Последние пять ассемблерных инструкций реализуют деление с остатком. При выполнении инструкций div или idiv edx:eax делится на операнд; результат сохраняется в регистре eax, а остаток — в edx. Именно поэтому edx перемещается в var_8 .

Распознавание выражений if

Программисты используют выражения if для изменения хода выполнения программы в зависимости от определенных условий. Эти конструкции часто применяются в ассемблере и коде на языке C. В этом разделе мы рассмотрим простое и вложенное ветвление. Ваша цель — научиться распознавать разные виды выражений if.

В листинге 6.8 показано простое ветвление на языке C, а в листинге 6.9 оно транслировано в ассемблер. Обратите внимание на условный переход jnz . Конструкция if всегда подразумевает условный переход, но не все условные переходы соответствуют конструкциям if.

Листинг 6.8. Пример выражения if на языке C

int x = 1; int y = 2;

if(x == y){

printf("x equals y.\n"); }else{

printf("x is not equal to y.\n");

}

Листинг 6.9. Пример выражения if из листинга 6.8, транслированный в ассемблер

В листинге 6.9 видно, что перед входом внутрь выражения if (см. листинг 6.8) нужно принять определенное решение, которое соответствует условному переходу jnz . Выполнение перехода зависит от сравнения (cmp), которое проверяет равенство переменных var_4 и var_8 (var_4 и var_8 представляют переменные x и y из нашего исходного кода). Если значения не равны, происходит переход и код выводит строку "x is not equal to y.". В противном случае поток выполнения продолжается и на экран выводится строка "x equals y.".

Обратите также внимание на переход jmp, который минует участок else . Важно понимать, что программа может пройти только по одному из этих двух маршрутов.

Графический анализ функций с помощью IDA Pro

IDA Pro предоставляет графические инструменты, которые могут пригодиться при распознавании конструкций. На рис. 6.1 показано представление, которое используется по умолчанию для анализа функций.

Рис. 6.1. Схематическое представление ассемблерного кода для примера из листинга 6.9

Вы можете видеть схему кода на ассемблере в листинге 6.9. К концу функции ведут два разных пути выполнения, и , и каждый из них выводит свою строку. Путь отображает "x equals y.", а путь — "x is not equal to y.".

IDA Pro добавляет метки false и true в точках принятия решений (снизу от верхнего блока кода). Как можно догадаться, схематическое представление функций может здорово ускорить процесс обратного проектирования.

Распознавание вложенных выражений if

В листинге 6.10 показан код на языке C с вложенным выражением if. Он похож на листинг 6.8, но содержит два дополнительных условных выражения, которые проверяют, равно ли z нулю.

Листинг 6.10. Код на языке C с вложенными выражениями if

int x = 0; int y = 1; int z = 2;

if(x == y){ if(z==0){

printf("z is zero and x = y.\n"); }else{

printf("z is non-zero and x = y.\n");

}

}else{

if(z==0){

printf("z zero and x != y.\n"); }else{

printf("z non-zero and x != y.\n");

}

}

Несмотря на незначительное изменение исходного текста на языке C, код на ассемблере выглядит более сложным (листинг 6.11).

Листинг 6.11. Код на ассемблере для вложенного выражения if из листинга 6.10

Здесь присутствуют три условных перехода. Первый происходит в случае, если var_4 не равно var_8 . Остальные два становятся возможными, когда переменная var_C не равна нулю, и .

Распознавание циклов

Циклы и повторяемые задачи широко используются в любых программах. Важно, чтобы вы могли их распознать.

Поиск цикла for

Выражение for является базовым циклическим механизмом в языке C. Циклы for всегда состоят из четырех этапов: инициализации, сравнения, выполнения инструкций и инкремента/декремента.

Пример цикла for показан в листинге 6.12.

Листинг 6.12. Цикл for в языке C int i;

for(i=0; i<100; i++)

{

printf("i equals %d\n", i);

}

Вэтом примере во время инициализации переменной i присваивается 0 (ноль),

апри сравнении проверяется, является ли i меньше 100. Если i меньше 100, будет выполнена инструкция printf, переменная i будет инкрементирована на 1, и затем процесс опять выполнит ту же проверку. Эти шаги будут повторяться, пока i не превысит или не станет равно 100.

Вассемблере цикл for можно распознать по его четырем компонентам: инициализации, сравнению, выполнению инструкций и инкременту/декременту. Например,

в листинге 6.13 шаг соответствует инициализации. Код между и отведен для инкремента, который изначально переходит к шагу с помощью инструкции jmp. Сравнение происходит на шаге , а в условный переход принимает решение. Если переход не выполнится, будет вызвана инструкция printf, после чего в строке произойдет безусловный переход, который инициирует инкремент.

Цикл for можно распознать с помощью схематического режима IDA Pro, как показано на рис. 6.2.

Рис. 6.2. Схема дизассемблированного кода для цикла for из листинга 6.13