Question

我正在尝试对一些装配进行逆向工程，我已经达到了这一点：

40073f: 89 45 fc                mov    %eax,-0x4(%rbp)
  400742:   83 7d fc 05             cmpl   $0x5,-0x4(%rbp)
  400746:   77 37                   ja     40077f <f51+0x85>
  400748:   8b 45 fc                mov    -0x4(%rbp),%eax
  40074b:   48 8b 04 c5 28 09 40    mov    0x400928(,%rax,8),%rax
  400752:   00 
  400753:   ff e0                   jmpq   *%rax
  400755:   b8 11 00 00 00          mov    $0x11,%eax
  40075a:   eb 28                   jmp    400784 <f51+0x8a>
  40075c:   b8 12 00 00 00          mov    $0x12,%eax
  400761:   eb 21                   jmp    400784 <f51+0x8a>
  400763:   b8 13 00 00 00          mov    $0x13,%eax
  400768:   eb 1a                   jmp    400784 <f51+0x8a>
  40076a:   b8 14 00 00 00          mov    $0x14,%eax
  40076f:   eb 13                   jmp    400784 <f51+0x8a>
  400771:   b8 15 00 00 00          mov    $0x15,%eax
  400776:   eb 0c                   jmp    400784 <f51+0x8a>
  400778:   b8 16 00 00 00          mov    $0x16,%eax
  40077d:   eb 05                   jmp    400784 <f51+0x8a>
  40077f:   b8 0a 00 00 00          mov    $0xa,%eax
  400784:   5d                      pop    %rbp
  400785:   c3                      retq

我可以看到我在这里看到的是一个switch语句，默认情况是-0x4（％rbp）＆gt; 5，但我对一些指示感到困惑：

40074b是否只是跳到跳转表上的某个位置并将该指令推送到rax中，这样我们就可以跳到开关盒中的正确位置（这是400753行）？

在这种情况下，我不知道如何解释我们的不同情况。如果我的理解是正确的，跳转表从地址400928开始，到那里我看到：

  400928:   55                      push   %rbp
  400929:   07                      (bad)  
  40092a:   40 00 00                add    %al,(%rax)
  40092d:   00 00                   add    %al,(%rax)
  40092f:   00 5c 07 40             add    %bl,0x40(%rdi,%rax,1)
  400933:   00 00                   add    %al,(%rax)
  400935:   00 00                   add    %al,(%rax)
  400937:   00 63 07                add    %ah,0x7(%rbx)
  40093a:   40 00 00                add    %al,(%rax)
  40093d:   00 00                   add    %al,(%rax)
  40093f:   00 6a 07                add    %ch,0x7(%rdx)
  400942:   40 00 00                add    %al,(%rax)
  400945:   00 00                   add    %al,(%rax)
  400947:   00 71 07                add    %dh,0x7(%rcx)
  40094a:   40 00 00                add    %al,(%rax)
  40094d:   00 00                   add    %al,(%rax)
  40094f:   00 78 07                add    %bh,0x7(%rax)
  400952:   40 00 00                add    %al,(%rax)
  400955:   00 00                   add    %al,(%rax)

此时我几乎不知道我在看什么。大概是400753线，我们跳到这张桌子的某个地方，但接着是什么？或者完全是我的理解？

Answer 1

跳转表是一个指针数组，而不是代码。反汇编程序并不知道，所以它将字节解码为指令。你必须忽略它，只看一下字节：

400928:   55                      push   %rbp
400929:   07                      (bad)  
40092a:   40 00 00                add    %al,(%rax)
40092d:   00 00                   add    %al,(%rax)
40092f:   00 5c 07 40             add    %bl,0x40(%rdi,%rax,1)

前8个字节是55 07 40 00 00 00 00 00，指向0x400755指令的指针。您找到case 0的地方。

GAS x86：读取跳转表/解释switch语句

1 个答案: