局部变量，全局变量与内存

2023-09-18 19:47:13

本文会使用IDA分析局部变量，全局变量在内存的存储

目录

使用IDA分析局部变量

使用IDA分析全局变量

总结

使用IDA分析局部变量

#include <stdio.h>


int main()
{
	int nNum = 1;
	float fNum = 2.5;
	char ch = 'A';

	printf("int %d, float %f, char %c", nNum, fNum, ch);

	return 0;
}

  使用IDA跟进到main函数，F5调出反汇编

摁下tab键，进入汇编界面，Rename函数名为main

Rename函数名为main

 CODE XREF: 当前函数被一个或多个地方引用，摁下CTRL+X可以查看调用main()的地方

局部变量汇编分析

.text:00411760 ; int __cdecl main(int argc, const char **argv, const char **envp)
.text:00411760 main            proc near               ; CODE XREF: j_main↑j
.text:00411760
.text:00411760 var_FC          = qword ptr -0FCh
.text:00411760 var_24          = byte ptr -24h
.text:00411760 var_1D          = byte ptr -1Dh
.text:00411760 var_14          = dword ptr -14h
.text:00411760 var_8           = dword ptr -8
.text:00411760 argc            = dword ptr  8
.text:00411760 argv            = dword ptr  0Ch
.text:00411760 envp            = dword ptr  10h
.text:00411760
.text:00411760                 push    ebp             ; 把调用者函数的EBP压入堆栈
.text:00411761                 mov     ebp, esp        ; 开辟栈帧
.text:00411763                 sub     esp, 0E4h       ; 开辟函数局部变量空间
.text:00411769                 push    ebx             ; 保存易失性寄存器
.text:0041176A                 push    esi
.text:0041176B                 push    edi
.text:0041176C                 lea     edi, [ebp+var_24] ; ebp+var_24 <==> ebp-24h      lea取局部变量地址到edi        EDI = EBP-36 36个字节要初始化作为局部变量的空间
.text:0041176F                 mov     ecx, 9
.text:00411774                 mov     eax, 0CCCCCCCCh
.text:00411779                 rep stosd
.text:0041177B                 mov     ecx, offset unk_41C003
.text:00411780                 call    sub_41130C      ; CheckForDebuggerJustMyCode  VS系统函数
.text:00411785                 mov     [ebp+var_8], 1  ; int nNum = 1
.text:0041178C                 movss   xmm0, ds:dword_417BE8 ; xmm0寄存器用于处理浮点数，2.5存入寄存器
.text:00411794                 movss   [ebp+var_14], xmm0 ; float fNum = 2.5
.text:00411799                 mov     [ebp+var_1D], 41h ; char ch ='A'
.text:0041179D                 movsx   eax, [ebp+var_1D] ; 把ch扩展为4个字节，为压栈做准备
.text:004117A1                 push    eax             ; ch压栈
.text:004117A2                 cvtss2sd xmm0, [ebp+var_14] ; float拓展为double
.text:004117A7                 sub     esp, 8          ; 开辟堆栈空间
.text:004117AA                 movsd   [esp+0FCh+var_FC], xmm0 ; double入栈
.text:004117AF                 mov     ecx, [ebp+var_8]
.text:004117B2                 push    ecx             ; 把nNum的值保存到ecx后入栈
.text:004117B3                 push    offset aIntDFloatFChar ; 格式化字符串后入栈 offset取地址4个字节大小
.text:004117B8                 call    sub_4113A2      ; 调用printf函数
.text:004117BD                 add     esp, 14h        ; 平衡堆栈
.text:004117C0                 xor     eax, eax        ; 把eax清0，等价于 return 0
.text:004117C2                 pop     edi             ; 恢复易失性寄存器
.text:004117C3                 pop     esi
.text:004117C4                 pop     ebx
.text:004117C5                 add     esp, 0E4h       ; 清理main函数开辟的局部变量空间
.text:004117CB                 cmp     ebp, esp
.text:004117CD                 call    sub_411230      ; CheckEsp()   用于在程序的运行时检查堆栈指针是否被篡改
.text:004117D2                 mov     esp, ebp        ; 恢复栈帧
.text:004117D4                 pop     ebp
.text:004117D5                 retn                    ; 将程序的控制流转移到调用它的指令的下一条指令
.text:004117D5 main            endp

main函数主体堆栈，堆栈存储的是函数的局部变量，函数参数

  1. push EBP    EBP存储当前函数的栈底地址，调用者函数栈底地址压入堆栈
  2. mov EBP,ESP 开辟栈帧
  3. sub     esp, 0xXXX   为函数局部变量开辟空间
  4. push ebx,esi,edi 保存易失性寄存器
  5. 为局部变量空间堆栈初始化为0xCC
  6. 如果main函数有新的局部变量或者调用函数，都会引发堆栈变化
  7. main函数执行完毕开始恢复堆栈
  8.  pop 寄存器 恢复易失性寄存器
  9. add esp,0xXX 恢复局部变量的空间
  10. mov esp,ebp  ESP=EBP=函数调用者的栈底地址
  11. pop ebp 恢复原先的栈底
  12. retn 将执行main后下一条汇编指令地址给EIP寄存器，恢复程序控制流转，也恢复了原先的栈顶

一些细节：

rep stosd：完成对局部变量的初始化

.text:00411769                 push    ebx             ; 保存易失性寄存器
.text:0041176A                 push    esi
.text:0041176B                 push    edi
.text:0041176C                 lea     edi, [ebp+var_24] ; ebp+var_24 <==> ebp-24h      lea取局部变量地址到edi
.text:0041176F                 mov     ecx, 9
.text:00411774                 mov     eax, 0CCCCCCCCh
.text:00411779                 rep stosd               ; 把9个栈空间初始化为0xCC

汇编： 

  1. rep 重复操作，重复操作的次数是ecx的值  
  2. stosd：把EAX值复制到EDI寄存器指向的地址，一次复制4个字节
  3. stosw：把EAX值复制到EDI寄存器指向的地址，一个复制2个字节
  4. stosb：把EAX值复制到EDI寄存器指向的地址，一次复制1个字节

之前的操作中，保存易失性寄存器，每个寄存器8个字节，共计24字节

lea edi, [ebp+var_24] ; ebp+var_24 <==> ebp-24h edi寄存器指向main函数局部变量空间的尾地址

下面代码，给局部变量空间初始化 

000F176F B9 09 00 00 00       mov         ecx,9  
000F1774 B8 CC CC CC CC       mov         eax,0CCCCCCCCh  
000F1779 F3 AB                rep stos    dword ptr es:[edi]

"rep stos dword ptr es:[edi]" 的执行步骤如下：

  1. 使用ES:EDI指定目标内存区域的起始地址。
  2. 使用ECX指定要重复执行的次数。
  3. 将EAX中的值作为DWORD数据写入ES:[EDI]指向的内存位置，然后根据DF（方向标志位）决定EDI是递增还是递减，以定位下一个内存位置。
  4. 重复步骤3，直到ECX达到零，或根据DF决定的方向不再满足条件。

因此，"rep stos dword ptr es:[edi]" 指令将会将EAX寄存器中的DWORD数据连续地写入以ES:[EDI]为起点的目标内存区域，并且重复执行次数由ECX指定。这通常用于快速地内存初始化或者进行内存拷贝操作。

但是在64位下，不再使用ES:EDI模式寻址，64位模式下采用了平坦模型（Flat Model），所有线性地址都直接映射到相同的物理地址空间，即，你可以直接使用RDI寄存器作为指针来操作内存地址，而无需使用ES寄存器进行段寻址。

在x64dbg下验证

DF（Direction Flag）是x86处理器的一个标志位，用于指示字符串操作的方向。

当DF标志位被设置为0时，字符串操作是从低地址向高地址进行的，也就是正向（forward）操作。例如，使用REP MOVS指令将数据从源内存区域复制到目标内存区域时，数据会按照从源地址递增到目标地址的顺序进行复制。

当DF标志位被设置为1时，字符串操作是从高地址向低地址进行的，也就是反向（backward）操作。例如，使用REP MOVS指令将数据从目标内存区域复制到源内存区域时，数据会按照从源地址递减到目标地址的顺序进行复制。

得以验证在64位下，直接可以通过EDI寻址操作，不再使用ES：EDI寻址

为什么要每个字节初始化为0xCC

0xCC表示int33异常 0xCC指令是软中断指令，它会导致CPU进入一个中断处理例程。如果程序在调用函数时忘记初始化局部变量，那么在访问这些未初始化的变量时，CPU会立即进入一个中断处理例程，程序会停止运行，并且IDE或调试器会提示有异常产生。

这个地址存储的是浮点数

可以在Edit-->Operand type，选择合适的数据类型，正确的话，就会把16进制数据转换为对应的值。选择floatinteresting point

常见的操作数大小指定符号：

  1. byte ptr：指定一个数据操作数为8位字节（byte）。
  2. word ptr：指定一个数据操作数为16位字（word）。
  3. dword ptr：指定一个数据操作数为32位字 （dword）
  4. mmword ptr 是一个指示符，指示使用 64 位内存操作。

下面这两句代码在不同的工具中解析虽然不同，但意思一样。估计IDA 7.0 解析时是按照x86，而VS2019是按照x64，x64中已经不使用DS：EDI寻址了

VS2019: movss       xmm0,dword ptr [__real@40200000 (0AF7BE8h)]

IDA: movss   xmm0, ds:dword_417BE8

dword ptr [__real@40200000 (0AF7BE8h)] = ds:dword_417BE8 都表示以后面地址为首，取四个字节的数据

  1. xmm0 是 XMM 寄存器中的第一个寄存器
  2. 在 x86 指令集中，有 8 个 xmm 寄存器（xmm0~xmm7），每个寄存器的大小为 128 位（16 字节）

  • movss：将一个单精度浮点数（32 位）从源操作数移动到目标操作数。
  • movsx：将源操作数进行符号扩展后移动到目标操作数，源：8位，目标：16位，从低位存，高 8 位设置为源操作数的符号位，不改变大小，拓展位数 默认情况下，内存操作数被假定为 32 位的双字（DWORD）数据类型。
  • cvtss2sd：将单精度浮点数（4）转换为双精度浮点数（8）
  • xor：用于执行两个二进制数按位异或操作。当两个对应位的值不同时，结果位为 1，否则为 0。

cmp指令：用于比较两个操作数的大小关系，并根据比较结果设置标志位。cmp 指令会将 operand1 减去 operand2 的值，并根据结果设置标志位寄存器（如零标志位、符号标志位等）。

  1. 零标志位（ZF）：如果两个操作数相等，则 ZF 被设置为 1；否则被设置为 0。
  2. 符号标志位（SF）：如果结果为负数，则 SF 被设置为 1；否则被设置为 0。
  3. 位标志位（CF）：用于无符号数比较，如果 operand1 小于 operand2，则 CF 被设置为 1；否则被设置为 0。

使用IDA分析全局变量

#include <stdio.h>

int nNum = 1;
float fNum = 2.5;
char ch = 'A';

int main()
{


	printf("int %d, float %f, char %c", nNum, fNum, ch);

	return 0;
}

局部变量汇编分析

.text:00411760 ; int __cdecl main(int argc, const char **argv, const char **envp)
.text:00411760 main            proc near               ; CODE XREF: j_main↑j
.text:00411760
.text:00411760 var_D8          = qword ptr -0D8h
.text:00411760 argc            = dword ptr  8
.text:00411760 argv            = dword ptr  0Ch
.text:00411760 envp            = dword ptr  10h
.text:00411760
.text:00411760                 push    ebp
.text:00411761                 mov     ebp, esp        ; 开辟栈帧
.text:00411763                 sub     esp, 0C0h       ; 给局部变量开辟空间
.text:00411769                 push    ebx             ; 保存易失性寄存器
.text:0041176A                 push    esi
.text:0041176B                 push    edi
.text:0041176C                 mov     edi, ebp        ; 从EDI从低地址向高地址初始化局部变量空间
.text:0041176E                 xor     ecx, ecx
.text:00411770                 mov     eax, 0CCCCCCCCh
.text:00411775                 rep stosd
.text:00411777                 mov     ecx, offset unk_41C003
.text:0041177C                 call    sub_41130C
.text:00411781                 movsx   eax, byte_41A03C ; 把字符拓展为4字节，压入堆栈
.text:00411788                 push    eax
.text:00411789                 cvtss2sd xmm0, dword_41A038 ; 把float拓展为double
.text:00411791                 sub     esp, 8
.text:00411794                 movsd   [esp+0D8h+var_D8], xmm0 ; 把xmm0压入堆栈 这种压入堆栈方式相当于先抬升，esp变小，在压入xmm，从低地址填充到高地址
.text:00411799                 mov     ecx, dword_41A034
.text:0041179F                 push    ecx
.text:004117A0                 push    offset aIntDFloatFChar ; 压入的是字符串的地址，共计四个字节
.text:004117A5                 call    sub_4113A2
.text:004117AA                 add     esp, 14h        ; ch(4) + xmm0(8) + ecx(4) + 字符串地址(4) = 20字节 = 0x14 平衡堆栈
.text:004117AD                 xor     eax, eax        ; 清0 eax，相当于 return 0
.text:004117AF                 pop     edi             ; 恢复易失性寄存器
.text:004117B0                 pop     esi
.text:004117B1                 pop     ebx
.text:004117B2                 add     esp, 0C0h       ; 恢复函数局部变量空间
.text:004117B8                 cmp     ebp, esp
.text:004117BA                 call    sub_411230      ; CheckEsp检查当前函数栈帧是否被破坏
.text:004117BF                 mov     esp, ebp        ; 恢复栈帧
.text:004117C1                 pop     ebp
.text:004117C2                 retn
.text:004117C2 main            endp

总结

  1. 全局变量保存在data段，在程序编译链接就确定了；局部变量保存在stack段
  2. 访问局部变量往往是通过[ebp-0xXXX],全局变量往往是一个地址[0xXXX]
  3. 把局部变量或者全局变量压入堆栈需要使用寄存器
  4. 给局部变量赋值，mov [esp-0xXXX],值
  5. 函数有返回值往往借助寄存器，值或者地址
更多推荐

Mybatis的原理和MybaitsPlus

看完Mybatis的基本操作，我们来聊下Mybaits的底层实现原理：MyBatis是一个持久层框架，它的底层实现原理主要涉及SQL解析、参数映射、SQL执行和结果映射等方面。下面是MyBatis的基本工作原理：配置文件加载：MyBatis的配置文件(通常为mybatis-config.xml)被加载，并解析成内部的配

线性代数的本质(六)——线性空间

文章目录线性空间线性空间子空间坐标与同构线性变换与矩阵基变换与坐标变换线性空间线性空间Grant:普适的代价是抽象。仔细分析就会发现，关于向量空间的一切概念及有关定理都不依赖于向量的具体表现形式(有序数组)，也不依赖于向量加法、数乘的具体计算式，而只依赖于如下两点：向量的加法与数乘运算封闭；加法、数乘满足八条运算法则。

EMMC模块电路的PCB设计建议

EMMC电路简介EMMC(EmbeddedMultiMediaCard）是MMC协会订立、主要针对手机或平板电脑等产品的内嵌式存储器标准规格。EMMC在封装中集成了一个控制器，提供标准接口并管理闪存。原理电路8位数据信号如图8-38所示，地址、控制信号如图8-39所示，电源信号如图8-40所示。RK3588EMMC控制

深入理解Java单例模式和优化多线程任务处理

目录饿汉模式懒汉模式单线程版多线程版双重检查锁定阻塞队列单例模式能保证某个类在程序中只存在唯一一份实例,而不会创建出多个实例，并提供一个全局访问点。饿汉模式类加载的同时，创建实例。classSingleton{privatestaticfinalSingletoninstance=newSingleton();//将构

《Web安全基础》07. 反序列化漏洞

web1：基本概念1.1：序列化&反序列化1.2：反序列化漏洞1.3：POP链2：PHP反序列化2.1：序列化&反序列化2.2：魔术方法3：JAVA反序列化3.1：序列化&反序列化3.2：反射机制3.3：相关资源本系列侧重方法论，各工具只是实现目标的载体。命令与工具只做简单介绍，其使用另见《安全工具录》。靶场参考：pi

利用Pycharm将python程序打包为exe文件（亲测可用）

最近做了一个关于py的小项目，对利用Pycharm将python文件打包为exe文件不是很熟悉，故学习记录之。目录一、下载pyinstaller库二、打开Pycharm进行打包（不更改图标）三、打开Pycharm进行打包（更改图标）一、下载pyinstaller库1.点击win+r，输入cmd打开控制管理器2.输入pi

[maven] scopes & 管理 & profile & 测试覆盖率

[maven]scopes&管理&profile&测试覆盖率这里将一些其他的特性和测试覆盖率（主要是jacoco）scopesmaven的scope主要就是用来限制和管理依赖的传递性，简单的说就是，每一个scope都有其对应的特性，并且会决定依赖包在打包和运行时是否会被使用这里主要谈论的差别是compileclassp

Secrets of RLHF in Large Language Models Part I: PPO

本文是LLM系列文章，针对《SecretsofRLHFinLargeLanguageModelsPartI:PPO》的翻译。大型语言模型中RLHF的秘密（上）：PPO摘要1引言2相关工作3人类反馈的强化学习4有益和无害的奖励模型5PPO的探索6评估和讨论局限性摘要大型语言模型（LLM）为通用人工智能的发展制定了蓝图。它

DC/DC开关电源学习笔记（七）低压大电流DC/DC变换技术

低压大电流DC/DC变换技术1.无暂态要求的低压大电流DC/DC变换技术2.负载极其快速变化的低压大电流DC/DC变换技术2.1非隔离型VRM2.2隔离型VRM低压大电流高功率DC/DC变换技术,已从前些年的3.3V降至现在的1.0V左右,电流目前已可达到几十安至几百安。同时,电源的输出指标,如纹波、精度、效率、过冲、

sql 脚本 WITH 作用

WITH是SQL中的一个关键字，用于创建临时表达式，也称为公共表表达式（CommonTableExpression，CTE）。它可以在查询中定义一个临时的命名结果集，并可以在后续的查询中引用该结果集。WITH的主要作用有两个：提高可读性：通过使用WITH关键字，可以将复杂的查询逻辑分解为多个简单的部分，并使用有意义的名

Sqilte3初步教程

文章目录安装创建数据库创建和删除表插入行数据安装Windows下安装，首先到下载页面，下载Windows安装软件，一般是sqlite-dll-win32-*.zipsqlite-tools-win32-*.zip下载之后将其内容解压到同一个文件夹下，我把它们都放在了D:\CS\sqlite目录下，然后将这个目录添加到环

热文推荐
  1. 再次理解Android账号管理体系

    目录✅0.需求📂1.前言🔱2.使用2.1账户体系前提2.2创建账户服务2.3操作账户-增删改查💠3.源码流程✅0.需求试想，自己去实现一个账号管理体系，该如何做呢？——————————最近有遇到这样一个需求：AR眼镜只支持同时与一个手机绑定，即：AR眼镜已与手机绑定过的话，不再支持与其他手机绑定；如要绑定其他手机

  2. Python语言学习实战-内置函数filter()的使用（附源码和实现效果）

    实现功能filter()函数是Python的内置函数之一，用于过滤序列中的元素。它接受两个参数：一个是函数，用于判断每个元素是否符合条件；另一个是可迭代对象，包含要过滤的元素。filter()函数返回一个迭代器，其中包含所有符合条件的元素。filter()函数的语法如下：filter(function,iterable

  3. 深入理解全局变量和实例变量在 Ruby 和 Rails 中的作用

    全局变量和实例变量是Ruby编程语言中的两种不同类型的变量，它们在Ruby和Rails中扮演着重要的角色。在本文中，我们将深入探讨这两种变量的特性、用途和区别。全局变量（GlobalVariables）：全局变量是在整个Ruby程序中都可见的变量。它们的生命周期从Ruby进程启动时开始，直到进程结束。因此，全局变量在任

  4. 短视频seo矩阵系统源码开发搭建--代用户发布视频能力

    短视频SEO矩阵系统源码开发搭建的代用户发布视频能力，主要是指在系统平台上，允许用户将其创作的内容发布到指定的账号或平台，并设置好相关的标题、话题、锚点等信息。一、搭建步骤及注意事项确定使用场景。根据业务需求，确定该功能的使用场景。例如，该功能可能被政务媒体用于内部多媒体管理平台，或被企业服务平台用于面向抖音账号的内部

  5. websocket请求通过IteratorAggregate实现流式输出

    对接国内讯飞星火模型，官方文档接口采用的是websocket跟国外chatgpt有些差异。虽然官网给出一个简单demo通过while(true)，websocket的receive()可以实现逐条接受并输出给前端，但是通用和灵活度不高。不能兼容现有项目框架的流式输出。故模仿openai，采用IteratorAggreg

  6. 使用 Python 和机器学习掌握爬虫和情感分析

    在本教程中，我们将抓取一个网站并使用自然语言处理来分析文本数据。最终结果将是对网站内容的情感分析。以下是我们将遵循的步骤：项目范围所需的库了解网页抓取抓取网站文本清理和预处理使用机器学习进行情感分析最后结果一、项目范围该项目的目标是抓取网站，执行文本预处理，然后应用机器学习算法对网站内容进行情感分析。换句话说，我们想要

  7. Git全套命令使用

    日升时奋斗，日落时自省目录1、Git安装1.1、创建git本地仓库1.2、配置Git1.3、认识Git内部区分2、Git应用操作2.1、添加文件2.2、查看日志2.3、查看修改信息2.4、查看添加信息3、版本回退4、撤销修改4.1、工作区撤销4.2、已经add，但没有commit4.3、已经add，也commit4.4

  8. ESLint+Prettier+VSCode编程规范

    编程规范ESLintPrettierESLint和Prettier配合解决代码格式化问题1.在VSCode搜索Prettier插件安装2.创建prettier配置文件3.在VSCode中设置3.1找到左下角设置图标，点击设置3.2但是对VSCode而言，默认一个tab等于4个空格，而ESLint希望一个tab为两个空格

  9. 大模型微调方法

    下面是一些参数高效的微调大模型方法：Adapter模型总览Adapter作为一个插件加入到大模型内，微调下游任务时，固定大模型参数，只训练Adapter参数。LoRALoRA名为大语言模型的低阶适应，最初设计用于微调LLM，但却在文生图领域大放异彩，并逐渐被人数知。其思想跟ResNet非常相似，通过在大模型旁侧添加一路