本文主要是介绍C++逆向分析之条件语句和循环语句,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
一.C++逆向条件结构基础入门
大家写过相关的算法吗?
加密代码中会涉及循环和分支,你要识别算法,首先就是需要将它的算法处理流程识别出来。当我们还原出等价的高级代码之后,就没有逆向分析人员的事情了,因为接下来涉及到密码学、数学相关人员的工作,逆向人员把加密的代码还原出来后就应该扔给研究密码学的数学家,他们负责玩数学对抗,而逆向关注的是编译原理和代码还原。同时,逆向还涵盖了识别对象、识别算法、识别优化、识别虚函数对象的继承关系等等,这里主要结合项目相关的加密和解密进行讲解。接着作者准备穿插着VC++6.0和VS2019两个版本进行讲解。
1.单分支结构分析
第一步,通过VC++6.0编写一个最简单的程序,创建工程名称为“RE_SF”。
运行结果如下图所示,可以看到“Hello World”。
第二步,编写单分支结构的相关代码。
#include "stdafx.h"int main(int argc, char* argv[])
{if (argc > 8 ){printf("argc > 8\r\n");}return 0;
}
接着选择“Win32 Release”编译运行代码。
第三步,接着用OD软件打开EXE文件。
此时创建的工程目录分布如下图所示。
OllyDbg打开之后显示如下图所示的界面,程序入口地址是0x00401051。
- 程序入口:0x00401051
第四步,首先我们需要定位main函数,其方法非常简单,找到有三个PUSH的下面就是main函数,因为main函数有三个参数(argc、argv[],、envp[])。接着按F2下断点。
- 主函数:0x00401100
继续按下F7跟进,会看到一个单分支结构。那么,单分支结构它有什么特点呢?
- 进入主函数:0x00401000
第五步,先给大家普及单分支语句的代码定式基础知识。
在高级语言中单分支代码定式如下:
//程序语言
if(...)
{...
}//代码定式
IF_BEGIN:jxx IF_END...IF_END:...
为什么需要记住这个代码定式呢?
因为对于流程控制的识别,我们关键是要找到IF语句的作用域(上界和下界),上界在jxx的位置,称之为IF_BEGIN。接着有个jxx条件跳转,跳转到目标且没有其他的特征,这种就称之为单分支的代码定式。
回到我们的汇编代码,拿到这个代码之后,发现存在一个箭头指向跳转目标,这样就出现了IF模块的上界和下界,条件判断作为IF的上界,条件跳转的目标作为IF下界,通过这种套路方式来还原代码。
第六步,分析嵌套的单分支语句。
假设我们的判断中再嵌套一层或增加一个分支,又该怎么判断呢?对于我们还原代码的人来说,不用管它,你把上下界圈出来,然后递归解决。所有流程问题只要找到上下界,剩下的问题就变成了顺序结构,再看着代码一条条还原即可。
#include "stdafx.h"
#include <stdlib.h>int main(int argc, char* argv[])
{if (argc > 8 ){printf("argc > 8\r\n");if (argc < 80){printf("argc < 80\r\n");}}system("pause");return 0;
}
接着运行程序生成新的EXE程序,然后通过OD软件打开分析,给主函数下个断点然后进入主函数显示如下图所示的界面。
- 主函数内容:0x00401000
第七步,同样的方法将两层单分支语句的上下界圈出来。
我们发现这两个判断的下界重合了,都是跳转到0x00401029位置,这就明显是个嵌套。
总结下IF语句的特点:
- 观察它的条件跳(上下界)
- 条件跳的目标上面的代码没有其他特征,即“ADD ESP, 4"
那么,怎么还原出高级代码呢?
第八步,通过汇编代码还原出高级代码。
还原代码需要进行反条节操作,并且学会查询相关指令。比如JLE、JGE是什么意思呢?
- JLE(jump if less or equal,or not greater):汇编语言中的条件转移指令,小于或等于则条件转移
- JGE:大于或等于转移指令
注意,在还原的时候需要做反条件操作。那么,什么叫反条件呢?具体解释如下:
- JLE:小于等于跳转 --> 代码还原就是“不小于等于”,即:大于跳转
- JGE:大于等于跳转 --> 代码还原就是“不大于等于”,即:小于跳转
反条件
因为当我们满足这个条件的时候它会跳转到另一个地方(结束地方),它没有执行具体的代码;所以如果我们想要执行模块中的代码,就需要反条件处理。即汇编的语义和高级语言的语义是反的,高级语言的语义是满足条件则执行语句块,而汇编的语义是满足条件不执行语句块。
接着我们继续看触发跳转的代码,它是通过CMP比较来触发的。
- CMP ESI, 8
ESI是通过参数传递过来的,然后和8进行不小于等于的比较 - CMP ESI, 50
ESI和50进行不大于等于的比较
此时,我们再将单分支步骤简单归纳如下:
- (1) 通过反汇编代码序列,匹配代码定式;
- (2) 如果是单分支if结果,则将条件转义指令jxx做反条件还原
第九步,接着我们换个工具用VS2019打开我们的代码,生成新的Release版本。
然后删除本地的Release资源,生成一个新的Release方案。
第十步,用IDA Pro打开可执行EXE程序进行分析。
同样,使用IDA也是可以进行逆向分析的,打开新生成的逆向分析工具如下所示。
右键选择“Text View”查看源代码。
找到main函数,然后点击“_main”位置高亮显示。
按下“N”键可以对函数进行重命名,如下图所示。
注意,前面分享的识别方法和编译器版本、编程语言(C++、VB)等都没有关系,它是编译原理的问题。接着我们重点还是回归到代码上去,点击“loc_401039”函数高亮,同样的方法划分出这个单分支的上界和下界,并且嵌套了一个单分支,最终还原出源代码。
所以,不论使用VC++6.0或VS编译工具,还是使用IDA或OD分析工具,它们还原代码的原理及方法都是一样的。在实际项目中,不论你用什么分析工具,最终能分析出结果就好。
2.双分支结构分析
第一步,编写双分支代码。
第二步,普及双分支语句的代码定式基础知识。
在高级语言中双分支代码定式如下。该代码序列关键是发现jxx后,需要检查目标看看下面有没有一个jmp指令,如果有个jmp且是往下跳的,if-else就成立了。
//程序语言
if(...)
{...
}
else
{...
}//代码定式
IF_BEGIN:
jxx ELSE_BEGIN...
IF_END:jmp ELSE_END
ELSE_BEGIN:...
ELSE_END:...
第三步,接着生成新的exe文件,用OD打开分析。
同样的方法进入主函数,然后F7单步步入0x00401000位置,如下图所示。
核心代码及其跳转如下图所示。
- JLE --> 0x0040100E:PUSH操作
- JMP --> 0x00401013:CALL操作
双分支结构特点:
- jxx的目标处上一行指令为jmp,而且是往高地址去的jmp(往下跳)。如果是循环,后面会讲到它可能往上跳。
确定上下界之后,生成如下图所示的if模块和else模块,同样的反条件处理还原代码。
注意,这里有一个小小的优化,编译原理中的代码外提。它是什么意思呢?
假设有个节点A,现在有了流程分支B1和B2,B1完成后执行C,B2完成后也会执行C。编译器为了减小代码的节点,因为代码节点越多,代码越长,就做了等价流程的代码外提优化,从而汇总到C,少了一个节点。
- 编译器会视情况减少节点的优化
- 编译器也会增加节点来减小路径的优化
第四步,采用同样的方法用IDA工具分析还原代码,其效果也一样。
接着你可能会疑问这两个PUSH是干啥呢?**
- push offset aArgc8 ; “argc > 8\r\n”
- push offset aArgc8_0 ; “argc <= 8\r\n”
C语言中没有标准的高级语法对应汇编中的PUSH操作,说明它有代码优化了,就是代码外提操作。它们有个公共的函数调用被提到下面去了,就是下图所示的两行代码,这个时候我们要把它放回去方便还原。
接着我们复制汇编代码至C语言中进行还原,方便大家理解。代码如下,此时增加了if和else的上下界,但发现两个push无法还原。
同时将代码外提部分分别放到if和else模块中,就能实现最终代码还原,如下图所示。最后删除掉多余的汇编注释即可。
继续还原条件判断内容,JLE小于等于换成大于8就好。在真实环境中,还会遇到双分支中有循环或条件嵌套的问题,不要担心,找到上下界继续分析即可。
#include "stdafx.h"
#include <stdlib.h>int main(int argc, char* argv[])
{//.text:00401000 cmp [esp+argc], 8
//.text:00401005 jle short loc_40100Eif (argc > 8){
//.text:00401007 push offset aArgc8 ; "argc > 8\r\n"
//.text:0040100C jmp short loc_401013
//.text:00401013 call sub_4010C6printf("argc > 8\r\n");
//.text:00401018 add esp, 4}
//.text:0040100E ; ---------------------------------------------------------------------------
//.text:0040100Eelse{
//.text:0040100E loc_40100E: ; CODE XREF: _main+5↑j
//.text:0040100E push offset aArgc8_0 ; "argc <= 8\r\n"
//.text:00401013 call sub_4010C6printf("argc <= 8\r\n");
//.text:00401018 add esp, 4}
//.text:00401013
//.text:00401013 loc_401013: ; CODE XREF: _main+C↑j
//.text:0040101B push offset aPause ; "pause"system("pause");return 0;
}
二.C++逆向循环结构基础入门
1.do-while结构分析
循环包括do-while、while和for三种,你会觉得哪一种消息最高呢?do-while是三种循环中效率最高的,由于其无条件先执行一次,所以大家很少使用,但其效率很高。
基本语法
先执行,再判断。先执行一遍循环操作,若符合条件,循环操作继续执行,否则退出循环。
do{循环操作语句;
}whlie(循环条件);
第一步,我们编写一个1加到100的循环代码,这次直接使用Debug版本。
#include "stdafx.h"
#include <stdlib.h>int main(int argc, char* argv[])
{int n = 1;int nSum = 0;//do-while 执行一次do {nSum = nSum + n;n++;} while(n <= 100);printf("%d", nSum);system("pause");return 0;
}
第二步,通过OD打开运行的EXE程序“RE_XH.exe”。
- 程序入口地址:0x00401260
第三步,往下查找代码,发现3个PUSH后(参数)就是主函数,然后F2添加断点并F7步入主函数。
- 主函数:CALL RE_XH.00401005
第四步,分析汇编代码。
这里存在一个JLE跳转,如果条件跳往上跳就是do-while循环。
循环肯定会往上走,否则构成不了循环,它需要反复执行同一代码段。如果跳转的目标没有检查条件,就是do-while循环。简单总结下识别do-while循环步骤:
- 识别代码定式
- 如果是do循环,则按jxx同条件还原等价高级代码
注意,同条件的就只有do-while结构。在do-while循环中,它跟汇编的语义是一样的,只有当条件满足则流程更新到循环的起始地点,所以它是正条件还原。而前面的if-else判断都是反条件。
//程序语言
do
{...
}while(xxx);//代码定式
DO_BEGIN:...jxx DO_BEGIN
DO_END:...
2.while结构分析
基本语法
先判断,再执行。
whlie(循环条件){循环操作语句;
}
第一步,我们编写一个1加到100的循环代码。
#include "stdafx.h"
#include <stdlib.h>int main(int argc, char* argv[])
{int n = 1;int nSum = 0;while (n <= 100){nSum = nSum + n;n++;} printf("%d", nSum);system("pause");return 0;
}
第二步,分析while循环的代码定式。
注意,该循环的Debug版本和Release版本存在差异,接下来会对比分析。我们先给出代码定式,如下所示。
//程序语言
while(xxx)
{...
}//代码定式
WHILE_BEGIN:jxx WHILE_END...jmp WHILE_BEGIN
WHILE_END:...
while循环的条件跳是往上跳的,它需要反复执行同一代码段。
第三步,通过OD打开运行的EXE程序“RE_XH.exe”。
- 程序入口地址:0x00401260
第四步,往下查找代码,发现3个PUSH后(参数)就是主函数,然后F2添加断点并F7步入主函数。
- 主函数:CALL RE_XH.00401005
第五步,分析汇编代码。
这里存在一个JG跳转,它有点像if语句,下面还有一个JMP,有点像if-else指令,但是它的跳转是地址减量跳或往上跳,所以它是循环。
这时会发现while循环比刚才的多了一个跳转。我们会过计算机组成原理,当处理器执行跳转指令时,流水线会暂时挂起失效,本来流水线在取指令时已经准备预读后面的代码了,结果在译码过程中是个跳转,后面的代码预读就会出错,然后做流水线清理工作。所以,while循环有两跳对流水线的伤害比do-while大。
第六步,接着我们用高版本VS2019编译一个Release版本,并用IDA进行分析,看看高版本有什么优化。
查看Text View,我们定位到main函数之后,看看它做的优化。它把循环的起点对齐到十六进制10的倍数地址,中间会用nop进行空指令填充。同时,它的汇编循环体变成了do-while循环。
注意,前面的VC++ Debug版本用IDA工具打开如下图所示。上图和下图同样都是while循环,但低版本可以看到JG(往下跳)和JMP(往上跳)两个跳转,典型的while循环;而高版本的却修改成了do-while循环的形式。
问题1:由于do-while循环会执行一次循环体,难道它不担心编译器出错吗?
其实它比较的数值是常量,常量可以在编译期间预置其结果的,其实编译器在第一次的判断时先进行了一次常量传播,令n等于1,即判断的是 while(1<=100),比较1和100的关系条件必成立。
问题2:那么,如果将100替换成变量,编译器还能识别吗?或者会报错?
此时的编译器会将其进行转换,变成如下图所示的形式再执行do-while循环。其中if(n<=argc)条件判断嵌套一个循环。
对应的汇编代码如下,其中“jl short loc_401016”往下跳,还原成一个单分支,循环里面还有一个跳转“jle short loc_40100F”往上跳,满足do-while循环,最终还原成if加do-while,或者你知道有这个优化,直接还原成带变量的while循环也可以。
但需要注意,能不能把do-while直接还原成while循环,还需要看看这两个条件有没有相关性。如果有相关性才能还原,比如外层判断是文件的打开状态,while是迭代n值,这种情况不能还原。下图可以看到if和循环都是EAX参数比较,所以具有相关性。
3.for结构分析
下面开始分析for循环结构。
for(表达式1;表达式2;表达式3;)
{语句;
}
第一步,我们编写一个for循环代码。
#include "stdafx.h"
#include <stdlib.h>int main(int argc, char* argv[])
{int nSum = 0;for (int n = 1; n<=argc; n++){nSum = nSum + n;} printf("%d", nSum);system("pause");return 0;
}
第二步,编译生成新的Debug版可执行程序。
第三步,通过IDA打开运行的EXE程序“RE_XH.exe”。
产出了三个跳转代码,如下图所示。
其代码定式如下所示,可以看到JMP、JG和JMP三个跳转。注意,for循环中FOR_STEP地址是低于BODY执行体的地址的。
第四步,分析汇编代码。
首先MOV进行初始化赋值1,接着JMP跳转到比较部分,比较不成立则JG直接跳出循环,否则执行循环体BODY内容,接着继续JMP跳转上去执行n++操作。
注意,由于Release版本都被编译器优化成了do-while循环,所以我们需要在Debug版下进行对比。
第五步,通过VS2019生成Release版本,然后用IDA打开代码对比。
IDA打开如下图所示,发现和do-while一样,高版本做了一点小处理,每次循环总次数增加了4(add eax,4),从而提升效率。
这篇关于C++逆向分析之条件语句和循环语句的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!