一个简单的C程序反汇编解析1.docVIP

一个简单的C++程序反汇编解析本系列主要从汇编角度研究c++语言机制和汇编的对应关系。第一篇自然应该从最简单的开始。c++的源代码如下： class my_class { public : ??? my_class() ??? { ??????? m_member = 1; ??? } ? ??? void method(int n) ??? { ??????? m_member = n; ??? } ? ??? ~my_class() ??? { ??????? m_member = 0; ?? ?} ? private : ??? int m_member; }; ? int _tmain(int argc, _tchar* argv[]) { ??? my_class a_class; ??? a_class.method(10); ? ??? return 0; } ? 可以直接debug的时候看到assembly代码，不过这样获得的代码注释比较少。比较理想的方法是利用vc编译器的一个选项/fas来生成对应的汇编代码。/fas还会在汇编代码中加入注释注明和c++代码的对应关系，十分有助于分析。build代码便可以在输出目录下发现对应的.asm文件。本文将逐句分析汇编代码和c++的对应关系。 首先是winmain： _text segment _wmain????? proc ????? push?ebp???????????????????????????????? ; 保存旧的ebp ????? mov?? ebp, esp??? ????? ????? ????? ????? ; ebp保存当前栈的位置 ????? push?-1??? ????? ????? ????? ????? ????? ; 建立seh(structured exception handler)链 ????? ????? ????? ????? ????? ????? ????? ????? ; -1表示表头,没有prev ????? push?__ehhandler$_wmain????? ????? ????? ; seh异常处理程序的地址 ????? mov?? eax, dword ptr fs:0???? ????? ????? ; fs:0指向teb的内容，头4个字节是当前seh链的地址 ????? push?eax?? ????? ????? ????? ????? ????? ; 保存起来 ????? sub?? esp, d8h??? ????? ????? ????? ????? ; 分配d8h字节的空间 ????? push?ebx ????? push?esi ????? push?edi ????? lea?? edi, dword ptr [ebp-e4h]????? ????? ; e4h = d8h + 4 * 3，跳过中间ebx, esi, edi ????? mov?? ecx, 36h??? ????? ????? ????? ????? ; 36h*4h=d8h，也就是用36h个cccccccch填满刚才分配的d8h字节空间 ????? mov?? eax, cccccccch ????? rep stosd ????? mov?? eax, dword ptr ___security_cookie?? ????? xor?? eax, ebp???????????????? ????? push?eax?? ????? ????? ????? ????? ????? ; ebp ^ __security_cookie压栈保存 ????? lea?? eax, dword ptr [ebp-0ch]????? ????? ; ebp-0ch是新的seh链的结构地址（刚压入栈中的栈地址） ????? mov?? dword ptr fs:0, eax???? ????? ????? ; 设置到teb中作为当前active的seh链表末尾 ? ? 到此为止栈的内容是这样的： 低地址 security cookie after xor edi esi ebx local stack: d8h old fs:0 __ehhandler$_wmain ffffffffh old ebp ?高地址 main接着后面调用my_class的构造函数 ????? lea?? ecx, dword ptr [ebp-14h] ???call???0my_class@@qae@xz???????????????? ; 调用my_class::my_class, ??my_class@@qae@