详解main函数反汇编代码(超级详细)

末蓝、 2022-12-25 10:57 131阅读 0赞

一、前言  
为了弄清楚\*\*[缓冲区溢出攻击][Link 1]\*\*，先花大篇幅讲清楚main函数的反汇编代码是有必要的(见二、main函数的反汇编代码解析)。  
二、main函数的反汇编代码解析  
1.main函数的源代码  
![在这里插入图片描述][20201202105008844.png]  
2.main函数的反汇编代码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70]  
(1)前三行  
①lea 0x4(%esp),%ecx

> 解析：  
> 1）实现的功能：esp寄存器中的值(存的是地址，指向的是栈顶)+4，存入寄存器ecx。  
> 程序计数器(pc) : 0x8048484bb, **即将**要执行main函数  
> ![在这里插入图片描述][20201202110025172.png]  
> 此时esp, ecx的值如下：  
> ![在这里插入图片描述][20201202110213303.png]  
> 2）为啥要把esp+4后存入ecx？  
> **main函数是由一个\_start函数调用执行的。**  
> 此时esp指向的栈顶，内容属于\_start函数，为了在调用并执行完main函数后回到\_start函数继续执行，所以需要先保存一下esp。  
> 那么直接保存不就好了，为啥要esp+4呢？  
> 目前这点没找到有说服力的解释，我谈几点我的猜想：  
> 因为下一条汇编指令会改变esp的值，所以保存esp+a(之所以是+，是因为栈底是高地址，栈顶是低地址)，a取多少呢？由于是32位架构的，即4个Byte，故esp+4。  
> 我们来看看esp指向的栈顶，内容是啥。  
> ![在这里插入图片描述][20201202111307767.png]  
> 确实是一条指令，猜测是\_start函数的，但还未执行，就转去执行main函数了。故main函数执行完，需要返回到这条指令继续执行。

②and $0xfffffff0,%esp

> 解析：  
> 执行该指令之前，esp的值为0xbffff0ac, 没有与16字节对齐。  
> 未对齐的栈调用函数的后果是速度非常慢，因为16字节是x86上的缓存线宽。  
> 执行后，esp的情况如下：  
> ![在这里插入图片描述][20201202112718610.png]

③pushl -0x4(%ecx)

> 解析：  
> pushl表示双字(32位)压栈, 也即把ecx-4后压栈。  
> ecx-4的值即在未执行main函数之前，esp的值，如下所示：  
> ![在这里插入图片描述][20201202113529697.png]  
> 当时\_start函数的esp执行了这条指令，但是没有执行便调用执行main函数了，之后要返回这条指令进行执行\_start函数。  
> x/i 反汇编

**总结**：  
综合指令①~③即保存了\_start函数的返回地址，又实现了16字节对齐(为了效率)。

(2)剩余汇编代码解析  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 1]  
1）先讲个“**套路**”：  
函数调用(main函数也是被调用)，汇编代码中，首先要做的工作如下：  
①保存调用者的ebp(下文介绍功能)；(push %ebp)  
![在这里插入图片描述][20201202123923516.png]  
调用者\_start函数的ebp一开始为0(挺奇怪的)；

②将被调用者的esp存储到ebp；(mov %esp,%ebp)

> EBP存储着当前函数栈底的地址，栈低通常作为基址，我们可以通过栈底地址和偏移相加减来获取变量地址（很重要）。

![在这里插入图片描述][20201202124111304.png]  
从esp起，栈的内容属于main函数  
![在这里插入图片描述][20201202124218610.png]  
ebp存的就是main函数栈底的地址。

2）存疑点  
①push %ecx  
**为啥要保存ecx的内容？**  
\_start函数的返回地址已经通过“pushl -0x4(%ecx)”存到栈中了啊。ecx的内容已经没啥意义了。  
而且调用的foo01函数，就没有push %ecx。

> 3)⑥给了进一步解释

②sub $0x4,%esp  
在调用函数之前要传入参数到栈中，规则是**从右往左**。  
可foo01函数，并不需要传参啊，**为啥要分配4个字节呢？**  
在执行这条语句之前，esp的值为0xbffff094！！！**赶紧回忆上文提到的16字节对齐**

我猜测：因为接下来要调用foo01函数，为了使其栈对齐，而进行了sub $0x4,%esp。

执行该指令后，esp确实是16字节对齐的。  
![在这里插入图片描述][20201202125133430.png]  
(3）继续解析剩余汇编代码  
①call 0x804840b <foo01>

> 调用foo01函数

②mov $0x0,%eax

> 清零操作。在windows中，函数返回值都是放在eax中然后返回，外部从eax中得到返回值。这就代表return 0操作。

③add $0x4,%esp

> 调用完foo01函数了，不需要考虑其栈对齐了，对应于sub $0x4,%esp

④pop %ecx

> 对应与push %ecx

⑤pop %ebp

> 对应于push %ebp

⑥lea -0x4(%ecx),%esp

> 猜测 : 并不是通过pushl -0x4(%ecx)来返回的  
> 所以需要lea -0x4(%ecx),%esp的方式得到返回地址。

⑦ret

> 把esp指向的栈中的**数值**赋给eip(程序计数器)，回到\_start函数开始执行。  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 2]  
> 结合上文，不是00000025，而是0xbffff09c。

三、缓冲区溢出攻击  
再次强调，esp存的是内存地址，即指向栈顶。  
下一篇博客介绍的\*\*[缓冲区溢出攻击][Link 1]\*\*，即esp存的内存地址没变，但该地址指向的内容从返回地址变成了攻击者函数的入口地址。那么执行ret指令后，eip中就是攻击者函数的入口地址了。

四、参考文献  
1.[Understanding the purpose of some assembly statements][]  
2.[ret指令的原图][ret]

[Link 1]: https://blog.csdn.net/weixin_37477009/article/details/110443399
[20201202105008844.png]: /images/20221120/d2e5ef4c3ec94b3f9179b0a4e0ff7770.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70]: /images/20221120/5e2400a232464242aa19ffe28ccc7177.png
[20201202110025172.png]: /images/20221120/cbe450dcfba44beb80ef690a5ee9f01c.png
[20201202110213303.png]: /images/20221120/2f797d79b9a44665a37d9012e5092481.png
[20201202111307767.png]: /images/20221120/2f59880af1d842a5a22589cbf458b421.png
[20201202112718610.png]: /images/20221120/20b286e3ca4447dd8a8f6d2a21fa42f7.png
[20201202113529697.png]: /images/20221120/ef4cade3ad4446cfb62f5317a6a609b6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 1]: /images/20221120/4d8001ecb996416da493779df9034a0b.png
[20201202123923516.png]: /images/20221120/1a874fd3a53140949fdd48d0fa1959d1.png
[20201202124111304.png]: /images/20221120/43f972e6c14c493eb37291f56d26dfa1.png
[20201202124218610.png]: /images/20221120/d16e522cf3c147d388dc3ffead7f337b.png
[20201202125133430.png]: /images/20221120/2e4aebfb84a0440b8db6eaa9d9ac094f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zNzQ3NzAwOQ_size_16_color_FFFFFF_t_70 2]: /images/20221120/3af67efdc1bd430193206bba26ab0064.png
[Understanding the purpose of some assembly statements]: https://stackoverflow.com/questions/4228261/understanding-the-purpose-of-some-assembly-statements
[ret]: http://c.biancheng.net/view/3537.html