IDA 逆向代码 --- _stack_chk_guard变量 之后的局部 怎么处理

场景:IDA逆向代码的时候,看到反编译出来的有边界检测,一般使用最后一个四字节局部变量A做边界检测,但B也有些情况下,这个边界后面还会定义一个局部变量B,根据反编译出来的代码,可以看出这个 B 没有什么实际的意义,代码使用它的地址来进行偏移访问前面的局部变量。

  char s_reqcomand[100]; // [sp+14h] [bp-ECh]@1
  unsigned __int8 v12; // [sp+7Ah] [bp-86h]@1 sp + 0x78 是起始位子 
  unsigned __int8 v13; // [sp+7Bh] [bp-85h]@1
  int v14; // [sp+DCh] [bp-24h]@1
  char v15; // [sp+E0h] [bp-20h]@2 注意这个v15,到底是什么东西??

  v14 = _stack_chk_guard;
  这种 v15 是什么东西??? 只能动态分析才能知道么??

  使用的地方:
  v8_temp = (unsigned __int8)*(&v15 + (v10_recbuf[3] & 3) - 0xD0) + ((v10_recbuf[3] + (v10_recbuf[2] << 8)) & 0xFFFC); // 通过地址偏移量来访问数据;
	
   根据v15的地址来偏移访问回复的数据,所以逆向代码时,我们只需要将 局部变量创建成v15的需要的样子;

解决方法:这样的代码我们是不能直接使用的,当前有两种解决方法:
第一种方式:分析出V15的地址使用时,具体偏移到了哪个局部变量中,这个需要动态调试来确定。
第二种方式:创建出适合这种偏移方式的局部变量,这个方法就要注意sp+XXh的数据值了。
      s_reqcomand的起始地址是sp+14,长度为 100字节,所以结束地址为: sp + 78 
      s_reqcomand和 v12 之间有2个字节空缺,我们要补上,补上一个unsigned ch

你可能感兴趣的:(----IDA分析)