滴水逆向学习...

【reverse】逆向6 JCC

前言

我们之前学习的时候讲了，eip寄存器存储的是当前（即将执行的语句的） 指向地址

而我们之前提到的下断点（F2），就和我们编程中的下断点一样，执行到某句汇编指令然后停住

今天的课程的别名又叫作《修改eip》

1、JMP指令

JMP指令的作用类似于mov的作用，只不过mov不用用于eip寄存器，我们要通过jmp指令来操作eip寄存器

并且JMP指令只能作用于eip寄存器

如果我们跳转的位置距离当前位置小于128个字节，会加上short的关键字

如果大于128那么就不会写

JMP发生作用的时候，只会作用与eip寄存器

举个例子

这个时候，我们的eip存储的内存地址为

我们运行一下jmp指令，发现eip存储的内存地址为我们jmp的内存地址

2、CALL指令

call指令也会让eip跳转到想去的地址，但是call和jmp的区别就是，call跳转的时候，会将call到了ret时候下一个执行的汇编命令的地址存入堆栈中

举个例子

我们call（call到00401006）

call之前的eip和esp

call之前的堆栈

我们运行一下call指令（在00401006这里下断点）

运行完之后发现esp（栈顶）的地址-4，也就是堆栈存了一个4字节的数据，eip的地址跑到了我们call的地方

我们来看看堆栈存储的数据，存储了一个返回地址，这个地址是根据我们第一张图可以知道，是call语句之后的下一条语句

然后我们再再00401006上汇编一条retn语句

我们执行一下

发现我们的esp和eip也变了，esp的地址+4，说明pop了刚刚存储的返回地址，eip指向的就是刚刚的返回地址

我们看看堆栈的变化

堆栈当前的指针指向0019ff74，pop了上面的0019ff70

这就是call和retn的功能，retn的作用其实就相当于是pop eip，只不过不允许这么写

我们在用正向代码运行函数的时候，其实就是不断的存储返回地址到堆栈中，然后执行函数的功能，最后retn到原来的内存地址上

3、CMP指令

指令格式

cmp R/M,R/M/IMM

该指令是比较两个操作数，实际上，它相当于sub指令，但是相减的结构并不是保存到第一个操作数中

只是根据相减的结果来改变标志位的，当两个操作数相等的时候，ZF = 1

所以cmp的作用就是sub的作用而不该寄存器的值，仅仅是改变标志寄存器

cmp一般用于比较两个数是否相等

同时，我们可以观察SF位，如果SF = 1，那么说明第一个数据比第二个数据小，反之成立

当然cmp不仅仅可以比较两个通用寄存器，同时也可以比较寄存器和一块内存地址存储的数据（前提是 数据宽度一样）

cmp eax,ecx
cmp eax,dword ptr ds:[405000]

我们进行一个测试

首先给eax和ecx分别赋值0x1和0x2，然后给所有的标志寄存器置0

然后运行cmp汇编指令，标志寄存器结果如下

cf = 1因为0x1-0x2产生了借位

pf = 1因为得到的结果是ffff ffff，最低有效字节是ff，换成2进制，1111 1111，有偶数个1，所以置1

af = 1因为辅助位借位了

zf = 0因为相减结果是ffff ffff不为0

sf = 1因为符号位是1

of = 0 因为没有溢出

4、TEST值指令

指令格式：

TEST R/M,R/M/IMM

该指令在逻辑程度上和CMP指令类似，两个数值进行 与 操作，结果不保存，仅仅改变标志位

常见用法：

判断某个寄存器是否等于0

# 判断eax是否存值为0
test eax,eax

举个例子

我们把eax置0，把标志位寄存器全部置0

然后运行汇编

得到结果如下

cf = 0 因为与运算没有进位或借位

pf = 1 因为结果结果为0000 0000，最低有效字节是00，有0（偶数）个1，所以为1

af = 0 因为与运算没有进位或借位

zf = 1 因为结果为0

sf = 0 因为符号位就是0

of = 0 因为没有溢出

5、JCC

JCC说白了就是不同情况下的jmp，根据标志寄存器来跳转

先理解，然后背诵

JCC只与符号标志位有关，不影响堆栈、不影响寄存器

JE、JZ

je = jump if equal

jz = jump if zero

ZF = 1 跳转

结果为0则跳转（相等时跳转）

JNE、JNZ

jne = jump if not equal

jnz = jump if not zero

ZF = 0 跳转

结果不为0则跳转（不相等时跳转）

JS

js = jump if SF

SF = 1 跳转

结果为负数则跳转

JNS

JNS = jump if not SF

SF = 0 跳转

结果为正数则跳转

JP、JPE

JP = jump if PF

JPE = jump if even （偶数）

PF = 1 跳转

结果中最低有效字节中1的个数为偶数则跳转

JNP、JPO

JNP = jump if not PF

JPO = Jump if odd（奇数）

PF = 0 跳转

结果中最低有效字节中1的个数为奇数则跳转

JO

JO = jump if OF

OF = 1 跳转

有溢出就跳转

JNO

JNO = jump if not OF

OF = 0 跳转

没有溢出就跳转

JC、JB、JNAE

存jump if carry;jump if below;jump if not above equal

一般是与cmp一起用

mov ax,2
cmp ax,3 # 比较ax的值和3
jb next # 小于就转到next

大于则跳转（无符号数）

CF = 1跳转

JNC、JNB、JAE

jump if not carry;jump if not below;jump if above equal

大于等于则跳转（无符号数）

CF = 0 跳转

JBE、JNA

​ jump if below equal;jump if not above

小于等于则跳转（无符号数）

CF = 1 or ZF =1

JNBE、JA

​ jump if not below equal;jump if above

大于则跳转（无符号数）

CF = 0 and ZF = 0

JL、JNGE

​ jump if less;jump if not greater equal jump

小于则跳转（有符号数）

SF != OF

JNL、JGE

​ jump if not less;jump if greater equal

大于等于则跳转（有符号数）

SF = OF

JLE、JNG

​ jump if less equal;jump if not greater

小于等于则跳转（有符号数）

ZF = 1 or SF != OF

JNLE、JG

​ jump if not less equal;jump if greater

大于则跳转（有符号数）

ZF = 0 and SF = OF

6、JCC总结

JCC指令	中文含义	英文原意	检查符号位	典型C应用
JZ/JE	若为0则跳转；若相等则跳转	jump if zero;jump if equal	ZF=1	if (i == j);if (i == 0);
JNZ/JNE	若不为0则跳转；若不相等则跳转	jump if not zero;jump if not equal	ZF=0	if (i != j);if (i != 0);
JS	若为负则跳转	jump if sign	SF=1	if (i < 0);
JNS	若为正则跳转	jump if not sign	SF=0	if (i > 0);
JP/JPE	若1出现次数为偶数则跳转	jump if Parity (Even)	PF=1	(null)
JNP/JPO	若1出现次数为奇数则跳转	jump if not parity (odd)	PF=0	(null)
JO	若溢出则跳转	jump if overflow	OF=1	(null)
JNO	若无溢出则跳转	jump if not overflow	OF=0	(null)
JC/JB/JNAE	若进位则跳转；若低于则跳转；若不高于等于则跳转	jump if carry;jump if below;jump if not above equal	CF=1	if (i < j);
JNC/JNB/JAE	若无进位则跳转；若不低于则跳转；若高于等于则跳转；	jump if not carry;jump if not below;jump if above equal	CF=0	if (i >= j);
JBE/JNA	若低于等于则跳转；若不高于则跳转	jump if below equal;jump if not above	ZF=1或CF=1	if (i <= j);
JNBE/JA	若不低于等于则跳转；若高于则跳转	jump if not below equal;jump if above	ZF=0或CF=0	if (i > j);
JL/JNGE	若小于则跳转；若不大于等于则跳转	jump if less;jump if not greater equal jump	SF != OF	if (si < sj);
JNL/JGE	若不小于则跳转；若大于等于则跳转；	jump if not less;jump if greater equal	SF = OF	if (si >= sj);
JLE/JNG	若小于等于则跳转；若不大于则跳转	jump if less equal;jump if not greater	ZF != OF 或 ZF=1	if (si <= sj);
JNLE/JG	若不小于等于则跳转；若大于则跳转	jump if not less equal;jump if greater	SF=0F 且 ZF=0	if(si>sj)