• 设为首页
  • 点击收藏
  • 手机版
    手机扫一扫访问
    迪恩网络手机版
  • 关注官方公众号
    微信扫一扫关注
    公众号
登陆 注册

armc/c++基本结构逆向

原作者: [db:作者] 来自: [db:来源] 收藏 邀请

任何平台的逆向都是从基本语句开始的，我们需要知道if, for, while, do()while, switch等这些基本语句对应 arm 汇编是什么样子。
这样我们的知识就能形成一个闭环，使我们更加深刻的掌握一门语言。

下面就区分两种状态，即debug和release，对它们一一描述，重点是优化后不太一样。

以后看汇编时扫一眼就大概知道是什么语句，方便快速的阅读汇编代码。

 

if {} 语句 

if (i < 9) {
  printf("i < 9\n");
}
; debug
CMP             R0, #8
                 BGT             loc_99E   ;BGT的含义是大于8跳到loc_99E，反过来if进入的条件就是 if (i <=8);
                 B               loc_992
; ---------------------------------------------------------------------------
loc_992
                 LDR             R0, =(aI9 - 0x998)
                 ADD             R0, PC  ; "i < 9\n"
                 BL              sub_9F4
                 STR             R0, [SP,#0x30+var_28]
                 B               loc_99E   ; debug模式 这儿都要跳一下，算是一个特点吧
; ---------------------------------------------------------------------------
loc_99E
; relese
CMP             R0, #8
                 BGT             loc_9AC  ;BGT的含义是大于8跳到loc_9AC，反过来if进入的条件就是 if (i <=8);
                 LDR             R0, =(aI9 - 0x9AA)
                 ADD             R0, PC  ; "i < 9"
                 BLX             puts

loc_9AC

重点是这两行汇编

CMP  R0, #8

BGT  loc_99E ;Z清零且(N等于V) 有符号数大于

意思是大于8 跳走, if内部条件就是反过的，if (i <= 8)

debug和release 共同点都是将if (i < 9) 编译成 if (i <=8) 虽然逻辑上是一样的。但是，我们在逆向的时候尽可能的向原始的代码上靠

翻译汇编时建议写成 if (i < 9)

if {} else{} 语句 

if (i < 9) {
   printf("i < 9\n");
} else {
   printf("i >= 9\n");
}
; debug
CMP             R0, #8
                 BGT             loc_99E
                 B               loc_992  ;这步与单if语句的区别，C里面就是“跳else”
; ---------------------------------------------------------------------------
loc_992
                 LDR             R0, =(aI9 - 0x998)
                 ADD             R0, PC  ; "i < 9\n"
                 BL              sub_A04
                 STR             R0, [SP,#0x30+var_28]
                 B               loc_9AA
; ---------------------------------------------------------------------------
loc_99E
                 LDR             R0, =(aI9_0 - 0x9A4)
                 ADD             R0, PC  ; "i >= 9\n"
                 BL              sub_A04
                 STR             R0, [SP,#0x30+var_2C]
                 B               loc_9AA  ; debug模式这儿要跳一下，算是个特点吧
; ---------------------------------------------------------------------------
loc_9AA
; release
CMP             R0, #8
                BGT             loc_9AA
                LDR             R0, =(aI9 - 0x9AA)
                ADD             R0, PC  ; "i < 9"
                B               loc_9AE ;这步与单if语句的区别，C里面就是“跳else”
; ---------------------------------------------------------------------------

loc_9AA                                 ; CODE XREF: main+1A↑j
                LDR             R0, =(aI9_0 - 0x9B0)
                ADD             R0, PC  ; "i >= 9"

loc_9AE                                 ; CODE XREF: main+20↑j
                BLX             puts

if 与 if else 的区别并不大， 只是多了一个else的强制跳转

if {} else if{} else{} 语句 

if (i == 1) {
  printf("i = 1\n");
} else if ( i == 2) {
  printf("i = 2\n");
} else {
  printf("i != 1 && i != 2\n");
} 
; debug
                CMP             R0, #1
                BNE             loc_99E   ; 不等于1，检查下一条 else if 
                B               loc_992
; ---------------------------------------------------------------------------
loc_992
                LDR             R0, =(aI1 - 0x998)
                ADD             R0, PC    ; "i = 1\n"
                BL              sub_A1C
                STR             R0, [SP,#0x38+var_28]
                B               loc_9BE   ; 直接跳到if语句的结尾
; ---------------------------------------------------------------------------
loc_99E
                LDR             R0, [SP,#0x38+var_18]
                CMP             R0, #2    ; 检查else if (i == 2)
                BNE             loc_9B2   ; 不等于2 跳到 else语句
                B               loc_9A6   ; 等于2
; ---------------------------------------------------------------------------
loc_9A6
                LDR             R0, =(aI2 - 0x9AC)
                ADD             R0, PC  ; "i = 2\n"
                BL              sub_A1C
                STR             R0, [SP,#0x38+var_2C]
                B               loc_9BE   ; 跳到整个if语句的结尾
; ---------------------------------------------------------------------------
loc_9B2                                   ; 此处是最后的 else
                LDR             R0, =(aI1I2 - 0x9B8)
                ADD             R0, PC  ; "i != 1 && i != 2\n"
                BL              sub_A1C
                STR             R0, [SP,#0x38+var_30]
                B               loc_9BE
; ---------------------------------------------------------------------------
loc_9BE 
; release
                CMP             R0, #2
                BEQ             loc_72E  ; 等于2   跳转
                CMP             R0, #1
                BNE             loc_734  ; 不等于1 跳转
                LDR             R0, =(aI1 - 0x72E)  ; 此处是 if (i == 1) 基本块
                ADD             R0, PC  ; "i = 1"
                B               endif_738
; ---------------------------------------------------------------------------

loc_72E                                 ; CODE XREF: main+A↑j
                LDR             R0, =(aI2 - 0x734)  ; 此处是 if (i == 2) 基本块
                ADD             R0, PC  ; "i = 2"
                B               endif_738
; ---------------------------------------------------------------------------

loc_734                                 ; CODE XREF: main+E↑j
                LDR             R0, =(aI1I2 - 0x73A) ; 此处是 最后 else 基本块
                ADD             R0, PC  ; "i != 1 && i != 2"

endif_738                               ; CODE XREF: main+14↑j
                                        ; main+1A↑j
                BLX             puts

 if {} else if{} else{} 语句 debug 与 release差别比较大, 但是共同点是每个块结尾都强制跳转到if语句的结尾

如果看到这样的特点，基本上可以确定是if {} else if{} else{}语句，这点与x86上基本一样。

同时，我发现另一个特点，debug在每个块完成后都要跳一下，release没有，这样在debug下会非常影响性能，所以建议发布时不要用debug编译。

for 语句 

for (int j = 0; j < i; j++) {
  printf("j = %d\n", j);
}
; debug
begin_for_9C6
  LDR   R0, [SP,#0x30+var_1C] ; var_1C 就是变量 j
  LDR   R1, [SP,#0x30+var_18] ; var_18 就是变量 i
  CMP   R0, R1
  BGE   end_for_9E6           ; var_1C >= var_18就跳出for
  B     loc_9D0
; ---------------------------------------------------------------------------
loc_9D0
  LDR   R1, [SP,#0x30+var_1C]
  LDR   R0, =(aJD - 0x9D8)
  ADD   R0, PC  ; "j = %d\n"
  BL    sub_9F0
  STR   R0, [SP,#0x30+var_2C]
  B     loc_9DE
; ---------------------------------------------------------------------------
loc_9DE
  LDR   R0, [SP,#0x30+var_1C] ; var_1C +1
  ADDS  R0, #1
  STR   R0, [SP,#0x30+var_1C]
  B     begin_for_9C6         ; for 循环最典型的特征，从下往上跳
; ---------------------------------------------------------------------------
end_for_9E6
; release
  MOV   R4, R0   ; R4就是变量 i
  CMP   R4, #1   
  BLT   endfor_99C ; i < 1 跳出循环
  LDR   R6, =(aJD - 0x990)
  MOVS  R5, #0   ; R5就是变量 j
  ADD   R6, PC  ; "j = %d\n"
loc_98E
  MOV   R0, R6  ; 此处是循环体，相比debug优化很多
  MOV   R1, R5
  BL    sub_9A8 ; R0 R1 传递参数调用printf 
  ADDS  R5, #1
  CMP   R4, R5
  BNE   loc_98E ; for 循环的特征 +1向上跳
endfor_99C

可以看出for循环的特点，在循环的尾部 +1向上跳，同时也能看出debug和release在性能的上的差异太大了。
debug版本需要不停的访问内存，速度上明显要慢不少！
大多数的for循环都是从0开始的，release版本的for循环，刚开始就判断i是不是<1，这也算是一个release的特点吧。

while 语句

int j = 0;
while(j < i) {
  printf("j = %d\n", j);
  j++;
} 
; debug
begin_while_9C6
  LDR    R0, [SP,#0x30+var_1C] ; var_1C 就是变量 j
  LDR    R1, [SP,#0x30+var_18] ; var_18 就是变量 i
  CMP    R0, R1
  BGE    end_while_9E4         ; j >= i 跳出循环
  B      loc_9D0               ; debug模式的特点，跳到下一行
; ---------------------------------------------------------------------------
loc_9D0
  LDR    R1, [SP,#0x30+var_1C]
  LDR    R0, =(aJD - 0x9D8)
  ADD    R0, PC  ; "j = %d\n"
  BL     sub_9F0
  LDR    R1, [SP,#0x30+var_1C]
  ADDS   R1, #1
  STR    R1, [SP,#0x30+var_1C]
  STR    R0, [SP,#0x30+var_2C]
  B      begin_while_9C6       ; 强制向上跳, 与for循环很像
; ---------------------------------------------------------------------------
end_while_9E4 
; release
  MOV    R4, R0
  CMP    R4, #1 ; R4是变量 i
  BLT    end_while_99C ; R4 < 1 跳出while循环
  LDR    R6, =(aJD - 0x990)
  MOVS   R5, #0
  ADD    R6, PC  ; "j = %d\n"
loc_98E
  MOV    R0, R6   ; while循环体    
  MOV    R1, R5
  BL     sub_9A8
  ADDS   R5, #1
  CMP    R4, R5
  BNE    loc_98E  ; R4 != R5 
end_while_99C

 while循环与for循环非常像，区别不大。逻辑上while, do while,都可以写成for循环。 

 do while 语句 

int j = 0;
do {
  printf("j = %d\n", j);
  j++;
}while(j < i);
; debug
begin_dowhile_9C6
  LDR   R1, [SP,#0x30+var_1C]  ; do while体，没有判断直接运行块中pritnf
  LDR   R0, =(aJD - 0x9CE)
  ADD   R0, PC  ; "j = %d\n"
  BL    sub_9F0
  LDR   R1, [SP,#0x30+var_1C]
  ADDS  R1, #1
  STR   R1, [SP,#0x30+var_1C]
  STR   R0, [SP,#0x30+var_2C]
  B     loc_9DA
; ---------------------------------------------------------------------------
loc_9DA
  LDR   R0, [SP,#0x30+var_1C]
  LDR   R1, [SP,#0x30+var_18]
  CMP   R0, R1                ; 在此判断条件
  BLT   begin_dowhile_9C6
  B     end_dowhile_9E4
; ---------------------------------------------------------------------------
end_dowhile_9E4
; release
  LDR             R6, =(aJD - 0x98C)
  MOV             R4, R0
  MOVS            R5, #0
  ADD             R6, PC  ; "j = %d\n"
loc_98A
  MOV             R0, R6  ; 直接进入do while基本块中
  MOV             R1, R5
  BL              sub_9A4
  ADDS            R5, #1  
  CMP             R5, R4  ; 条件判断
  BLT             loc_98A ; do while结尾判断条件

最大的特点是直接进入执行体没有判断，与C代码完全一致。

 switch 语句 

switch (i) {
case 1:
  printf("1");
  break;
case 2:
  printf("2");
  break;
case 3:
  printf("3");
  break;
case 4:
  printf("4");
  break;
default:
  printf("unknow");
}
; debug
  STR      R0, [SP,#0x38+var_18]
  SUBS     R0, #1  ; switch 4 cases
  MOV      R1, R0
  CMP      R0, #3
  STR      R1, [SP,#0x38+var_24]
  BHI      def_9C8 ; jumptable 000009C8 default case
  LDR      R1, [SP,#0x38+var_24]
  TBB.W    [PC,R1] ; switch jump   ; switch最典型的特征，有一个跳转表
; ---------------------------------------------------------------------------
jpt_9C8    DCB 2                   ; jump table for switch statement
           DCB 8
           DCB 0xE
           DCB 0x14
; ---------------------------------------------------------------------------
loc_9D0
  LDR      R0, =(a1 - 0x9D6) ; jumptable 000009C8 case 1
  ADD      R0, PC  ; "1\n"
  BL       sub_A28
  STR      R0, [SP,#0x38+var_28]
  B        end_switch_A0C
; ---------------------------------------------------------------------------
loc_9DC
  LDR      R0, =(a2 - 0x9E2) ; jumptable 000009C8 case 2
  ADD      R0, PC  ; "2\n"
  BL       sub_A28
  STR      R0, [SP,#0x38+var_2C]
  B        end_switch_A0C
; ---------------------------------------------------------------------------
loc_9E8
  LDR      R0, =(a3 - 0x9EE) ; jumptable 000009C8 case 3
  ADD      R0, PC  ; "3\n"
  BL       sub_A28
  STR      R0, [SP,#0x38+var_30]
  B        end_switch_A0C
; ---------------------------------------------------------------------------
loc_9F4                          ; CODE XREF: main+2C↑j
  LDR      R0, =(a4 - 0x9FA) ; jumptable 000009C8 case 4
  ADD      R0, PC  ; "4\n"
  BL       sub_A28
  STR      R0, [SP,#0x38+var_34]
  B        end_switch_A0C
; ---------------------------------------------------------------------------
def_9C8
  LDR      R0, =(aUnknow - 0xA06) ; jumptable 000009C8 default case
  ADD      R0, PC  ; "unknow"
  BL       sub_A28
  STR      R0, [SP,#0x38+var_38]
  B        end_switch_A0C
; ---------------------------------------------------------------------------
end_switch_A0C
; release
  SUBS            R0, #1  ; switch 4 cases
  CMP             R0, #3
  BHI             def_9AE ; jumptable 000009AE default case
  TBB.W           [PC,R0] ; switch jump  ; release版本也一样存在 TBB, 后面就是跳转表，这是最重要的特征
; ---------------------------------------------------------------------------
jpt_9AE         DCB 2                   ; jump table for switch statement
  DCB 0xA
  DCB 0xD
  DCB 0x10
; ---------------------------------------------------------------------------
loc_9B6
  LDR             R0, =(a1 - 0x9BC) ; jumptable 000009AE case 1
  ADD             R0, PC  ; "1"
  B               end_switch_9D6
; ---------------------------------------------------------------------------
def_9AE
  LDR             R0, =(aUnknow - 0x9C2) ; jumptable 000009AE default case
  ADD             R0, PC  ; "unknow"
  BL              sub_9F4
  B               loc_9DA
; ---------------------------------------------------------------------------

loc_9C6                                 ; CODE XREF: main+E↑j
  LDR             R0, =(a2 - 0x9CC) ; jumptable 000009AE case 2
  ADD             R0, PC  ; "2"
  B               end_switch_9D6
; ---------------------------------------------------------------------------

loc_9CC                                 ; CODE XREF: main+E↑j
  LDR             R0, =(a3 - 0x9D2) ; jumptable 000009AE case 3
  ADD             R0, PC  ; "3"
  B               end_switch_9D6
; ---------------------------------------------------------------------------
loc_9D2
  LDR             R0, =(a4 - 0x9D8) ; jumptable 000009AE case 4
  ADD             R0, PC  ; "4"
end_switch_9D6

 

arm的汇编基本上都一样，以后介绍类 class的各种实现。
class中继承，派生，虚函数等在arm中是如何实现的。

说明：目前的编译器都是ndk的编译器 armeabi-v7a

 

鲜花
握手
雷人
路过
鸡蛋
该文章已有0人参与评论

请发表评论

全部评论

专题导读
More+
上一篇：
C#修改connectionStrings的方法发布时间：2022-07-14
下一篇：
vs2010给c语言文件添加头注释发布时间：2022-07-14
热门推荐
More+
热门话题
More+
阅读排行榜

扫描微信二维码

查看手机版网站

随时了解更新最新资讯

139-2527-9053

在线客服（服务时间 9:00～18:00）

在线QQ客服
地址：深圳市南山区西丽大学城创智工业园
电邮：jeky_zhao#qq.com
移动电话：139-2527-9053

Powered by 互联科技 X3.4© 2001-2213 极客世界.|Sitemap