Почему? Да просто данная процедура подсчета контрольной суммы (или точнее хеш-суммы) очень типична. Впрочем, не стоит всегда полагаться на свою интуицию и «угадывать» код, хотя это все же сильно ускоряет анализ.

С другой стороны, хакер без интуиции — это не хакер. Давайте применим нашу интуицию, чтобы «вычислить», что представляет собой код следующей команды. Вспомним, что 0B4h (10110100b) — это MOV AH,imm8.

0BEh очень близко к этому значению, следовательно, это операция MOV. Осталось определить регистр-приемник. Рассмотрим обе команды в двоичном виде:

Как уже говорилось выше, младшие три бита — это код регистра. Однако, его невозможно однозначно определить без утончения размера операнда. Обратим внимание на третий (считая от нуля) бит. Он равен нулю для AH и единице в нашем случае. Рискнем предположить, что это и есть бит размера операнда, хотя этого явно и не уточняет Intel, но вытекает из самой архитектуры команд и устройства декодера микропроцессора.

Обратим внимание, что это, строго говоря, частный случай, и все могло оказаться иначе. Так, например, четвертый справа бит по аналогии должен быть флагом направления или знакового расширения, но увы — таковым в данном случае не является. Четыре левые бита это код операции 'mov reg,imm'. Запомнить его легко — это «13» в восьмеричном представлении.

Итак, 0BEh 03Bh 001h — это MOV SI,013Bh. Скорее всего, 013bh — это смещение, и за этой командой последует расшифровщик очередного фрагмента кода. А может быть и нет — это действительно смелое предположение. Однако, байты 030h 024h это подтверждают. Хакеры обычно так часто сталкиваются с функций xor, что чисто механически запоминают значение ее кода.

Не трудно будет установить, что эта последовательность дизассемблируется как XOR [SI],AH. Следующий байт 046h уже нетрудно «угадать» — INC SI. Кстати, посмотрим, что же интересного в этом коде:

Третий бит равен нулю! Выходит команда должна выглядеть как INC AH! (Что кстати, выглядит непротиворечиво смысле дешифровщика). Однако, все же это INC SI. Почему мы решили, что третий бит — флаг размера? Ведь Intel этого никак не гарантировала! А команда 'INC byte' вообще выражается через дополнительный код, что на байт длиннее.

Выходит, что как ни полезно знать архитектуру инструкций, все же таблицу кодов команд хотя бы местами надо просто выучить. Иначе можно впасть в глубокое заблуждение и совершить грубые ошибки. Хотя с другой стороны, знание архитектуры порой очень и очень помогает.

Kris

1 2 3 4 5

На этой странице вы можете бесплатно читать книгу Тонкости дизассемблирования - Kaspersky Kris бесплатно.

Похожие на Тонкости дизассемблирования - Kaspersky Kris книги

Программирование на Python с нуля - Максим Кононенко - Программирование
97 этюдов для архитекторов программных систем - Нил Форд - Программирование
Python для детей. Анимация с черепашьей графикой - Виктор Рабинович - Прочая детская литература / Программирование
Сделай видеоигру один и не свихнись - Слава Грис - Программирование / Руководства
Каждому проекту своя методология - Алистэр Коуберн - Программирование
QA Engineer - Михаил Семынин - Маркетинг, PR, реклама / Программирование / Справочники
Путеводитель в мир ручного тестирования: Открытие двери в тестирование программного обеспечения - Максим Струков - Детская образовательная литература / Маркетинг, PR, реклама / Программирование
C++. Сборник рецептов - Д. Стефенс - Программирование
Экстремальное программирование. Разработка через тестирование - Кент Бек - Программирование
Программирование для Linux. Профессиональный подход - Марк Митчелл - Программирование

Оставить комментарий