逆向基础笔记十四汇编嵌套if else

lyl610abc · 发表于 2021-3-3 16:20

if else嵌套

这次来研究if else嵌套在汇编中的表现形式，本次以获取三个数中最大的数这个函数为例子，分析if else的汇编形式

求三个数中的最大值

首先贴上代码：

#include "stdafx.h"

int result=0;
int getMax(int i,int j,int k){
        if(i>j){
                if(i>k){
                        return i;
                }else{
                        return k;
                }

        }else{
                if(j>k){
                        return j;
                }else{
                        return k;
                }
        }
}

int main(int argc, char* argv[])
{
        result=getMax(1,2,3);
        printf("%d\n",result);
        result=getMax(1,3,2);
        printf("%d\n",result);
        result=getMax(2,1,3);
        printf("%d\n",result);
        result=getMax(2,3,1);
        printf("%d\n",result);
        result=getMax(3,1,2);
        printf("%d\n",result);
        result=getMax(3,2,1);
        printf("%d\n",result);
        return 0;
}

先验证执行的结果是正确的：

确认可以函数是可以取出三个数的最大值的，于是开始分析该函数

为方便观看，将多余的验证删去，直接改为

getMax(1,2,3);

汇编代码

然后观察汇编代码

函数外部

28:       getMax(1,2,3);
0040D7C8   push        3
0040D7CA   push        2
0040D7CC   push        1
0040D7CE   call        @ILT+10(func) (0040100f)
0040D7D3   add         esp,0Ch

依次压入参数，然后调用函数，最后再堆栈外平衡，重点在函数内部，进去看看，还不了解堆栈的可以回顾先前的笔记

函数内部

7:    int getMax(int i,int j,int k){
0040D760   push        ebp
0040D761   mov         ebp,esp
0040D763   sub         esp,40h
0040D766   push        ebx
0040D767   push        esi
0040D768   push        edi
0040D769   lea         edi,[ebp-40h]
0040D76C   mov         ecx,10h
0040D771   mov         eax,0CCCCCCCCh
0040D776   rep stos    dword ptr [edi]
8:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)
9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)
10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)
11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)
13:           }
14:
15:       }else{
16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)
17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)
18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]
20:           }
21:       }
22:   }
0040D7A2   pop         edi
0040D7A3   pop         esi
0040D7A4   pop         ebx
0040D7A5   mov         esp,ebp
0040D7A7   pop         ebp
0040D7A8   ret

函数内部有不少代码是用来保护现场初始化堆栈恢复现场的，这里将其过滤掉，看判断语句：

判断语句

8:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)
9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)
10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)
11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)
13:           }
14:
15:       }else{
16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)
17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)
18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]
20:           }
21:       }
22:   }

参数分析

参数	参数内容	存储参数的地址
第一个参数	1	ebp+8
第二个参数	2	ebp+0xC
第三个参数	3	ebp+0x10

i>j

先来看看i>j的反汇编语句

0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax+32h (0040d792)

比较第一个参数和第二个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d792

16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]

可以分析出，如果第一个参数小于等于第二个参数则跳转到0040D792，进行j>k的判断

如果没有跳转则继续执行下面的i>k判断

i>k

9:            if(i>k){
0040D780   mov         ecx,dword ptr [ebp+8]
0040D783   cmp         ecx,dword ptr [ebp+10h]
0040D786   jle         getMax+2Dh (0040d78d)

比较第一个和第三个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d78d

11:           }else{
12:               return k;
0040D78D   mov         eax,dword ptr [ebp+10h]
0040D790   jmp         getMax+42h (0040d7a2)

可以分析出，如果第一个参数小于等于第三个参数则跳转到0040D78D，并将第三个参数赋值给eax作为返回值，这条线路为(k>i>j)

否则执行返回指令，将第一个参数赋给eax作为返回值，这条线路为(i>j且i>k)

10:               return i;
0040D788   mov         eax,dword ptr [ebp+8]
0040D78B   jmp         getMax+42h (0040d7a2)

j>k

16:           if(j>k){
0040D792   mov         edx,dword ptr [ebp+0Ch]
0040D795   cmp         edx,dword ptr [ebp+10h]
0040D798   jle         getMax+3Fh (0040d79f)

比较第二个和第三个参数

jle：jump less equal，小于等于则跳转（有符号数）

跳转地址：0040d79f

18:           }else{
19:               return k;
0040D79F   mov         eax,dword ptr [ebp+10h]

可以分析出，如果第二个参数小于等于第三个参数则跳转到0040D79F，并将第三个参数赋值给eax作为返回值，这条线路为(i<=j<=k)

否则返回执行返回命令，将第二个参数赋值给eax作为返回值，这条线路为(i<=j且k<=j)

17:               return j;
0040D79A   mov         eax,dword ptr [ebp+0Ch]
0040D79D   jmp         getMax+42h (0040d7a2)

总结

不难发现，三个数求最大值，只需两两比较就可以得出结果

分析if else的关键在于观察涉及的参数和jcc语句

此案例中就是直接采取了cmp 外加 jle来进行分支的选择和跳转

因为不符合条件的才要跳转走，所以在条件比较中，是大于的比较如i>j，所使用的汇编为jle 小于等于的比较

不按套路比较

此次案例并不能代表所有情况，实际分析要具体看情况来采取分析，有的程序可能就是不按套路出牌，先看看按套路出牌的程序，然后我们自己来模拟个不按套路的

正常套路

拿两个数的比较为例

#include "stdafx.h"
int getMax2(int i,int j){
        if(i>j){
                return i;
        }else{
                return j;
        }
}
int main(int argc, char* argv[])
{
        getMax2(1,2);
        return 0;
}

先看一般的汇编代码：

9:        if(i>j){
0040D778   mov         eax,dword ptr [ebp+8]
0040D77B   cmp         eax,dword ptr [ebp+0Ch]
0040D77E   jle         getMax2+25h (0040d785)
10:           return i;
0040D780   mov         eax,dword ptr [ebp+8]
0040D783   jmp         getMax2+28h (0040d788)
11:       }else{
12:           return j;
0040D785   mov         eax,dword ptr [ebp+0Ch]
13:       }
14:   }

依旧是采用cmp 和 jle来进行判断，和套路一致

不按套路

完整代码

#include "stdafx.h"
int __declspec(naked) myGetMax(int i,int j){
        __asm{                                
                                //保留调用前堆栈
                push ebp
                //提升堆栈
                mov ebp,esp
                sub esp,0x40
                //保护现场
                push ebx
                push esi
                push edi
                //初始化提升的堆栈，填充缓冲区
                mov eax,0xCCCCCCCC
                mov ecx,0x10
                lea edi,dword ptr ds:[ebp-0x40]
                rep stosd
                //函数核心功能

                //取出参数
                mov eax,dword ptr ds:[ebp+8]
                //比较参数
                cmp eax,[ebp+0xC]
                jge _ret
                mov eax,[ebp+0xC]
_ret:
                //恢复现场
                pop edi
                pop esi
                pop ebx
                //降低堆栈
                mov esp,ebp
                pop ebp                
                //返回
                ret 
        }
}
int main(int argc, char* argv[])
{

        int result=myGetMax(1,2);

        printf("%d\n",result);

        result=myGetMax(4,3);

        printf("%d\n",result);

        return 0;
}

功能代码分析

这里截取出我们自己实现比较的那段代码

                //函数核心功能
                //取出参数
                mov eax,dword ptr ds:[ebp+8]
                //比较参数
                cmp eax,[ebp+0xC]
               jge _ret
               mov eax,[ebp+0xC]
_ret:
                //恢复现场
                pop edi
                pop esi
                pop ebx
                //降低堆栈
                mov esp,ebp
                pop ebp                
                //返回
                ret

首先我们这里将第一个参数赋值给eax

然后比较eax和第二个参数，也就是比较第一个参数和第二个参数

这边使用的就不是jle而是jge了

jge：jump greater equal，即大于等于则跳转

前面已经将第一个参数赋值给了eax，而eax又是作为返回值来传递的

当第一个参数大于等于第二个参数时，就可以直接返回了

如果不是则不跳转，执行下面的将第二个参数赋值给eax作为返回值

这里注意到我在汇编中自己定义了一个段：_ret，来作为跳转的地址来使用

最后测试一下结果：

可以正确得到两个数中的最大值，完美O(∩_∩)O

lyl610abc · 发表于 2021-3-3 20:12

python小甲鱼发表于 2021-3-3 20:05
大佬pe更新吗有点不懂

在更了在更了，这不是还在更吗

，不过PE的内容在比较后面，还要不少时间可能才会到那里

xiaokang8729 · 发表于 2021-3-3 16:21

太难了。。。。。

lyl610abc · 发表于 2021-3-3 16:26

xiaokang8729 发表于 2021-3-3 16:21
太难了。。。。。

可以从我之前的笔记开始慢慢学习

忆魂丶天雷 · 发表于 2021-3-3 16:46

跟不上了

sniper9527 · 发表于 2021-3-3 17:22

感谢分享。

michen2239 · 发表于 2021-3-3 17:26

水平太高，看得有点闷。

zHiHz · 发表于 2021-3-3 19:09

感谢分享...........

python小甲鱼 · 发表于 2021-3-3 20:05

大佬pe更新吗有点不懂

asasascao · 发表于 2021-3-3 20:54

有点难度，不过还好

帐号		自动登录	找回密码
密码			注册[Register]

[调试逆向] 逆向基础笔记十四汇编嵌套if else

if else嵌套

求三个数中的最大值

汇编代码

函数外部

函数内部

判断语句

参数分析

i>j

i>k

j>k

总结

不按套路比较

正常套路

不按套路

完整代码

功能代码分析

免费评分

[调试逆向] 逆向基础笔记十四 汇编嵌套if else

if else嵌套

求三个数中的最大值

汇编代码

函数外部

函数内部

判断语句

参数分析

i>j

i>k

j>k

总结

不按套路比较

正常套路

不按套路

完整代码

功能代码分析

免费评分

[调试逆向] 逆向基础笔记十四汇编嵌套if else