滴水逆向学习笔记(一)

1
2
3
4
5
6
7
8
9
10

0x00000000	
0x00000001	
0x00000002	
....	
....	
....	
....	
....	
....	
0xFFFFFFFF	

1

堆栈的优点：临时存储大量的数据，便于查找.

1
2
3
4
5
6
7
8
9
10
11
12
13

1、BASE,TOP是2个32位的通用寄存器，里面存储的是内存单元编号(内存地址).

2、BASE里面存储了一个地址，记录的起始地址.

3、TOP里面也存储了一个地址，记录的是结束的地址.

4、存入数据的时候，TOP的值减4(为方便演示，每次存取都是4个字节)

5、释放数据的时候，TOP的值加4(为方便演示，每次存取都是4个字节)

6、如果要读取中间的某个数据的时候可以通过TOP 或者 BASE 加上偏移的方式去读取

7、这种内存的读写方式有个学名：堆栈

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

MOV r/m8,r8 			    r 通用寄存器	

MOV r/m16,r16				m 代表内存	

MOV r/m32,r32				imm 代表立即数	

MOV r8,r/m8			    	r8 代表8位通用寄存器	

MOV r16,r/m16				m8 代表8位内存	

MOV r32,r/m32				imm8 代表8位立即数	

MOV r8, imm8					

MOV r16, imm16					

MOV r32, imm32			

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

1、内存格式						
						
		        7	       0			
				[0x00000000]		1、每个内存单元的宽度为8
					...	
					               	2、[编号]称为地址
				    ...		
						            3、地址的作用：当我们想从内存中读取数据或者想向内存中写入数据，首先应该找到要读、写的位置。就像写信要写地址一样。
                [0xFFFFFFFF]		
						
						
2、从指定内存中写入/读取数据						
						
		mov dword ptr ds:[0x0012FF34],0x12345678				
						
		mov eax,dword ptr ds:[0x0012FF34]				
						
		dword ：要读/写多少  此时是4字节   byte == 1字节  word == 2字节				
						
		ptr: Point 代表后面是一个指针 (指针的意思就是里面存的不是普通的值，而是个地址)				
						
		ds：段寄存器 先不用管 记住就行				
						
		0x0012FF34:内存编号，必须是32位的  前面0可以省略				
						
		注意：地址编号不要随便写，因为内存是有保护的，并不是所有的内存都可以直接读写(需要特别处理)				
						
		建议地址编号写成esp的值				

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

ADD AL, imm8 

ADD AX, imm16

ADD EAX, imm32

ADD r/m8, imm8

ADD r/m16,imm16

ADD r/m32,imm32

ADD r/m16, imm8

ADD r/m32, imm8

ADD r/m8, r8

ADD r/m16, r16

ADD r/m32, r32

ADD r8, r/m8

ADD r16, r/m16

ADD r32, r/m32

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

SUB AL, imm8 

SUB AX, imm16

SUB EAX, imm32

SUB r/m8, imm8

SUB r/m16,imm16

SUB r/m32,imm32

SUB r/m16, imm8

SUB r/m32, imm8

SUB r/m8, r8

SUB r/m16, r16

SUB r/m32, r32

SUB r8, r/m8

SUB r16, r/m16

SUB r32, r/m32

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

AND AL, imm8

AND AX, imm16

AND EAX, imm32

AND r/m8, imm8

AND r/m16,imm16

AND r/m32,imm32

AND r/m16, imm8

AND r/m32, imm8

AND r/m8, r8

AND r/m16, r16

AND r/m32, r32

AND r8, r/m8

AND r16, r/m16

AND r32, r/m32

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

OR AL, imm8

OR AX, imm16

OR EAX, imm32

OR r/m8, imm8

OR r/m16,imm16

OR r/m32,imm32

OR r/m16, imm8

OR r/m32, imm8

OR r/m8, r8

OR r/m16, r16

OR r/m32, r32

OR r8, r/m8

OR r16, r/m16

OR r32, r/m32

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

XOR AL, imm8

XOR AX, imm16

XOR EAX, imm32

XOR r/m8, imm8

XOR r/m16,imm16

XOR r/m32,imm32

XOR r/m16, imm8

XOR r/m32, imm8

XOR r/m8, r8

XOR r/m16, r16

XOR r/m32, r32

XOR r8, r/m8

XOR r16, r/m16

XOR r32, r/m32

1
2
3
4
5

NOT r/m8

NOT r/m16

NOT r/m32

1
2
3
4
5

LEA EAX,DWORD PTR DS:[EAX+ECX*4]

LEA EAX,DWORD PTR DS:[0X13FFC4]

LEA EAX,DWORD PTR DS:[ESP+8]

1
2
3
4
5
6
7
8
9

PUSH r32

PUSH r16

PUSH m16

PUSH m32

PUSH imm8/imm16/imm32

1
2
3
4
5
6
7

POP r32
	
POP r16
	
POP m16
	
POP m32

1
2
3
4
5
6
7

				
	MOV EIP,寄存器/立即数   简写为   JMP 寄存器/立即数			
				
```				
### CALL指令			
#### 作用：使EIP(即下一跳的值)修改成某个内存地址,和jmp的区别是，jmp只会直接跳到指定位置，call则会先把下一个汇编指令保存到堆栈中
#### 用法：

1
2
3
4
5
6
7

### RET指令
#### 作用：修改EIP值(和call差不多) 取之前call保存的地址，然后返回。
#### 用法：
```				
LEA ESP,[ESP+4]			
				
MOV EIP，[ESP-4]			简写为：RET

1

CMP  R/M,R/M/IMM			

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

TEST  R/M,R/M/IMM			
			
与的操作表项如下：			
				
1 and 1 = 1			
			
1 and 0 = 0			
			
0 and 1 = 0			
			
0 and 0 = 0			
			
常见用法：用这个指令,可以确定某寄存器是否等于0。			
				
TEST EAX,EAX			观察Z位
				
但是如果EAX的二进制某些位为1的话,那么运算的结果就不为零。