出了 Ary[M]的位置,给Ecx赋值

  4.求出j的值

  5.左移4位,相当于2^4次方也就是16 这一步相当于求 sizeof(type[H])的值

  6.ary[M] + sizeof(type[H])的值得出了 ary[M][C]的值

  7.求出k的值

  8.数组寻址公式 ary[M][C]的值 + 4 * k的值.

在Debug下代入公式即可.

Release下的汇编

上面说了,Release下汇编会优化,也就是我们的公式会优化.

优化为:

Ary + sizeof(type) * (h*(c*i + j) + k);

根据公式代入即可.

四维数组,高维数组,数组公式同上,只不过注意两点

1.sizeof(type) type类型比如是自己的低维

2.要加一条新的公式

比如

  int ary[A][B][C][D];

下标分别为

  i j k l

数组公式为:

 Ary + sizeof(type[B][C][D]) * i + sizeof(type[C][D]) * j + sizeof(tyep[D]) * j + sizeof(type)*k

自己优化一下即可

总结:

数组寻址公式要熟悉最简单的数组寻址公式,因为更高纬度也是从上面公式,只不过type变化了,

会了数组寻址公式,可以说你用指针指向任何一个高维数组的值,取值使用即可.因为在高维在内存中也是线性存储,也就是一维数组的表现形式.

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏简书专栏

基于tensorflow的一元一次方程回归预测

安装tensorflow命令:pip install tensorflow 下面一段代码能够成功运行,则说明安装tensorflow环境成功。

1074
来自专栏落影的专栏

Metal入门教程总结

本文介绍Metal和Metal Shader Language,以及Metal和OpenGL ES的差异性,也是实现入门教程的心得总结。

1K6
来自专栏CNN

从Tensorflow模型文件中解析并显示网络结构图(pb模型篇)

Tensorflow官方提供的Tensorboard可以可视化神经网络结构图,但是说实话,我几乎从来不用。主要是因为Tensorboard中查看到的图结构太混乱...

2.4K5
来自专栏深度学习之tensorflow实战篇

tensorflow(一)windows 10 64位安装tensorflow1.4与基本概念解读tf.global_variables_initializer

一.安装 目前用了tensorflow、deeplearning4j两个深度学习框架, tensorflow 之前一直支持到python 3.5,目前以更新...

3756
来自专栏人工智能LeadAI

Python 设计模式初探

本文章是在阅读精通Python设计模式(中文版)(https://book.douban.com/subject/26829015/),以及阅读 Mask R-...

3606
来自专栏PPV课数据科学社区

Pandas速查卡-Python数据科学

Josh Devlin 2017年2月21日 Pandas可以说是数据科学最重要的Python包。 它不仅提供了很多方法和函数,使得处理数据更容易;而且它已经...

3937
来自专栏数据结构与算法

07:清泉-改(prime+堆)

时间限制: 10000ms单个测试点时间限制: 1000ms内存限制: 512000kB描述 华北电力大学可以抽象为一张有n个点m条边的无向图. 现在所有的边都...

28210
来自专栏python3

python语句-中断循环-continue,break

continue的作用是:从continue语句开始到循环结束,之间所有的语句都不执行,直接从一下次循环重新开始

1183
来自专栏算法channel

Tensorflow|Tensor, 与Numpy比较,Constant

本教程参考stanford.edu-cs20si 01 Operations分类预览 ? 02 Tensor 1 0-d tensor, or "scala...

4217
来自专栏应兆康的专栏

100个Numpy练习【3】

Numpy是Python做数据分析必须掌握的基础库之一,非常适合刚学习完Numpy基础的同学,完成以下习题可以帮助你更好的掌握这个基础库。

5019

扫码关注云+社区

领取腾讯云代金券