逆向分析-数据结构

Posted godoforange

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了逆向分析-数据结构相关的知识,希望对你有一定的参考价值。

数据结构是计算机存储,组织数据的方式。在逆向分析时,确定数据结构以后,算法就很容易得到了。有些时候,事情也会反过来,即根据特定算法来判断数据结构。

1.局部变量

  局部变量是函数内部定义的一个变量,其作用域和生命周期局限于索在函数内。使用局部变量使程序模块化封装成为可能。从汇编的角度看,局部变量分配空间时通常会使用栈和寄存器。

  (1)利用栈存放局部变量

    局部变量在栈中进行分配,函数执行后会释放这些栈,程序用“sub esp,8” 语句为局部变量分配空间,用【ebp-xxx】寻址调用这些变量,而参数调用相对于ebp偏移量是正的,即[ebp+xxxx],因此在逆向分析时比较容易区分。

    编译器在优化模式时,通过esp寄存器直接对局部变量和参数进行寻址。当函数退出时,用“add esp,8” 指令平衡栈,以释放局部变量占用的内存。有些编译器(例如Delphi) 通过给esp加一个负值来进行内存的分配。

    另外,编译器可能会用“push reg”指令取代“sub esp,4”以节省字节的空间。

    局部变量的起始值是随机的,是其他函数执行后留在栈中的垃圾数据,因此需要对其进行初始化。初始化局部变量有俩种方法:

      一种是通过mov指令为变量赋值

      另一种是直接压入栈中

  (2)利用寄存器存放局部变量

    除了栈占用俩个寄存器,编译器会利用剩下的6个通用寄存器尽可能有效地存放局部变量,这样可以少产生代码,提高程序效率。如果寄存器不够用,编译就会将变量放入栈中。在进行逆向分析时要注意,局部变量的生存周期较短。必须及时确定当前寄存器的变量是哪个变量。

2.全局变量

   全局变量作用于整个程序,它一直存在,放在全局变量的内存区中。局部变量则存在于函数的栈区中,函数调用结束后便会消失。在大多程序中,常数一般在全局变量中,例如一些注册版标记,测试版标记等。

   在大多数情况下,在汇编代码中识别全局变量比其他结构中要容易得多。全局变量通常位于数据区块(.data)的一个固定地址处,当程序需要访问全局变量时,一般会用一个固定的硬编码地址直接对内存进行寻址。

   全局变量可以被同一文件中的所有函数修改,如果某个函数改变了全局变量的值,就能影响其他函数(相当于函数间的传递通道),因此,可以利用全局变量来传递参数和函数返回值等。全局变量在程序的整个执行过程中占用内存单元,而不像局域网变量那样需要时才开辟内存单元。

3.数组

    数组是相同数据类型的元素的集合,它们在内存中按顺序连续存放在一起。在汇编状态下访问数组一般是通过基址+变址 寻址实现的。

    在内存中,数组可存在于栈,数据段及动态内存中。本例中的a[]数组就保存在数据段中。

以上是关于逆向分析-数据结构的主要内容,如果未能解决你的问题,请参考以下文章

Android 逆向Android 逆向方法 ( 静态逆向解析 | 函数调用分析 | 动态运行跟踪 | 运行日志分析 | 文件格式解析 | 敏感信息分析 | 网络信息监控 | 环境伪装模拟 )

验证码逆向专栏某验四代消消乐验证码逆向分析

数据结构逆向分析-List

逆向分析-数据结构

防止逆向工程 SQL Server 分析服务(SSAS)数据库 [关闭]

Python爬虫进阶 | 某监测平台数据加密逆向分析