x86逆向 - 数组/字符串逆向

之前的笔记搬运

0x1 如何确定一块区域是数组

一个区域有很多个同样类型, 同样逻辑的元素, 并且连续的存储块就是数组,
或者可以从汇编代码的角度去确定, 拥有比例因子寻址的肯定是数组,
以下是多个维度的数组优化后的计算地址的公式

一维数组:

ary[n]
ary[i]
ary +i * size

二维数组

ary[n][m]
ary[i][j]
ary + (i*m + j) * size

三维数组

ary[n][m][h]
ary[i][j][k]
ary + (mhi+hj+k)*size

0x2 如何确定数组的大小

一般情况下, 有数组肯定会有循环, 通过循环次数可以确定范围

0x3 字符数组

以/0结尾的字符数组也可以叫做字符串, 是由一堆char型变量组成的存储单元

字符数组的初始化汇编体现:

字符数组初始化是四字节步长一直赋值, 直到不够四字节再减少长度完成赋值

如:char sz[255] = “helloworld”
mov eax, hello 		;取出hell
mov [ebp], eax
mov eax, hello+4    ;取出owor
mov [ebp-4],eax   
mov ax, hello+8     ;取出ld
mov [epb-8],ax
mov al, hello+10    ;取出/0
mov [ebp-10], al 


字符串求长度定式:
mov edi, str
or ecx, FFFFFFFF
xor eax,eax
repne scasb 
not ecx //字符串长度
dec ecx //减去/0的长度, 如果没有这句就是求字符串全长


字符串拷贝定式:
mov edi, str
or ecx, FFFFFFFF
xor eax,eax
repne scasb //循环eax-edi
not ecx //字符串长度
/*上面是求长度*/
sub edi,ecx
mov edx,ecx
mov esi,edi
mov edi, eax
shr ecx,2
rep movsd
mov ecx,edx
and ecx, 3
rep movsb

以上定式是VS2013以下的编译器生成的无分支求长度和拷贝代码,
在VS2013以上都是用循环和条件语句来代替了

赏

感谢大佬

微信