[转组第6天] | 流程控制语句的识别

2018-05-03

《C++反汇编和逆向技术》第五章　　流程控制语句的识别读书笔记（写了半天没保存，全没了，慢慢补充）

　　1.if语句块

　　if语句块的功能是先对运算条件进行比较，然后根据比较结果选择对应的语句块来执行。

cmp    dword ptr[ebp+8],0
jne    main+2Fh(0040103f) 
C语言中if语句argc == 0,对应汇编if是jne（不等于0则跳转）

总结：
;先执行各类影响标志位的指令
;其后是各种条件跳转指令
jxx    xxxx

　　汇编语言的if语句跟C语言中if语句是相反的，因为按照C语言中if语句的规定，满足if判定的表达式才能执行if的语句块，而汇编语言的条件跳转却是满足某条件则跳转，绕过代码块。

　　既然这样，为什么C语言编译器不将else语句块提到前面呢？

　　因为C语言是根据代码行的位置来决定编译后的二进制代码的地址高低的，也就是说，低行数对应低地址，高行数对应高地址，所以有时会使用标号相减得到代码段的长度。鉴于此，C语言的编译器不能随意改变代码行在内存中的顺序。

　　【CMP指令 对两个操作数进行一次减法操作。涉及到的标志位：

　　　　CF: 是否有进位或借位操作

　　　　ZF: 0标志位，就是结果是否为0

　　　　OF: 溢出标志位，计算机结果是否溢出了，只有有符号数才会溢出

　　　　SF: 符号位，0为正，1为负。】

　　【有符号数与无符号数比较后，使用的跳转指令不同。这是由于无符号数只考虑CF,ZF。无符号数还要考虑SF,OF。

　　　　如果比较指令是ja/jae/jb/jbe,是无符号数的比较。

　　　　如果比较指令是jg/jge/jl/jle.是有符号数的比较。】

　　

　　2.if...else语句块

cmp    dword ptr [ebp+8],0
jne    IfElse+2Dh      ;跳转到else语句块
...    ;if语句块
jmp    IfElse+3Ah    ;跳转过else块
...    ;else语句块

总结：
;先执行影响标志位的相关指令
    jxx    ELSE_BEGIN
IF_BEGIN:
    ......    ;if语句块内的执行代码
IF_END:
    jmp    ELSE_END
ELSE_BEGIN:
    ......    ;else语句块内的执行代码
ELSE_END:

　　

　　3.if...else_if...else语句块

cmp    dword ptr [ebp+8],0
jle    IfElseIf+2Dh      ;跳转到下一个else if语句块
...    ;if语句块
jmp    IfElse+4Fh    ;跳到end
cmp    dword ptr [ebp+8],0
jne    IfElseIf+42h       ;跳转到else语句块
...    ;elseif语句块
jmp    IfElse+4Fh    ;跳到end
...    ;else语句块

总结：
;先执行影响标志位的相关指令
    jxx    ELSE_IF_BEGIN
IF_BEGIN:
    ......    ;if语句块内的执行代码
IF_END:
    jmp    END
ELSE_IF_BEGIN:
;可影响标志位的指令
    jxx    ELSE_BEGIN
    ......    ;else if语句块内的执行代码
ELSE_IF_END:
    jmp    END
ELSE_BEGIN:
    ......    ;else语句块内的执行代码
END:

　　

　　4. switch的真相

 　　switch是比较常用的多分支结构，使用起来非常方便，并且效率上也高于if...else if多分支结构。

　　case语句不超过3条的switch多分支结构：

cmp    dword ptr [ebp-8],1
je    SwitchIf+4Ah    ;跳转到case1代码块
cmp    dword ptr [ebp-8],3
je    SwitchIf+59h    ;跳转到case3代码块
cmp    dword ptr [ebp-8],100
je    SwitchIf+68h    ;跳转到case100代码块
jmp    end
...    ;case1代码块
jmp    end
...    ;case3代码块
jmp    end
...    ;case100代码块
end
注意：switch的条件跳转指令跟C语言语句本身是一致的

　　上述代码片段显示switch语句使用了3次条件跳转指令，如果成功则跳转到相应的执行代码块中。这种结构与if...else if多分支结构很相似，不过也有明显的区别：

　　通过对比可以发现，if...else if会在每个条件跳转后紧跟语句块；而switch结构则将所有的条件跳转放置在一起，并且所有case语句块也都是连在一起放置的。这样做是为了实现C语法的要求，当case中没有break语句是，顺序执行后续case语句。[两个跳转地址之间就是一个case语句块]

　　在switch分支数小于4时，VC++6.0采用模拟if...else if的方法。这样做并没发挥出switch的优势，在效率上也没有if...else if强。

　　分支数大于3，并且case的判定值存在明显的线性组合关系时：

　　

　　代码中为case语句制作了一份case地址表。这个数组保存了每个case语句块的首地址，并且数组的下标从0开始。而case中最小值是1，所有需要对edx减1调整，使其与地址表下标对应寻址。当然，如果case最小值是0，则不需要调整。

　　

　　在进入switch后会先进行一次比较，检查输入的数值是否大于case值的最大值，如果大于则跳转到default。看00401128地址处case采用比例因子寻址。

　　

　　case块还是连续放置的。实际没有case4块，为了达到线性有序，编译器将以switch结束地址或default语句块的首地址填充。

　　

　　如果每两个case值之间的差值小于等于6，并且case语句数大于等于4，编译器就会形成这种线性结构。而且在便携式无需有序排列case值，编译器会在编译过程中对case线性地址表进行排序。如case顺序3，2，1，4，5，在地址表中也是，1，2，3，4，5。

　　5. 难以构成跳转表的switch

　　对于非线性的switch结构，可以采用制作索引表的方法来优化。索引表需要两张表：一张为case语句块地址表，另一张为case语句块索引表。

　　地址表中每一项保存一个case语句块的首地址，有几个case语句块就有几项。deault语句块也在其中，这个结束地址只会保存一份，不会像有序线性地址表那样，重复填充switch结束地址。

　　索引表中保存地址表的编号，它的大小等于最大case值和最小case值的差。当差值大于255时，这种优化方式也会很浪费空间，可通过树方式优化，下文再讲。

　　比如把上面case7改成case15，如果还用有序线性方式优化，则需要把7-15都填充成switch结束地址。很浪费空间。所以采用二次查表法：

　　

　　索引表中保存了地址表的下标值。索引表中最多可以存储256项，每项的大小为1个字节，这决定了case值不能超过1字节的最大表示范围（0-255）。

　　跟线性地址表相比，制作索引表更节省空间，但是由于查两次表，因此效率会有所下降。【虽然索引表和线性地址表都是连续空间，但索引表单位时1字节，线性地址表单位是4字节，所以还是节省空间的】

　　占用总字节数 = （（MAX - MIN） * 1字节）+ （SUM * 4字节）

　　

　　6. switch降低判定树的高度

　　当最大case值与最小case值之差大于255，超出索引1字节的表达范围时，上述优化方案同样会造成空间的浪费。此时采用另一种优化方案——判定树：将每个case值作为一个节点，从这些节点中找到一个中间值作为根节点，以此形成一棵平衡二叉树，以每个节点为判定值，大于和小于关系分别对应左子树和右子树，这样可以提高效率。

　　如果打开O1选项——体积优先，由于有序线性优化和索引表优化都需要消耗额外的空间，因此在体积优先的情况下，这两种优化方案是不被允许的。编译器尽量以二叉判定树的方式来降低程序占用的体积。

　　

　　其对应汇编代码会二分查找，先cmp 10分边再比较两边。

　　

　　从图中发现，这棵树的左右两侧并不平衡。进行树平衡的效率低于if...else。这时，编译器采取的策略是，当树中的叶子节点数小于等于3时，就会转换形成一个if...else结构。

　　如果向左子树插入一个叶子节点10000时，左子树叶子节点大于4。此时if else转换已经不适合，优先查看是否可以匹配有序线性优化、非线性索引表优化，如果可以就转换，如果不行，继续使用判定树。

　　在Release版下，使用IDA查看编译器是如何优化的，如下图：

　　

　　根据流程走向可以看出，有一个根节点，左边多分支结构很像一个switch，而右边则是一个多次比较判断，跟if...else类似。

　　总结：为了降低树的高度，在树的优化过程中，检测树的左子树或右子树能否满足if else优化、有序线性优化、非线性索引优化，利用这三种优化来降低树高度。选择哪种优化也是有顺序的，谁的效率最高，又满足其匹配条件，就可以被优先使用。以上三种优化都无法匹配，就会选择使用判定树。

　　

　　7. do/while/for的比较

　　do循环：

...    ;do循环语句块内的执行代码
cmp    edx, dword ptr [ebp -8]
jle    LoopDo+26h(0040b4e6)    ;向上跳转到do循环体，且条件跳转指令比较和C语句是一致的
end

总结：
DO_BEGIN:
    ......    ;循环语句块
;影响标记位的指令
jxx    DO_BEGIN    ;向上跳转

　　与if语句区别：if语句的比较是相反的，并且跳转地址大于当前代码的地址，是一个向下跳转的过程；而do中跳转逻辑小于当前代码的地址，是一个向上跳转的过程，所以条件跳转的逻辑与源码中的逻辑相同，且条件跳转指令比较和C语句是一致的。

　　

　　while循环：

　　while循环和do循环正好相反，在执行循环语句块之前那，必须要进行条件判断，根据比较结果再选择是否执行循环语句块。

总结：
WHILE_BEGIN:
;影响标志位的指令
 jxx    WHILE_END    ;条件成立跳转到循环语句块结尾处
......    ;循环语句块
jmp    WHILE_BEGIN    ;向上跳转
WHILE_END:

　　注意：while比较与if语句一样，也是比较相反，向下跳转。while循环结构中使用了两次跳转指令完成循环，比do循环多一次跳转，因此效率会低一点。

　　需要注意的是，while循环结构很可能被有化成do循环结构，如下：

if (xxx)
{
    do
    {
        //....
    }while(xxx)
}

　　

　　for循环：

　　for循环是三种循环中最复杂的一种。

总结：
mov    mem/reg, xxx    ;赋初值
jmp    FOR_CMP    ;跳转到循环条件判定部分
FOR_STEP:
;修改循环变量Step
    mov    reg,Step
    add    reg,xxxx    ;修改循环变量的计算过程，在实际分析中，视算法不同而不同
    mov    Step,eax
FOR_CMP:    ;循环条件判定部分
    mov    ecx,dword ptr Step
;判定循环变量和循环终止条件StepEnd的关系，满足条件则退出for循环
    cmp    ecx,StepEnd
    jxx    FOR_END    ;条件成立则结束循环
......    ;循环体
jmp    FOR_STEP    ;向上跳转，修改流程回到步长计算部分
FOR_END:

　　三种循环结构的比较：

　　在执行效率上，do循环结构是最高的。因为do循环在结构上非常精简，利用了程序执行时由低地址到高地址的特点，只使用了一个条件跳转指令就完成了循环。

　　for循环是执行速度最慢的，他需要三个跳转指令才能完成循环。

　　while和for循环经常会优化成do循环。

　　

【推广】 免费学中医，健康全家人
原文地址：https://www.cnblogs.com/nww-570/p/8988347.html