逆向学习之分析代码基础

全局变量的识别：

全局变量是存储在内存某个位置，在IDA中有一个变量名，OD动态调试的时候将会以完整地址传入。

数组与结构识别：

---

指针与栈偏移的识别：

对于认识清楚函数参数时，很难的了解的就是指针的使用，例如：

copy((&v62)[v17], *(&v62)[v36])

mov eax, [ebp+eax*4+v62]       //对应的部分汇编代码中    [XXXX]表示取值  eax*4暗示字节数

其中v62为栈上的一个元素，所以(&v62)[v17]获取到的是与v62偏移v17的栈位置的值，再分析的时候需要和汇编代码进行比较，如果可以的话，动态调试处理更佳。

---

数据字节数

参考MSDN官方文档

要注意运算中使用的数据字节数，当只用了一个字节进行运算，则结果需要取0xFF的模，8个二进制位称为1个Byte（字节） ，在IDA中数据类型 byte,word,dword用(db,dw,dd)对应标记。在64位的程序中还有signed_int64的数据类型（例如0x201324CCECD82A25LL）占据8字节。因为不同字节数的操作不一样，由于限制操作数的字节数，则一些汇编指令将隐含取模的操作，并且获取的数据值与数量也就不一样，这些都需要正确处理。

注意：有无符号（unsigned）并不改变占据的字节数，只是数据表示的值不一样而已。

部分常见字节数据类型

__int64、 long long、 double                                        8个字节

_DWORD 、 int     unsigned int                           dd     4个字节 比如：0xEFBEADDE

_WORD   、  __int16   、short  、 wchar_t             dw     2个字节  比如：0xEFBE

_BYTE   、char 、 signed char  、unsigned_int8    db     1个字节  比如：0xEF

---

数据表示方法：

Octal：八进制；Decimal：十进制；Hex：16进制 ； char：以字符的方式展现（ASCII转换）

LL：长长整型数

可以根据实际的含义，修改数据的表示方式，如字符，数组之类的。建议在进行异或等类似位操作使用16进制方便分析。

---

数据处理简化：

一些时候我们会发现有很多的位操作如：

(signed __int64)(signed int)(((((unsigned int)((unsigned __int64)j >> 32) >> 27)

当“j”的范围是【0,0xFF】时候，上述操作最终的结果只是0

或者，比如如下的冗余计算：

(((unsigned int)((signed int)(v4 + 1) >> 31) >> 24) + v4 + 1)- ((unsigned int)((signed int)(v4 + 1) >> 31) >> 24)

其中的((unsigned int)((signed int)(v4 + 1) >> 31) >> 24一长串只是一个冗余操作，简化就是v4+1

如果使用python进行处理的时候，可以使用取模的方式来表示复杂的C形式格式转换。

---

逆向工具使用的Tips：

IDA有些时候找不到函数的结尾而不能进行F5的操作，此时提示有positive esp，只需要在提示的地址处设置为undefined，之后整个函数可以实现F5操作。

IDA的F5只能在函数下执行，在一些地方可以右键强制创建函数再F5。

OD修改一些代码并dump出来，就能消除一些不重要的限制点。在IDA的HEX面板下也可以修改内存来变化流程。

OD调试可能会因为ASLR的原因而导致程序调试干扰，可以修改Image-dllcharacteristics-dynamic-base为8100，即可。

在OD可以修改EIP调整运行流程，例如运行完0040111F后，想修改EIP，在（CPU区域右键有个New origin here选项就是EIP跳转功能）可直接跳转到00401136。

分析工具都提供修改或增加评论的方式记录我们的分析产物，合理利用。