Добавил:

Anonymhacker Опубликованный материал нарушает ваши авторские права? Сообщите нам.

Вуз:

Пензенский Государственный Университет

Предмет:

[НЕСОРТИРОВАННОЕ]

Файл:

книги хакеры / Майкл_Сикорски,_Эндрю_Хониг_Вскрытие_покажет!_Практический_анализ.pdf

Скачиваний:

Добавлен:

19.04.2024

Размер:

17.17 Mб

Скачать

☆

<<< < Предыдущая 17 18 19 20 21 22 23 24 25 26 27 2829 / 8629 30 31 32 33 34 35 36 37 38 39 40 41 > Следующая >>>

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
w				to	BUY			148 Часть II • Продвинутый статический анализ
w Click				to
w Click									o	m
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Анализ выражений switch

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Выражения switch используются программистами (и авторами вредоносного ПО) для принятия решений на основе символа или целого числа. Например, бэкдоры часто выбирают одно из нескольких действий в зависимости от однобайтного значения. Конструкция switch обычно компилируется двумя способами: по примеру условного выражения или как таблица переходов.

Компиляция по примеру условного выражения

В листинге 6.20 показана простая конструкция switch, которая использует переменную i. В зависимости от значения i будет выполнен код в соответствующем блоке case.

Листинг 6.20. Выражение switch с тремя вариантами на языке C

switch(i)

{

case 1:

printf("i = %d", i+1); break;

case 2:

printf("i = %d", i+2); break;

case 3:

printf("i = %d", i+3); break;

default:

break;

}

Выражение switch было скомпилировано в код на ассемблере, представленный

влистинге 6.21. Этот код содержит ряд условных переходов между и . Выбор каждого условного перехода выполняется с помощью сравнения, которое происходит непосредственно перед ним.

Выражение switch имеет три варианта: , и . Эти участки кода не зависят друг от друга благодаря безусловным переходам, ведущим в конец листинга (помочь

впонимании выражений switch должна схема, показанная на рис. 6.3).

Листинг 6.21. Код на ассемблере для выражения switch из листинга 6.20

00401013	cmp	[ebp+var_8], 1
00401017	jz	short loc_401027
00401019	cmp	[ebp+var_8], 2
0040101D	jz	short loc_40103D
0040101F	cmp	[ebp+var_8], 3
00401023	jz	short loc_401053
00401025	jmp	short loc_401067
00401027	loc_401027:
00401027	mov	ecx, [ebp+var_4]
0040102A	add	ecx, 1

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

hang

NOW!

BUY

Глава 6. Распознавание конструкций языка C в ассемблере 149

w Click

-x cha

Рис. 6.3. Схема дизассемблирования выражения switch из листинга 6.21 по примеру условных выражений

hang

NOW!

BUY

150

Часть II • Продвинутый статический анализ

w Click

-xcha

0040102D

push

ecx

0040102E

push

offset unk_40C000 ; i = %d

00401033

call

printf

00401038

add

esp, 8

0040103B

jmp

short loc_401067

0040103D

loc_40103D:

0040103D

mov

edx, [ebp+var_4]

00401040

add

edx, 2

00401043

push

edx

00401044

push

offset unk_40C004 ; i = %d

00401049

call

printf

0040104E

add

esp, 8

00401051

jmp

short loc_401067

00401053

loc_401053:

00401053

mov

eax, [ebp+var_4]

00401056

add

eax, 3

00401059

push

eax

0040105A

push

offset unk_40C008 ; i = %d

0040105F

call

printf

00401064

add

esp, 8

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

На рис. 6.3 код поделен на участки, которые выполняются после принятия того или иного решения. Три блока, , и , представляют непосредственно три варианта на основе выражений case. Заметьте, что каждый из них завершается нижним блоком, который отвечает концу функции. Эта схема демонстрирует три проверки, через которые должен пройти код, если var_8 больше 3.

Глядя на этот код, сложно (если вообще возможно) сказать, что представлял собой оригинальный исходный текст — конструкцию switch или последовательность выражений if. В обоих случаях код выглядит одинаково, поскольку оба выражения используют множество инструкций cmp и Jcc. Во время дизассемблирования не всегда есть возможность восстановить оригинальный код, так как одни и те же конструкции можно транслировать в ассемблер разными, но при этом корректными и равноценными способами.

Таблица переходов

Следующий пример ассемблерного кода часто можно встретить в больших смежных выражениях switch. Компилятор оптимизирует код, чтобы избежать слишком большого количества сравнений. Например, если в листинге 6.20 i равно 3, до выполнения третьего варианта будет сделано три разных сравнения. В листинге 6.22 мы добавили еще один вариант (вы можете убедиться в этом, сравнив два листинга), но сгенерированный ассемблерный код изменился до неузнаваемости.

Листинг 6.22. Выражение switch с четырьмя вариантами на языке C

switch(i)

{

case 1:

printf("i = %d", i+1); break;

case 2:

printf("i = %d", i+2);

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C			e	E
		X					E
	-							d
	F								t
	D								i
	D								r
P						NOW!			o
P
					BUY
Глава 6. Распознавание конструкций языка C в ассемблере 151				to	BUY
w Click				to						m
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

break; case 3:

printf("i = %d", i+3); break;

case 4:

printf("i = %d", i+3); break;

default:

break;

}

Влистинге 6.23 показан более эффективный ассемблерный код. В нем применя-

ется таблица переходов , которая определяет дополнительные сдвиги в памяти. Переменная switch используется в ней в качестве индекса.

Вэтом примере ecx содержит переменную switch, и в первой же строке из нее вычитается 1. В коде на C таблица переходов содержит диапазон от 1 до 4;

вассемблере он принимает вид от 0 до 3, чтобы таблицу можно было как следует проиндексировать. Определение подходящего варианта происходит в инструкции перехода .

Вэтой инструкции edx умножается на 4 и добавляется в конец таблицы переходов (0x401088), чтобы определить, к какому блоку следует перейти. Множитель 4 выбран в связи с тем, что каждый элемент таблицы представляет собой адрес размером 4 байта.

Листинг 6.23. Ассемблерный код для выражения switch из листинга 6.22

00401016	sub	ecx, 1
00401019	mov	[ebp+var_8], ecx
0040101C	cmp	[ebp+var_8], 3
00401020	ja	short loc_401082
00401022	mov	edx, [ebp+var_8]
00401025	jmp	ds:off_401088[edx*4]
0040102C	loc_40102C:
...
00401040	jmp	short loc_401082
00401042	loc_401042:
...
00401056	jmp	short loc_401082
00401058	loc_401058:
...
0040106C	jmp	short loc_401082
0040106E	loc_40106E:
...
00401082	loc_401082:
00401082	xor	eax, eax
00401084	mov	esp, ebp
00401086	pop	ebp

00401087	retn
00401087	_main	endp
00401088	off_401088	dd offset loc_40102C
0040108C		dd offset loc_401042
00401090		dd offset loc_401058
00401094		dd offset loc_40106E

Схема выражения switch этого вида, представленная на рис. 6.4, является более наглядной, чем стандартное окно дизассемблирования.

<<< < Предыдущая 17 18 19 20 21 22 23 24 25 26 27 2829 / 8629 30 31 32 33 34 35 36 37 38 39 40 41 > Следующая >>>

Соседние файлы в папке книги хакеры

#
19.04.2024396.03 Кб13Книга хакеры.pdf
#
19.04.202429.19 Mб17Колисниченко Д. Н. Хакинг на linux.pdf
#
19.04.20242.75 Mб15Криптография.pdf
#
19.04.202438.52 Mб17Курс_по_кибер_безопастности_Секреты_хакеров.pdf
#
19.04.20242.94 Mб16Линдер_Кани_Тим_Кук_Гений,_который_вывел_Apple_на_новый_уровень.pdf
#
19.04.202417.17 Mб18Майкл_Сикорски,_Эндрю_Хониг_Вскрытие_покажет!_Практический_анализ.pdf
#
19.04.20246.23 Mб16Михаил_Флёнов_Компьютер_глазами_хакера.pdf
#
19.04.20249.23 Mб16Питер_Гудлиф_Ремесло_программиста_Практика_написания_хорошего_кода.pdf
#
19.04.202413.63 Mб32Полный_мануал_по_кардингу_от_А_до.pdf
#
19.04.20241.21 Mб15Пособие_по_кардингу_Авторская_2021.pdf
#
19.04.202431.35 Mб23практический хакинг.pdf