逆向——C语言的汇编表示之堆栈图-526互联

前天把C语言的汇编表示给看完了，但却没有怎么自己操作过，不过看懂了永远不能代表学会了，今天的话就从中挑选一个简单例子完整的再操作一遍，加深自己对它的理解！（之所以没怎么操作是因为VC6.0环境总是出问题！！！）

1. 在VC6.0创建一个文件

#include<stdio.h>
#include<stdlib>
#include<windows.h>
int plus(int x,int y)
{
    return x+y;
};
int main()
{
    int a=10;
    push(2,3);
    return 0;
}

Cral+s 保存

F7 bluid（构建exe）

查看反汇编：

F10 单步步过

F11 单步步入

总结：

1.C语言中传参方式是堆栈传参参数的调用从右到左依次push

2.函数名就是编译器给内存地址的别名

画一下堆栈变化图

首先我们调出 Register（寄存器）窗口，与Memory窗口

1.Alt+5 Register（寄存器）窗口

2.Alt+6 Memory 窗口

看栈顶 esp 地址为0012FF30

看栈底 ebp 地址为0012FF80

F10执行完push 3
ESP就会减4个字节变成0012FF2c

同理再 F10执行完 push 2后猜测 ESP会变成 0012FF28

所以堆栈图可以这么画

然后下一步执行call指令 F11进去
这时

紧跟的是 02 03

call （0040100a）指令本质

1.jmp 0040100a //即EIP为0040100A 下一次要执行的地址

2.把下一行地址压到堆栈去 /即栈顶
由2得3 esp的值减4 //因为下一行地址压到堆栈

所以查看一下栈顶0010FF24内容就是call指令的下一行地址00 40 B7 83 （小端存储）

此时观察反汇编页面

发现它并没有直接 call到函数部分而是这样的

这时VC6 给我们生成的。
调用函数时VC6会给我们生成一个jmp无条件跳转到函数部分、

jmp 00401010实质：

mov eip，00401010//即下一行执行 00401010指令

所以执行到这步，目前反汇编该执行 00401010了

观察下面框住的部分
此为编译器想要ebp寻址.
我们分析下

push ebp //即把 ebp的地址压入栈顶，同时esp-4

mov ebp,esp //即把esp的地址赋给ebp的地址，此时ebp就和esp在同一地址了
然后

sub esp，40h//目的是给提升堆栈

堆栈一个地址占4个字节 40h的话就是40h/4=10h个地址换成10进制就是16个地址
即esp被向上提升了16个地址，
堆栈图如下：

然后继续看反汇编

这个比较简单了，连续把寄存器ebx，esi，edi的地址压入栈
目的是：保存原来的寄存器值以便最后的恢复，因为你在过程中会发生变化
执行完堆栈图为

而绿色的部分就是我们常提到的缓冲区

为了程序使用完正常运行编译器会在没用到的缓冲区填充CC即我们调试时的断点

缓冲区溢出就是

当前的函数在执行的过程中需要内存，需要用内存就提升堆栈自己给自己分配内存，

对缓冲区做手脚，通过一些方式如改变函数返回地址来达到控制程序的目的；

下一个指令

首先

lea edi，[ebp-40h] 的含义就是把ebp现在的地址减40h 后的地址赋给edi

stos dword PTR [edi]的含义是将eax的值存储到[edi]指定的地址

rep指令：

按计数寄存器(ecx)指定的次数重复执行执行字符串指令

如 rep stosd（rep stos dword PTR [edi]的简写）

所以上面的几行指令就是给没用到的缓冲区填充 CC

所以现在的堆栈结构图是这个样子

这是我们该分析这步了

看下图

红色1： ebp+4 地址里存放的是call指令的下一行地址

红色2（未画） ebp+8 地址里存放的是第一个实参 2

红色2（未画） ebp+0C 地址里存放的是第二个实参 3

mov eax,dword PTR [ebp+8] 含义是把esp+8 地址里的值赋给eax
add eax,dword PTR [ebp+12] 含义是把esp+8 地址里的值加上eax 存在eax