「C语言最简main函数的反汇编代码解析」

【#文档大全网# 导语】以下是®文档大全网的小编为您整理的《「C语言最简main函数的反汇编代码解析」》，欢迎阅读！

目前我们写的最简单的Ｍain函数如下： 代码:

#iｎｃlude "stdafｘ．h"

int _ｔmaｉn(inｔ aｒｇc, _TCHAR* arｇv[]） ｛

ｒeturｎ 0； ｝

利用VS编译器将运行时程序反汇编,结果如下： 代码:

int _tｍａiｎ(int arｇc, _TCHAR＊ argv[]) {

010C13A0 push ebp

010Ｃ13Ａ1 mｏv ｅbp,ｅｓｐ ０10C1３Ａ3 sｕb esp,0C０h 010C１3A９ push ebx 010Ｃ13AA push eｓｉ 010C13AB push edi

01０C13AC lｅa ｅdi,[eｂp-0C０ｈ] ０1０C13B２ ｍov ecx,30h

０1０C1３B7 moｖ eaｘ，0ＣCCCCCCCh

010C１3ＢＣ rep stoｓ ｄwoｒd pｔｒ es:［ｅｄi］ ｒeturn ０；

01０Ｃ1３BE xｏr eａx,eａx }

0１0C13C０ poｐ edｉ ０１0Ｃ13C1 pop eｓｉ 01０C13C2 pop ebx

０1０Ｃ13C3 mov ｅsp,ebp 0１0Ｃ13C5 pｏp ebp 0１0C13C6 ret

看起来汇编很头疼吧，那么让我们来茅塞顿开吧。首先了解一下以前几个未知半懂的汇编指令的含义： 代码:

push ebp

mｏｖ ebp，ｅsp

puｓh：把一个32位操作数压入栈中，这个操作导致ｅｓp被减4。 ebp被用来保存这个函数执行前的eｓp的值，执行完毕后用eｂｐ恢复ｅsｐ。同时，调用此函数的上层函数也用eｂｐ做同样的事情。所以先把ｅbp压入堆栈，返回之前弹出，避免ｅbｐ被我们改动。 代码:

ｘoｒ eax，ｅａｘ rｅt


xｏr ｅaｘ,eax常用来代替mov eax,０。清零操作。在ｗindowｓ中,函数返回值都是放在eax中然后返回,外部从eax中得到返回值。这就代表retｕrｎ ０操作。 代码:

ｌｅａ edi,[ebp－0C0h]

leａ取得第二个参数代表的地址放入第一个参数代表的寄存器中。 代码:

mｏｖ ecx,30ｈ

ｍoｖ eａx，0ＣＣCCＣCCＣh rｅｐ ｓｔoｓ ｄｗｏrd ptr es:[eｄi]

stoｓ是串存储指令,它的功能是将eaｘ中的数据放入edｉ所指的地址中，同时edi会增加4个字节。Rep使指令重复执行ecx中填写的次数。

由于ＣPＵ的寄存器有限，而且操作寄存器会影响标志值，ｐｕsh作用是压栈,pop是退栈。即保存寄存器标志的值和寄存器本身的值，以便在函数调用完毕后恢复原有的标志值。这也是为什么我们见到在调用某个函数或者运行一个程序时,入口总是push一堆寄存器的东东，也就是这个原因。ﻫ通过上面的基础知识,我们来看看maｉn函数的反汇编解释： 代码：

int _tｍaｉn（iｎt argc, _ＴＣHAR* aｒgｖ［]) {

01０C13A0 puｓh ebp

；保存ebp,返回之前弹出，避免ebp被我们改动。puｓｈ操作使esp减小，esｐ不变

010C1３A1 mｏv ebp,ｅｓp

; ebp被用来保存这个函数执行前的ｅsp的值,执行完毕后用ｅbｐ恢复ｅsp ;原ｅbp值已经被压栈（位于栈顶）,而新的ebp又恰恰指向栈顶

;此时eｂp寄存器就已经处于一个非常重要的地位，该寄存器中存储着栈中的一个地址（原ebｐ入栈后的栈顶）

；从该地址为基准，向上(栈底方向）能获取返回地址、参数值（假如main中有参数，“获取参数值”会比较容易理解

;向下(栈顶方向)能获取函数局部变量值，而该地址处又存储着上一层函数调用时的ｅｂp值

01０C１３A3 sub esp,0C０ｈ

；把esp往上移动一个范围，等于在栈中开辟一片空间存储maiｎ函数的局部变量

；由于冯诺依曼机是小端模式，所以sub操作可以理解为将esp栈顶减去，实际上是为栈增加空间

010C13A9 puｓh ｅbx 01０C13AＡ push esｉ 0１0C13AB puｓｈ edi

;保存三个寄存器的值,待main结束恢复，原来的值被破坏有可能引起系统崩溃 010C13AC lｅa eｄｉ，[ｅbp-0Ｃ0h] ;把ｅbp-0ｃ0h加载到ｅdｉ中,目的是保存局部变量的区域 010C13B2 ｍov ecx,30h


0１0C1３B7 mov eaｘ,0CCCCＣCCCｈ 010Ｃ13BＣ ｒep stos dword ｐtr es:［edi］

;从ｅｂp-０c0ｈ开始的局部变量空间区域初始化成全部0CＣCCＣCCCh（也就是iｎt 3中断指令的机器码)

;局部变量不可能被执行,执行了就会出错。这样发生意外时执行堆栈里面的内容会引发调试中断提示开发者 retｕrｎ 0;

010Ｃ１3BE xoｒ ｅax,eax

; 返回值将放在ｅaｘ返回（这就是很多软件给秒杀爆破的原因，因为eax的返回值是可以改的) }

0１０C１3C0 pop ｅdｉ 010C13C１ ｐｏp eｓi 010C13C２ ｐop ebx

； 恢复原来寄存器的值，怎么“吃”进去,怎么“吐”出来 010Ｃ13C3 mｏv esp，ebp ;恢复ＥSP栈顶指针

0１0C１３Ｃ5 ｐop ｅbp

;恢复ebp，也就是恢复调用ｍaｉn函数之前各个寄存器的状态 010C13C6 ret

;将返回地址存入eip,退出主函数

通过以上分析，大家应该对mａｉn函数的反汇编解析有一定的概念了吧。返回去看文章开头的反汇编代码,心里肯定比刚开始看的感觉舒服多了。在实战中，我们OD的汇编代码基本也就是这个套路，当然细节还得另外分析。有什么错误，敬请大伙指正,共同学习。 参考资料:

本文来源：https://www.wddqxz.cn/8deddac2356baf1ffc4ffe4733687e21ae45ff4a.html