吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 12533|回复: 67
收起左侧

[调试逆向] 逆向基础笔记二十四 汇编 指针(五) 系列完结

  [复制链接]
lyl610abc 发表于 2021-3-12 16:27
本帖最后由 lyl610abc 于 2021-3-12 17:14 编辑

继续更新个人的学习笔记,
其它笔记传送门
逆向基础笔记一 进制篇
逆向基础笔记二 数据宽度和逻辑运算
逆向基础笔记三 通用寄存器和内存读写
逆向基础笔记四 堆栈篇
逆向基础笔记五 标志寄存器
逆向基础笔记六 汇编跳转和比较指令
逆向基础笔记七 堆栈图(重点)
逆向基础笔记八 反汇编分析C语言
逆向基础笔记九 C语言内联汇编和调用协定
逆向基础笔记十 汇编寻找C程序入口
逆向基础笔记十一 汇编C语言基本类型
逆向基础笔记十二 汇编 全局和局部 变量
逆向基础笔记十三 汇编C语言类型转换
逆向基础笔记十四 汇编嵌套if else
逆向基础笔记十五 汇编比较三种循环
逆向基础笔记十六 汇编一维数组
逆向基础笔记十七 汇编二维数组 位移 乘法
逆向基础笔记十八 汇编 结构体和内存对齐
逆向基础笔记十九 汇编switch比较if else
逆向基础笔记二十 汇编 指针(一)
逆向基础笔记二十一 汇编 指针(二)
逆向基础笔记二十二 汇编 指针(三)
逆向基础笔记二十三 汇编 指针(四)

指针作为参数

代码

#include "stdafx.h"
void function(int num){
        num=52;
}
void function2(int* num){
        *num=52;
}
int main(int argc, char* argv[])
{
        int num=610;
        function(num);
        printf("%d\n",num);
        function2(&num);
        printf("%d\n",num);
        return 0;
}

运行结果

image-20210312142400195

可以看到没有通过指针进行传参的数据在function内部修改后并没有影响到原本的数值

而通过指针进行传参的数据在function2内部修改后就影响了原本的数值


反汇编代码

函数外部

num初始化

20:       int num=610;
0040D978   mov         dword ptr [ebp-4],262h

function和输出

21:       function(num);
0040D97F   mov         eax,dword ptr [ebp-4]
0040D982   push        eax
0040D983   call        @ILT+15(function) (00401014)
0040D988   add         esp,4
22:       printf("%d\n",num);
0040D98B   mov         ecx,dword ptr [ebp-4]
0040D98E   push        ecx
0040D98F   push        offset string "%d\n" (0042201c)
0040D994   call        printf (00401130)
0040D999   add         esp,8

function2和输出

23:       function2(&num);
0040D99C   lea         edx,[ebp-4]
0040D99F   push        edx
0040D9A0   call        @ILT+20(function2) (00401019)
0040D9A5   add         esp,4
24:       printf("%d\n",num);
0040D9A8   mov         eax,dword ptr [ebp-4]
0040D9AB   push        eax
0040D9AC   push        offset string "%d\n" (0042201c)
0040D9B1   call        printf (00401130)
0040D9B6   add         esp,8

函数内部

function

8:    void function(int num){
0040D870   push        ebp
0040D871   mov         ebp,esp
0040D873   sub         esp,40h
0040D876   push        ebx
0040D877   push        esi
0040D878   push        edi
0040D879   lea         edi,[ebp-40h]
0040D87C   mov         ecx,10h
0040D881   mov         eax,0CCCCCCCCh
0040D886   rep stos    dword ptr [edi]
9:        num=52;
0040D888   mov         dword ptr [ebp+8],34h
10:   }
0040D88F   pop         edi
0040D890   pop         esi
0040D891   pop         ebx
0040D892   mov         esp,ebp
0040D894   pop         ebp
0040D895   ret

function2

12:   void function2(int* num){
0040D7E0   push        ebp
0040D7E1   mov         ebp,esp
0040D7E3   sub         esp,40h
0040D7E6   push        ebx
0040D7E7   push        esi
0040D7E8   push        edi
0040D7E9   lea         edi,[ebp-40h]
0040D7EC   mov         ecx,10h
0040D7F1   mov         eax,0CCCCCCCCh
0040D7F6   rep stos    dword ptr [edi]
13:       *num=52;
0040D7F8   mov         eax,dword ptr [ebp+8]
0040D7FB   mov         dword ptr [eax],34h
14:   }
0040D801   pop         edi
0040D802   pop         esi
0040D803   pop         ebx
0040D804   mov         esp,ebp
0040D806   pop         ebp
0040D807   ret

反汇编分析

function分析

function外部

21:       function(num);
0040D97F   mov         eax,dword ptr [ebp-4]
0040D982   push        eax
0040D983   call        @ILT+15(function) (00401014)
0040D988   add         esp,4

将[ebp-4]也就是num赋值给eax,然后将eax作为参数压入到堆栈中

用内存窗口观察此时ebp-4的情况:

此时的ebp-4对应地址为0012FF7C,也就是前面的num

function内部

截取出赋值的关键代码

9:        num=52;
0040D888   mov         dword ptr [ebp+8],34h

注意到此时赋值为[ebp+8](参数),用内存窗口观察其地址并比较和先前的ebp-4的地址

image-20210312143757355

可以看到此时要赋值的地址为0012FF2C,和先前的num地址0012FF7C不同,但值是相同的:0x262=610

于是就造成了就算修改了这里的地址中的值也不会影响原本的值

image-20210312144030058


image-20210312144104146


小总结

在函数内部获得的参数的值虽然和传入的参数的值一致,但实际的内存地址并不相同,于是在函数内部修改值并不会影响到原本的值


function2分析

function2外部

23:       function2(&num);
0040D99C   lea         edx,[ebp-4]
0040D99F   push        edx
0040D9A0   call        @ILT+20(function2) (00401019)
0040D9A5   add         esp,4

将ebp-4的地址传给edx,然后将edx作为参数压入到堆栈中

观察此时ebp-4的情况:

image-20210312144834028

此时ebp-4就是num的地址=0012FF7C


function2内部

截取出关键的赋值代码

13:       *num=52;
0040D7F8   mov         eax,dword ptr [ebp+8]
0040D7FB   mov         dword ptr [eax],34h

首先看[ebp+8]:

image-20210312145250880

会发现此时的ebp+8所存的内容就是num的地址:0012FF7C


这里是将[ebp+8](参数)赋值给eax,赋值后的eax是等于外面的num的

image-20210312145358433

然后再将0x34赋值到参数所存储的内容里

image-20210312145506473


小总结

使用指针作为参数可以实现在函数内部修改后外部的值也可以同步被修改

指针作为参数总结

通过比较指针传参和非指针传参得到了以下结论:

无论是指针传参还是非指针传参,将参数传入函数内部后,只保证了参数的内容一致,但地址不同

之所以指针传参能够实现修改函数外部值的效果,是因为传入的参数的值就是外部值的地址,传入的是个地址,通过修改同个地址里的值而达到了影响外部值的效果

传入参数 差异
非指针传参 参数是值 修改值只修改了函数内部的值,不影响函数外部
指针传参 参数是址 修改值是通过地址来修改的,因而能够影响函数外部

使用指针作为参数十分常见,因为通过这种方式就可以不用返回值直接将要返回的数据保存在指针里即可

常见的例子:

NTSTATUS
  ZwOpenProcess (
    __out PHANDLE  ProcessHandle,                //进程句柄,PHANDLE 句柄指针
    __in ACCESS_MASK  DesiredAccess,        //想要的权限
    __in POBJECT_ATTRIBUTES  ObjectAttributes,        //指向ObjectAttributes的指针
    __in_opt PCLIENT_ID  ClientId                //指向ClientId的指针
    )

这是一个内核函数,用来打开进程,具体使用细节这里不做重点

这里的ProcessHandle是一个指针,它作为参数就是用来存储打开进程后获得的进程句柄

很多内核函数都采用了这种形式——指针作为参数来存储要返回的数据


指针作为返回值

先前在数组里跳过了将数组作为返回值来传递,因为那时还没有讲到指针,接下来看看指针作为返回值的情形

错误的返回值

代码

#include "stdafx.h"
#include <malloc.h>
int* function(){
        int arr[5]={1,2,3,4,5};
        return arr;
}
int main(int argc, char* argv[])
{
        int*arr;        
        arr=function();
        int i;        
        for(i=0;i<5;i++){
                printf("%d\n",arr[i]);
        }
        return 0;
}

运行结果

image-20210312153757990

可以看到运行结果并不是我们所期望的


结果分析

为什么输出的结果和预期结果不一致?

首先要知道,指针指向的地址是在函数内部的arr(临时变量存储在堆栈中),当函数内部的代码执行完毕后,这部分数据就变成了垃圾数据,可以被随意覆盖,而printf函数就是输出的时候讲这部分垃圾数据覆盖了,导致了输出结果的不正确


观察内存窗口,查看刚赋值完后的结果:

可以看到arr指向了一个地址,这个地址也是个堆栈地址:0012FF10

image-20210312154343530


看看这个地址里存储的数据:

image-20210312154434723

可以看到此时的数据是没有问题的


但是当printf执行后会看到:

image-20210312154540525

原本的数据被覆盖了


小总结

指针作为返回值时,如果指针所指向的地址为一个堆栈地址,即指针所指向的为函数内部的临时变量时,其数据可能会在执行其它代码的时候被覆盖

如果想要让指针作为返回值可以正常使用,有以下两种方法:

  1. 让指针所指向的地址为一个全局变量,这样其数据就不会被覆盖
  2. 指针返回后,将其返回的数据拷贝到另一个数组里(拷贝时不能使用会影响堆栈的语句)

第一种方法比较简单,也容易理解,下面以第二种方法为例


正确的返回值

#include "stdafx.h"
#include <malloc.h>

int* function(){
        int arr[5]={1,2,3,4,5};
        return arr;
}

int main(int argc, char* argv[])
{
        int*arr;
        int*arr2=(int*)malloc(sizeof(int)*5);        //注意是在函数调用前申请的空间,如果在函数执行后再申请会影响数据
        arr=function();

        int i;
        for(i=0;i<5;i++){
                *(arr2+i)=*(arr+i);                                        //将返回的指针里的数据拷贝到arr2
        }        
        for(i=0;i<5;i++){
                printf("%d\n",arr2[i]);
        }
        return 0;
}

运行结果

image-20210312155525933

可以看到能够正确地输出结果


总结

可以看到将指针作为返回值并没有想象中那么方便

一般来说想要让指针作为返回值一般是采用两种办法:

  • 指针作为参数,然后将要返回的数据存储到参数里
  • 先声明一个全局变量,然后指针指向的为全局变量

最后要说的话

本系列笔记也算是迎来了尾声,赶在论坛周年庆之前将本系列完结,也意味着旧的落幕,新的开始

下一系列笔记暂定为PE系列笔记,希望能够对大家有所帮助

笔记掺杂了大量个人的见解,本人技术浅薄,可能会有不当之处,欢迎大家指正

最后希望论坛能越来越好,大家一起进步(o゜▽゜)o☆

免费评分

参与人数 26吾爱币 +26 热心值 +25 收起 理由
a1789043588 + 1 + 1 我很赞同!
CXC303 + 1 + 1 感谢分享!
LENY77777 + 1 + 1 我很赞同!
edge + 1 + 1 谢谢@Thanks!
yesoh86 + 1 谢谢@Thanks!
fzy1139950253 + 1 谢谢@Thanks!
abset + 1 用心讨论,共获提升!
buzhidaoqwe + 1 + 1 大佬辛苦了
木讷于不发 + 1 + 1 热心回复!完全看不懂
happy1438 + 1 + 1 热心回复!
km360 + 1 + 1 我很赞同!
MFC + 1 + 1 谢谢@Thanks!
一杯空气 + 1 + 1 谢谢@Thanks!
国际豆哥 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
暴躁的行走 + 1 + 1 谢谢@Thanks!
小晓白 + 1 + 1 谢谢@Thanks!
liu101816 + 1 + 1 谢谢@Thanks!
我是神的亲戚 + 1 + 1 谢谢@Thanks!
debug_cat + 1 + 1 来支持大佬大佬,希望继续分享
朱朱你堕落了 + 2 + 1 大佬辛苦了。
穷光蛋 + 1 + 1 我很赞同!
onething + 1 + 1 我很赞同!
是谁呀 + 1 + 1 谢谢@Thanks!
Li1y + 2 + 1 我很赞同!
a48602 + 1 + 1 谢谢@Thanks!
bester + 1 + 1 我很赞同!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| lyl610abc 发表于 2021-3-13 16:33
bester 发表于 2021-3-13 15:30
@lyl610abc  遇到一个不理解的函数和指针的问题,希望能得到解答,感谢

比如定义一个

代码

#include "stdafx.h"
#include <malloc.h>

typedef struct {
    int begin;
    int end;
}SELECTIONDATA;

void function(SELECTIONDATA* s){

    s->begin=52;
    s->end=610;
}

int main(int argc, char* argv[])

    //第一种方法
    SELECTIONDATA sel;
    function(&sel);

    //第二种方法
    SELECTIONDATA *sel2;
    sel2=(SELECTIONDATA*) malloc(sizeof(SELECTIONDATA));
    function(sel2);
    return 0;
}

回答

两种方法实质上并没有区别,传入的参数都是指针,区别在于:

  • 第一种方法是申请一个SELECTIONDATA的变量,编译器会为这个变量分配空间
  • 第二种方法是申请一个指向SELECTIONDATA的指针变量,编译器只分配了指针变量的空间,但是指针所指向的结构体并没有分配,需要自己手动分配

后面对结构体的赋值没有区别,都是根据传入的参数地址来修改存储的数据

免费评分

参与人数 2吾爱币 +1 热心值 +2 收起 理由
kyuki + 1 用心讨论,共获提升!
bester + 1 + 1 我很赞同!

查看全部评分

bester 发表于 2021-3-13 15:30
@lyl610abc  遇到一个不理解的函数和指针的问题,希望能得到解答,感谢

比如定义一个
typedef struct
{
    duint start;
    duint end;
} SELECTIONDATA;

然后在main中这样写
SELECTIONDATA sel;
Myfunction(1,&sel)

Myfunction的定义是  Myfunction(int A ,SELECTIONDATA * seletel)

调用完函数以后 sel.start 和sel.end 都会被赋值

我想问的是
1.
SELECTIONDATA sel;
Myfunction(1,&sel)



SELECTIONDATA *sel;
Myfunction(1,sel);
两者是否有区别? 或者说 第二种指针写法是否符合规范呢?第二种应该是要申请内存吧?

2.第一种写法和第二种写法,怎么能对其结构成员赋值呢?两者是否赋值方式不一样呢?

免费评分

参与人数 1热心值 +1 收起 理由
lyl610abc + 1 感谢您的宝贵建议,我们会努力争取做得更好!

查看全部评分

Li1y 发表于 2021-3-12 16:56

回帖奖励 +2 CB吾爱币

完结撒花。感谢楼主,PE系列笔记什么时候出?
a48602 发表于 2021-3-12 17:03
  大大的圖文並用教學講解的很不錯,小白我需要多看幾次才能理解,謝謝分享如此好文。

免费评分

参与人数 1吾爱币 +2 收起 理由
lyl610abc + 2 热心回复!

查看全部评分

livd66 发表于 2021-3-12 17:07
挺好,写的很好!

免费评分

参与人数 1吾爱币 +2 收起 理由
lyl610abc + 2 热心回复!

查看全部评分

bester 发表于 2021-3-12 17:16

回帖奖励 +2 CB吾爱币

是要讲pe结构吗,感觉pe结构重要程度不如windows 消息机制啊
 楼主| lyl610abc 发表于 2021-3-12 17:19
livd66 发表于 2021-3-12 17:07
挺好,写的很好!

回帖奖励没设置好,明天给你补上
echowxsy 发表于 2021-3-12 17:24

回帖奖励 +2 CB吾爱币

很适合查漏补缺,很多概念不是很明白。
KevINBy 发表于 2021-3-12 17:51

回帖奖励 +2 CB吾爱币

受教了,谢谢
我是神的亲戚 发表于 2021-3-12 18:07

回帖奖励 +2 CB吾爱币

感谢分享!!
debug_cat 发表于 2021-3-12 18:09

回帖奖励 +2 CB吾爱币

真大佬,现在这种详细的教程已经找不到了。
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-29 20:22

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表