纸翼

1. 通用寄存器（数据操作核心）#

通用寄存器用于存储数据、地址、参数等，32位寄存器可拆分为16位/8位子寄存器（如EAX→AX→AH/AL），逆向中需关注子寄存器的操作（如单字节/双字节数据处理）。

逆向关键：

• EAX是逆向中最常关注的寄存器（函数返回值、运算结果、系统调用号）；
• EBP/ESP是栈帧分析的核心，通过EBP+偏移定位参数，EBP-偏移定位局部变量；
• ESI/EDI是字符串/内存操作的专属寄存器，REP指令依赖这两个寄存器+ECX（长度）。

2. 段寄存器（内存寻址辅助）#

段寄存器在保护模式下用于定位内存段，逆向中需重点关注FS寄存器（关联TEB/PEB）：

3. 指令指针寄存器（执行流核心）#

逆向关键：EIP无法直接修改（仅能通过JMP/CALL/RET/INT等指令间接修改），是控制流分析的核心。

4. 标志寄存器（状态判断核心）#

标志寄存器（EFLAGS）存储指令执行后的状态，是条件跳转（Jcc）、条件移动（CMOVcc）的判断依据，核心标志位如下：

1. 段结构（保护模式下）#

1
; 典型NASM格式结构
2
section .data       ; 数据段：只读/可读写常量（全局变量、字符串、常量）
3
    msg db "hello",0x00
4
    num dd 123      ; 4字节整型常量
5

6
section .bss        ; 未初始化数据段：逆向中常为全局未初始化变量
7
    buf resb 100    ; 预留100字节缓冲区
8

9
section .text       ; 代码段：指令执行区，逆向核心分析区域
10
    global _start   ; 入口点（Linux）/ main（Windows）
11
_start:
12
    ; 指令执行流
13
    mov eax, 1      ; sys_exit调用
14
    int 0x80        ; 系统调用

2. 逆向视角的结构要点#

• 数据段（.data/.rdata）：逆向中通过常量、字符串定位功能（如错误提示、密钥）；
• 代码段（.text）：指令的机器码与汇编对应，是反汇编、动态调试的核心；
• 栈段（stack）：运行时动态分配，存储局部变量、函数调用上下文，逆向中需跟踪栈帧变化。

1. 数据传输指令（逆向最基础、最高频）#

数据传输指令负责在寄存器、内存、立即数间移动数据，逆向中需关注数据流向（如参数传递、加密数据搬运）。

逆向示例：

1
lea eax, [ebp+var_4]  ; 计算局部变量var_4的地址（而非取值）
2
movsx ebx, byte ptr [eax] ; 单字节符号扩展为4字节（处理负数）

2. 算数运算指令（逆向中加密/校验/数值计算核心）#

逆向关键：

• IMUL/DIV常出现在加密算法（如RC4、AES）的数值计算；
• ADC/SBB用于大数运算（如64位以上整数加减，逆向中关注CF标志）；
• INC/DEC不影响CF，需注意与ADD reg,1的区别（后者影响CF）。

3. 位操作指令（逆向中加密/压缩/硬件交互核心）#

逆向示例：

1
xor eax, eax        ; 快速清零寄存器（比mov eax,0更高效）
2
shl ebx, 3          ; 等价于ebx *= 8（逆向中识别乘除优化）
3
bt ecx, 7           ; 测试ecx第7位是否为1（结果存CF）

4. 逻辑比较指令（控制流分支的基础）#

比较指令本质是“减法但不保存结果，仅更新标志位”，逆向中需结合标志位分析分支条件。

逆向关键：

• TEST eax, eax：快速判断eax是否为0（等价于CMP eax,0，更高效）；
• CMP后紧跟Jcc（条件跳转），是逆向中分析分支逻辑的核心；
• SCAS常用于字符串长度计算、内存数据校验（如缓冲区对比）。

5. 控制转移指令（逆向中分析执行流的核心）#

控制转移指令改变EIP（指令指针），分为无条件跳转、条件跳转、函数调用/返回三类：

6. 栈操作指令（逆向中栈帧分析核心）#

栈是x86逆向的核心（函数调用、局部变量、参数传递均依赖栈），栈操作指令需结合栈帧结构分析：

逆向核心：栈的生长方向为高地址→低地址，ESP始终指向栈顶，EBP为栈帧基址（逆向中通过EBP偏移定位参数/局部变量）。

7. 字符串操作指令（逆向中字符串处理/内存拷贝核心）#

字符串指令通过ESI（源地址）、EDI（目的地址）、ECX（长度）、EAX（比较值）配合，批量处理内存数据，逆向中常出现在字符串拷贝、加密、校验场景：

逆向示例：

1
; 等价于memset(edi, 0, ecx)
2
xor eax, eax    ; 填充值为0
3
rep stosb       ; 重复将AL写入[EDI]，ECX次，EDI自动递增

1. 核心结构关系#

• PEB：位于进程地址空间（32位：0x7FFDF000），存储进程基本信息（如是否调试、模块列表）；
• TEB：每个线程独有（32位：FS:[0]指向TEB），TEB偏移0x30指向PEB；
• 关键偏移（32位Windows）：

  1
  TEB + 0x30 → PEB
  2
  PEB + 0x02 → BeingDebugged（1字节，调试时为1）
  3
  PEB + 0x68 → Ldr（模块加载器）
  4
  PEB + 0x10 → ProcessHeap（进程堆）

2. 基于TEB/PEB的反调试方法（逆向需识别）#

3. 逆向应对思路#

• 动态调试：修改BeingDebugged标志为0，或Hook相关内存访问；
• 静态分析：识别FS:[0x30]、PEB偏移访问指令，定位反调试分支。

1. 函数的标准汇编结构（32位x86，以Stdcall为例）#

一个完整的函数在汇编层面分为函数序言、函数体、函数尾声三部分，逆向中可通过这三部分快速识别函数边界：

逆向示例：标准函数结构汇编代码

1
; 函数：int Add(int a, int b) （Stdcall调用约定）
2
Add:
3
    ; 函数序言
4
    push ebp         ; 保存旧EBP
5
    mov ebp, esp     ; 建立新栈帧
6
    sub esp, 0x4     ; 分配1个局部变量（4字节）空间
7
    push esi         ; 保护非易失性寄存器ESI
8

9
    ; 函数体
10
    mov eax, [ebp+8]  ; 读取参数a（EBP+8为第一个参数）
11
    mov esi, [ebp+12] ; 读取参数b（EBP+12为第二个参数）
12
    add eax, esi      ; a + b，结果存EAX（返回值）
13
    mov [ebp-4], eax  ; 临时存入局部变量（可选）
14

15
    ; 函数尾声
16
    pop esi          ; 恢复ESI
17
    mov esp, ebp     ; 销毁局部变量空间（ESP回到EBP）
18
    pop ebp          ; 恢复旧EBP
19
    retn 0x8         ; 返回，平衡栈（参数a+b共8字节，Stdcall由被调用者平衡）

2. 函数嵌套堆栈结构（32位x86）#

以“函数A调用函数B，B有2个局部变量、2个参数”为例，栈帧结构（高地址→低地址）：

3. 函数调用约定（逆向中识别参数传递/栈平衡）#

调用约定决定参数传递顺序、栈平衡责任、寄存器使用，是逆向中还原函数原型的关键：

逆向识别要点：

• Cdecl：函数返回后调用者执行ADD ESP, n平衡栈；
• Stdcall：函数返回时执行RETN n（n为参数总字节数）；
• Fastcall：优先看ECX/EDX是否传递参数；
• Thiscall：C++代码中ECX在函数开头赋值，大概率为this指针。

1. 高级应用场景#

• 无分支条件判断：通过CMOVcc/SETcc指令替代Jcc，减少分支（反调试/壳常用）：

  1
  ; 等价于if (eax == 0) ebx = 1; else ebx = 2;
  2
  xor ecx, ecx
  3
  cmp eax, 0
  4
  mov ecx, 2
  5
  cmovz ecx, 1  ; ZF=1时，ecx=1
  6
  mov ebx, ecx

• 大数运算校验：ADC/SBB结合CF标志实现64位以上整数运算，逆向中需跟踪CF的传递；
• 溢出检测：JO指令捕获有符号运算溢出（如int32超出范围），逆向中识别异常处理逻辑；
• 反调试混淆：故意修改标志位（如CLI/STI修改IF标志），干扰调试器跟踪。