数据逆向（二）——区分常量、变量、指针

最新推荐文章于 2025-08-26 14:53:40 发布

原创最新推荐文章于 2025-08-26 14:53:40 发布 · 1.4k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#编译器 #security #fun #byte #汇编 #c

数据逆向工程专栏收录该内容

4 篇文章

订阅专栏

本文介绍了数据逆向分析中如何区分常量、变量和指针。局部非静态变量通常存储在栈区，利用ebp或esp寻址；全局变量和局部静态变量存储在数据节，采用直接寻址。常量同样直接寻址但只读。指针作为存储地址的变量，初始化时用offset或lea，使用时需二次寻址。

做数据逆向分析最先应该区分数据是常量、变量，还是指针。可是作为二进制数据本身不会标记自己是什么，然而编译器将不同的的类别储存在不同的区域。

变量数据应分为这两类：

1. 局部非静态变量：对于1KB以下的该种变量，一般都要放在栈区，那么它的寻址必然用到ebp寄存器来间接变址进行寻址。另外，有些编译器（比如gcc）出于优化考虑，也会用到esp寄存器。

举例：

void fun()
{
int i=0;
char a[5]="AAAA";
}

//vc2005Debug版反汇编

void fun()
{

-------------------------------------------------保护寄存器数据
00411390 push        ebp
00411391 mov         ebp,esp
00411393 sub         esp,0E0h
00411399 push        ebx
0041139A push        esi
0041139B push        edi

---------------------为局部变量在栈区预留内存，以及vc编译器的添加防溢出措施

0041139C lea         edi,[ebp-0E0h]
004113A2 mov         ecx,38h
004113A7 mov         eax,0CCCCCCCCh
004113AC rep stos    dword ptr es:[edi]
004113AE mov  eax,dword ptr [___security_cookie (417000h)] //研究溢出漏洞的人，

//可以看一下蓝色代码，

//通过在回调地址前，

//添加安全码

//使shellcode不可以覆盖

                                                                                       //这里，否则异常
004113B3 xor           eax,ebp
004113B5 mov         dword ptr [ebp-4],eax

//这是vs2005的新特性，

//你想能出破解方案吗？

-------------------------------------------------

int i=0

004113B8 mov         dword ptr [ebp-0Ch],0
char a[5]="AAAA";
004113BF mov         eax,dword ptr [string "AAAA" (41563Ch)]
004113C4 mov         dword ptr [ebp-1Ch],eax
004113C7 mov         cl,byte ptr ds:[415640h]
004113CD mov         byte ptr [ebp-18h],cl
}

004113D0 push edx
004113D1 mov ecx,ebp
004113D3 push eax
004113D4 lea edx,[ (4113F4h)]
004113DA call @ILT+140(@_RTC_CheckStackVars@8) (411091h)
004113DF pop eax
004113E0 pop edx
004113E1 pop edi
004113E2 pop esi
004113E3 pop ebx
004113E4 mov ecx,dword ptr [ebp-4]
004113E7 xor ecx,ebp
004113E9 call @ILT+25(@__security_check_cookie@4) (41101Eh)
004113EE mov esp,ebp
004113F0 pop ebp
004113F1 ret

2. 全局变量、局部静态变量：它们统一储存在数据节，因为它们的实现方式是一样的，都是直接寻址方式来寻址，只是全局变量，在所有区域均可访问，而局部静态变量只能在函数内部访问。

char a[5]="AAAA";
void fun()
{
static int i;
i=0;
a[0]='b';

}

void fun()
{
00411390 push        ebp
00411391 mov         ebp,esp
00411393 sub         esp,0C0h
00411399 push        ebx
0041139A push        esi
0041139B push        edi
0041139C lea         edi,[ebp-0C0h]
004113A2 mov         ecx,30h
004113A7 mov         eax,0CCCCCCCCh
004113AC rep stos    dword ptr es:[edi] //由于没有使用堆栈，编译器没有添加防溢出措施
static int i;
i=0;
004113AE mov         dword ptr [41719Ch],0
a[0]='b';
004113B8 mov         byte ptr [417034h],62h
}