汇编学习笔记：对抗反汇编实验2019092801

实验描述

使用相连的jz和jnz指令跳转到紧接着jnz指令的call指令的第二个字节。call指令实际上无效。验证ida在反汇编时会识别出call指令。

实验环境

操作系统：windows 7（安装于virtualbox中的虚拟机）
代码编辑器：sublime text 3
编译器：masm32
调试、反汇编工具：ollydbg，ida pro 6.8

实验过程

实验用的汇编代码如下（其中e8h即为call指令的机器码）：

使用masm32编译器进行编译、链接：

使用ollydbg调试编译所得的可执行文件，发现od将伪call指令识别位字节数据e8h，也即od不受此迷惑：

使用ida进行反汇编，可看到ida将紧随jnz指令的数据反汇编为call指令，call的操作数被标为红色：

在ida中使用d键将00401004h的位置显示为字节数据，再用c键将跳转目标位置的数据解析为汇编指令：

实验结论

虽然实验中使用的这种对抗反汇编方法会让ida误解析（od则不会），但好在ida用特异颜色在有疑问处做了标记（为什么e8h后面的双字数据会被标红，原因还待解），可以依次判断反汇编代码存在的问题。