简单win32反汇编学习
windows代码如下：
#include<windows.h>
int WINAPI WinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,PSTR szCmdLine,int iCmdShow)
{
MessageBox(NULL,TEXT("你好，编程世界"),TEXT("你好"),0x00000000);
return 0;
}
很简单的程序，运行后弹出一个窗口，显示“你好，编程世界”,标题为"你好"
用OD反汇编如下： 00401005 /$ E9 06000000 jmp WinMain //主函数入口点 0040100A | CC int3 //单步中断 用来调试用的 0040100B | CC int3 0040100C | CC int3 0040100D | CC int3 0040100E | CC int3 0040100F | CC int3 00401010 >|> 55 push ebp //将ebp保存 压栈,应为下面会用到ebp 00401011 |. 8BEC mov ebp, esp //令ebp指向栈顶 00401013 |. 83EC 40 sub esp, 40 //给栈中空出一片空间用来保存变量 00401016 |. 53 push ebx 00401017 |. 56 push esi 00401018 |. 57 push edi //将ebx,esi,edi压栈,主要是怕后面会用到，或者影响这3个寄存器的数据 00401019 |. 8D7D C0 lea edi, dword ptr [ebp-40] //传送ebp-40的地址给edi，腾出空间放变量 0040101C |. B9 10000000 mov ecx, 10 00401021 |. B8 CCCCCCCC mov eax, CCCCCCCC 00401026 |. F3:AB rep stos dword ptr es:[edi] //以上3条指令 为初始化变量空间为CC，也就是int 3中断 00401028 |. 8BF4 mov esi, esp //令esi和esp相等 0040102A |. 6A 00 push 0 ; //Style = MB_OK|MB_APPLMODAL ，messagebox的第4个参数压栈 0040102C |. 68 30004200 push 00420030 ; //Title = "你好" messagebox的第3个参数压栈 00401031 |. 68 1C004200 push 0042001C ; //Text = "你好?,AC,"编程世",BD,"? messagebox的第2个参数压栈 00401036 |. 6A 00 push 0 ; //hOwner = NULL messagebox的第1个参数压栈 00401038 |. FF15 94524200 call dword ptr [<&USER32.MessageBoxA>>; //MessageBoxA 0040103E |. 3BF4 cmp esi, esp //检查esi 和esp是否相等,如果有异常则不等 00401040 |. E8 3B000000 call _chkesp //检查esp 00401045 |. 33C0 xor eax, eax //eax清零 00401047 |. 5F pop edi 00401048 |. 5E pop esi 00401049 |. 5B pop ebx //恢复寄存器相关值 0040104A |. 83C4 40 add esp, 40 0040104D |. 3BEC cmp ebp, esp //同样检查esp是否恢复正常 0040104F |. E8 2C000000 call _chkesp //检测esp，debug模式中才有的 00401054 |. 8BE5 mov esp, ebp //栈顶指针给esp 00401056 |. 5D pop ebp //恢复ebp寄存器 00401057 \. C2 1000 retn 10 //esp+16 子程序返回 用来平衡堆栈