29、编程中的代码追踪、排序函数及64位值处理

编程中的代码追踪、排序函数及64位值处理

1. MSVC + tracer 代码追踪

可以利用tracer的功能收集所有可能的寄存器值，并在IDA中显示。以追踪 comp() 函数中的所有指令为例，操作步骤如下：
1. 执行命令： tracer.exe -l:17_1.exe bpf=17_1.exe!0x00401000,trace:cc 。
2. 得到一个用于加载到IDA的 .idc 脚本，将其加载到IDA中。

在IDA中，该函数被命名为 PtFuncCompare ，因为IDA发现该函数的指针被传递给了 qsort() 。同时，观察到 a 和 b 指针指向数组中的不同位置，且它们之间的步长为4，这是因为数组中存储的是32位值。另外，地址为 0x401010 和 0x401012 的指令从未被执行（在IDA中显示为白色），这是因为 comp() 函数从未返回0，数组中没有相等的元素。

2. GCC环境下的代码分析

2.1 GCC代码示例

lea     eax, [esp+40h+var_28]
mov     [esp+40h+var_40], eax
mov     [esp+40h+var_28], 764h
mov     [esp+40h+var_2