x64类型的程序逆向思考

最新推荐文章于 2024-06-15 20:49:35 发布

转载最新推荐文章于 2024-06-15 20:49:35 发布 · 172 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/kk328/p/10731842.html

本文分享了在x64程序分析中使用IDA的经验，特别关注如何避免因不熟悉寄存器而导致的混淆，适合对x64类型程序有兴趣的逆向工程师。

x64类型比较习惯ida去分析，需要注意的是在x64程序中，有时会因为自己对寄存器不太熟悉导致自己分析过程混淆，下面坐下简单记录

转载于:https://www.cnblogs.com/kk328/p/10731842.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

weixin_30737433

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

接口被爬?微信小程序如何防抓包逆向调试？我在美团里学到了这招！

代码简单说 Vue、JAVA、PHP、Node.js 熟练运用，接口、架构、性能全搞定。

05-04

1374

微信小程序逆向分析，永远是攻防拉锯。✅ 参数加密 / 响应加密✅ 合理频控✅ 校验基础库版本，识别模拟器特征可以极大提升被破解的门槛。特别是XWEB版本校验，是一种“门槛高、成本低”的方法，值得每个注重安全的小程序接入。如果你也遇到小程序被逆向、接口被爬的情况，不妨试试这个方式，说不定能挡掉一半以上的逆向攻击。

X64汇编语言教程（白帽黑客系列课程）（六）

最新发布

fearhacker的专栏

01-12

1568

本章节中，重点讲解 RFALGS 标志寄存器中关键比特位的作用，以及专业逆向静态分析工具 IDA 软件的相关用途！

参与评论您还未登录，请先登录后发表或查看评论

第四章——64位软件逆向技术-基本语法（上）

weixin_30677073的博客

12-10

870

1.寄存器 x64系统通用寄存器名称，第一个字母从“E”改为“R”，数量增加了8个，（R8-R15），增加了8个128位XMM寄存器（XMM寄存器用来优化代码）用表格示意：说明： 2.栈平衡栈的基本入栈出栈操作和32位一样，需要注意就是在64位环境下，汇编指令对栈顶的对其值有要求，因此在VS编译器申请空间的时候，会尽力保证栈顶地址为对其值16.（被16整除）...

第四章——64位软件逆向技术-基本语法（下虚函数）

weixin_30552635的博客

12-10

149

虚函数 VC++实现虚函数的方式就是虚表，如果一个类至少要有一个虚函数，编译器会为这个类产生一个虚表。不同的类虚表就不同，相同的类虚表就会共享识别构造和析构如果在函数入口有 lea reg,off_xxxxxx, mov [reg],reg初始化虚表，且返回值为this指针，我们就可以怀疑这是一个构造函数，同理我们发现同样的汇编我们也可以怀疑这是析构函数，可以根据顺序来区...

逆向工程实验——lab6(linux、windows64位逆向)

Onlyone_1314的博客

02-02

1613

实验目录1. Yet another crackme (or rather keygenme).（1）简单:通过补丁，打开/关闭所有5个功能。（2）中等:生成任意功能开启/关闭的序列号2. CTF（看雪.京东 2018CTF 第十二题破解之道）第一步：第二步：第三步：第四步：第五步：第六步：3. 某文件被加密了 1. Yet another crackme (or rather keygenme). Executables: Linux x64 Windows x64 It is just to be

加密与解密（第四版）第4章逆向分析技术（64位软件逆向技术）

冰糖葫芦的夏天的博客

12-07

935

寄存器 x64寄存器x86寄存器的区别： x86下通用寄存器名称开头由E改为R，大小扩展到64位增加8个64位通用寄存器（R8-R15）增加8个128位的XMM寄存器函数 x64环境下，某些汇编指令对栈顶的对齐值有要求（能够被16整除）逆向过程中，发现申请了栈空间但不使用的情况，可能是为了栈顶对齐如何定位main函数：当main函数执行完成时，C/C++运行库通常会调用exit函数退出进程。根据此特征，在入口代码中找到第一处call cs:exit代码，在该处上面的一个call调用的通常就是

171231 逆向-64位系统

whklhhhh的博客

01-02

887

1625-5 王子昂总结《2017年12月31日》【连续第457天总结】 A. x64程序和逆向 B.64位系统CPU32位时代，Intel主导着技术主流（x86），AMD则生成x86的兼容芯片而到了64位时代，Intel最初发布的芯片IA-64是与HP合作的，它的指令集、寄存器都与x86完全不同。因此无法与x86直接兼容，只能通过模拟器来间接兼容（但速度慢）后来AMD发布了AMD

C语言编程实例：逆向思考与素数判定解决经典问题

该程序设计题涉及的是经典的数学问题——逆向思考的动态规划问题。题目描述一只猴子第一天摘下桃子后，每天吃掉剩下的一半并多一个。到了第10天只剩下一个，我们需要求解第一天总共摘了多少桃子。程序的关键在于采用...

python反编译luac_Lua程序逆向之为Luac编写IDA Pro处理器模块

weixin_34688110的博客

02-03

632

上一篇讲解了如何加载一个Luac文件到IDA Pro当中，加载进入idb数据库的内容犹如切好洗净的食材，并不能粗暴的直接展示给用户，还需要IDA Pro中的处理器模块对内容进行下一步的反汇编渲染与指令功能注释，才能最终装盘食用。处理器模块的工作就是：解析不同段的内容，确定代码段后，通过指定的指令格式解析与构造指令；确定指令使用的数据类型、寄存器与助记符；执行代码段的线性式代码反汇编；为指令标记注释...

MyBatis的逆向工程详细步骤操作

Javajdkbz的博客

06-15

885

所谓的逆向工程：会/可以根据数据库表逆向生成Java的 POJO类，SqlMapper.xml (对应SQL映射文件)，以及Mapper 接口类等。关于 MyBatis 的逆向工程有两个版本：对应在 targetRuntime 的两个值：java复制代码1. MyBatis3Simple：生成的是基础版，只有基本的增删改查。2. MyBatis3：生成的是增强版，除了基本的增删改查之外还有复杂的增删改查。注意：MyBatis3 增强版，多出来的这个CarExample。

depends22_x64分析工具

09-20

在系统部署运行时我们经常发现某个程序在开发机器中可以运行，但是部署在某台PC上缺不能运行，也存在在某些机器上可运行换一台机器却不能运行。主要表现出两种现象： 1、运行、调试时出现程序启动时报错，提示出现错误无法启动。 2、程序执行数据库查询语句时直接跳过，查询函数调用时断点也无法中断。并且无执行结果。其实出现这样的原因最主要是我们部署的程序缺少一些必要的运行库（注意库的版本，同样的库如果版本不一致也可能出现题）。通过Depend工具来分析程序所需的依赖库。Depend工具包含X86和X64两个版本，用户可以根据实际情况进行选择使用对应的版本。笔试在写这篇文章时使用的操作系统时win7，在选择Depend工具版本时选择的是depends22_x64。

易语言模块反编译源码(已解决BUG)

03-13

下载的注意！！！！！！！！！！先看介绍，否则无法使用！介绍：易语言模块可以反编译了！！而且发布了源码！！大家快来下载！！！（编译需要模块。）模块下载地址： http://download.youkuaiyun.com/source/2635638 （想要编译，先下模块！！！↑↑↑↑下了模块再下载这个源码，就可以编译了！）（不会用的不要乱说不能用，鄙视那些不会用的来这里起哄！！！）

反编译易语言

01-22

想知道别人易语言软件的源码？本软件可把易语言生成的.exe文件转换成.e还可分析易语言软件！快来下载吧！

视频教程-x86/x64软件逆向分析入门-C/C++

weixin_28639619的博客

05-28

1078

x86/x64软件逆向分析入门成都理工大学优秀讲师，教授，二十年开发经验，...

新手福利——x64逆向基础

任鸟飞2217777779的博客

02-20

5512

此时的寻址方式并不是以rsp为基地址来传递局部变量和参数，那么如果我们想知道一个rbp+xxxx是局部变量还是参数，就需要到头部去进行一个相对复杂的运算，比如图中的rcx来源rbp-59，虽然我们明知他是一个局部变量(因为前面是lea)，但是我们也要到头部去算一算，-59-5F= -B8，在头部的地址是rsp-B8，也就是说他是一个局部变量。虽然在x64程序中，我们默认的前4个参数是rcx-r9，但是也有例外，如果我们传递的参数是浮点型的话，那么传入浮点数的参数则会使用xmm0-xmm3来代替。

VS 2019 MFC 通过代码关闭重启Windows 系统的方法和源代码

lzc881012的博客

07-19

939

LookupPrivilegeValue Function

关闭计算机就这几招

weixin_34419326的博客

03-16

338

注：完全翻译整理自MSDN。非常简单. . “系统ShutDown”属于Windows系统的一种基本服务。功能上有“关闭系统”，“注销用户”，“锁定工作站”3中操作。SDK中提供了几个函数，来对此服务进行调用。 “关闭系统”功能使计算机可以被安全的关闭。所有在文件系统里缓冲的内容都被强制写入磁盘。然后，显示相应的对话框，提示用户计算机将被关闭或者已经准备好被关闭。可选的情况一般是计算机...

ExpandEnvironmentStringsA( )函数

yellow的博客

06-15

3843

第一次看到这个函数感觉是新增一个环境变量，再看传入的参数又感觉不像。扩充环境字符串：将由百分号封闭起来的环境变量名转换成那个变量的内容。可以写个例子看看 #include <stdio.h> #include <windows.h> int main(int argc,char* argv, char* env) { char l_szSrcA[256]={"...

【转】Eclipse Class Decompiler——Java反编译插件

等待注满的杯子的专栏

10-31

1108

闲暇之余，写了一个Eclipse下的Java反编译插件：Eclipse Class Decompiler，整合了目前最好的2个Java反编译工具Jad和JD-Core，并且和Eclipse Class Viewer无缝集成，能够很方便的使用本插件查看类库源码，以及采用本插件进行Debug调试。 Eclipse Class Decompiler插件更新站点： http://feeling.sourc...