能力值：
( LV3，RANK：20 )
51 楼
smc并不能隐藏信息，并且，如果分析下来数据的移动与原来的指令地址是重合的，并没有增加什么信息流，反而是增加了曝光无用的信息流的机会，因为作者在这个过程中面临了两难选择：
能力值：
( LV3，RANK：20 )
52 楼
算一算一共有多少个寄存器变量
eax ebx ecx edx esi edi esp ebp
| | | | | | | |
ax bx cx dx si di sp bp
| | | |
ah,al bh,bl ch,cl dh,dl
|___________________________| |_________| |_________|
16个寄存器变量 4个寄存器 4个寄存器 -----------24个
变量 变量
cs ds es ss fs gs
|__________________________________|
6个寄存器变量 --------------------------------------------30个
eip
|
ip
2个寄存器变量 --------------------------------------------------------32个
运算结果标志位
SF ZF AF PF CF
|_______________|
5个寄存器变量 ---------------------------------------------------------37个
方向寄存器
DF
1个寄存器变量 ----------------------------------------------------------38个
需要有特权才能控制的寄存器暂时不考虑。
这里有一个至少38位的位图，如果一个指令是影响了其中的n个地方的话，就要考虑生成n个变量。
但是前后两条指令之间会有一个冲销的效果，比如由第一条指令计算产生的标志位其实是个无索引的量，如果第二条指令重置了它，那么这个量就死了。一个死亡的量，其信息流中断了，就不需要保存它了，如果我们是采用滞后保存信息流的策略的话，呵呵，它连数据库都没机会进了。
能力值：
( LV9，RANK：180 )
53 楼
LZ还没开始写程序?
能力值：
( LV3，RANK：20 )
54 楼
我就是在写程序啊。只不过在看《代码大全2》前我都是先写代码，看过《代2》后，改成先写文档了。
能力值：
( LV9，RANK：180 )
55 楼
那你得加快脚步啊
能力值：
( LV3，RANK：20 )
56 楼
现在考虑保存这些变量的数据结构，首先是有关单个变量，我们需要掌握它的哪些方面的信息？
1 变量的名称：不管这个变量在哪个寄存器上，或者哪个标志位上，它都有一个独一无二的id。
变量的副本是没有新名称的，只是要记录在一个数组里，指出这个副本的其他信息。
2 变量的值： 一个变量的值首先要考虑是不是可变的，一个变量的值的变化是指，当它来自一个随机源，又没有其他副本时，与另
一个变量发生计算后，结果被填入了这个变量的位置，
当不满足以上的这个要求时，一般考虑是用一个新的变量来记录这个新的值。
一个有副本的变量，不论什么时候被填入新值，都是生成了新变量。
以上两条的典型场景：
比如在第一条指令上，EAX其值为2，那么我们就说有一个叫id_1的变量生成了。（无索引）
然后第二条，mov ecx,eax ，我们说id_1现在有了一个副本。
然后第三条，mov eax,1，我们说现在有了一个新变量，id_2，它的值是1。（无索引）
然后第四条，mov ecx,eax，我们说现在id_1死亡了，这条线索归入中止，以后再走这条线路时，一看它是僵尸，就不为它生成新变量了。
而id_2，现在有了副本。（无索引）
（1） 因为id_1死了，所以要在分析结果中，进行规约：
首先要倒推，ecx中是id_1的最后一个副本，用id_2的副本取代它。
mov ecx,eax
（2） 发生过一次有效规约，往往意味着还可能有其他规约，程序自动进入下一次规约：
继续倒推，在第一句中的ecx是id_1最后副本的唯一前驱，所以去掉，因为这次去掉同
时取消了id_1的出生，所以id_1的流程彻底终止，整体消亡了。
nop
mov eax,1
mov ecx,eax （这里在显示的时候别忘了注释它们的真实值）
（3） 发生过一次有效规约，往往意味着还可能有其他规约，程序自动进入下一次规约：
因为这里是在程序头，可能情况和后面程序中的稍有差异，也许要分别制定位于程序头和中间的不同规约策略。
就这例而言，因为eax从未被使用，又写入了一个固定值，所以调整程序头的eip，指向下一条指令，同时eax中自动置1，
这时候因为eax成为了起始量，所以从原来的数量流上脱开，id_2的两个副本分道扬镳。现在有两个变量
id_2和id_3
（4） 又发生了有效规约，所以继续扫描可以规约的内容，这次调整eip到下一条指令，同时ecx置1，变量流现在有两条，id_2，id_3。
（5） 现在整个程序的起点调整到第三条指令后，eax和ecx中间是两条新数据流的起点。
以上这些过程可以用一些简单的规则，反复进行迭代，得到最后不变的那个结果。不过这里（3）和（4）的分析乱了一点，应该是和（1）（2）的规约同步的，也许最后我应该用多线程来处理规约问题？
让我们来提取一些必要的信息。
能力值：
( LV9，RANK：330 )
57 楼
It's not that I don't want to use Chinese. It's just I can't type Chinese on an English version of Windows. And it's my company's computer, I don't want to install Chinese language and IME on it.
能力值：
( LV3，RANK：20 )
58 楼
关于第一个问题，我已经说了，我眼里的数据只有三种类型，就是无索引的，有索引的，和索引。
能力值：
( LV3，RANK：20 )
59 楼
另外一个关于时间的话题是，可能我破解一个程序，一天十小时不够，怎么办？
能力值：
( LV3，RANK：20 )
60 楼
把x86的指令化作程序的基本数据，就三个
能力值：
( LV3，RANK：20 )
61 楼
现在进入架构核对表时间，先写程序关键部位算法和大致的框架：
基本的调试过程是这样的：
一：在虚拟机或类似的空间，加载这个程序。
（目的：提高对被调试程序的控制力）
二：静态反汇编一个片断，直到遇到第一个控制转移为止，这个控制转移包括call，ret，jmp，jx这类；这样得到一个基本块。
（目的：这是防止花指令对静态反汇编的anti）
三：把每一条指令送到分解器中分解，得到 变量流 ，但是不优化它，直接送到虚拟机进行操作，记录结果。然后循环这个过程到块尾。
*******（易受攻击点-1，作者会发散大量的虚假信息，造成数据流庞大，
反制因素：
1 因为这条线路现在才走了一遍，所以虚假信息流的增大是有限的，
2 要增大这个数据流，在第一遍的阶段，没有循环，所以要求该程序的体积也相应庞大，效率降低
3 一个基本块越长，无用信息抵消的可能性越大，所以最后形成的数据流的体积是有限的
）
四：继续执行以上二、三两步，若转移变成了循环，就一直运行到第一个出口，也就是第一次脱离这条循环线路的跳转。
（如果第一个循环就是死循环，那这个程序还能用吗？）
*******（易受攻击点-2，作者会让多条虚假信息会并到某个循环，以很低的代价制造大量的虚假数据流
对策：
1 优化这个循环中的垃圾指令，减少运行时间
2 观察这个循环所处理的数据是不是可以归纳成组，是的话按数组对待，集中处理数据流，减少虚假数据流的发生
3 如果这个循环处理的数据不可以归纳成组，说明出现了一个新的组，组建一个新的数据结构对应它
）
*******（易受攻击点-3，有一个开始我没有想对的问题，Ptero说得对，确实存在不可归约的流图，也就是说从循环外向循环内转移的可能是始终存在的，我画了个图，证明一个循环是否是一个编译理论上说的唯一入口点的循环，在局部是看不出来的。
对策，
1 多线程符号执行，在每一个分支点同时向下跟踪
2 出错就返回，重新开始分析，并且鉴于这种恶劣的设计不太可能是编译器的设计，给它记上个污点再说。
3 凭人的经验判断了，比如这种非嵌套的循环很不自然，但往往存在一些模式，比如在这种嵌套里要么有anti
要么是在循环体内存在一些模式之类，毕竟这种非结构的程序多半是人写的。
4 在虚拟机中第一遍跟踪时只记录指令序列，不分析，直到壳把控制权交换给程序，就比如以画个窗体为例。
在这个基础上，分析前述的指令，就绕过了这个NP完全问题）
）
五：分析这个循环的操作对象，记录循环的条件，循环操作的对象，把这些数据整合成一个或几个数据结构。
六：优化循环，再次根据循环的特征，分析这个循环的数据流，得到能继续导向下一阶段的数据流。
七：反复迭代上面的过程，直到最优质的数据流出现，把它从原来的指令流中提取出来。
能力值：
( LV9，RANK：330 )
62 楼
我有点跟不上你的思路了
能力值：
( LV3，RANK：20 )
63 楼
我可没有绝对的把握，这是个NP完全问题。
能力值：
( LV3，RANK：20 )
64 楼
突然发现自己蠢透了，问题根本没我想的那么复杂，我真是傻。
能力值：
( LV6，RANK：90 )
65 楼
无法理解,提一些小问题好了.先看当下，我们知道一个程序总有一些基本的功能，比如画个窗体，按钮，接收鼠标响应，这是程序固有的功能，而且在api的对应中也是很清楚地，只要在眼下运行到这个地方，知道它是有效的，那就可以回溯到前面找那个stolen oep 了。 然后是前向，比如我已经在正常的程序中，现在转VMP，所以我就紧紧抓住正确的信息流。 最后是后向，我们已经走到了陷阱里，并且知道问题出在那一条信息流上了，所以它是个污点，后向追溯，就可以了。
能力值：
( LV2，RANK：10 )
66 楼
如果是花指令或者混淆的话，通过将x86转化成微指令或精简指令集，然后通过编译器优化技术是可以对付的，即使是虚假跳转也可以通过symbolic-execute判断取值范围来确定是否有可能taken。
能力值：
( LV3，RANK：20 )
67 楼
我是这么跟回溯的，现在比如我有一个虚拟机，我在虚拟机里载入这个程序，然后，不运行它。我在虚拟机外面，静态反编译这个程序，直到跳转，这时候因为没跳转，所以应该我是看得到调用api来自哪里的。然后让虚拟机也执行到这个跳转。
能力值：
( LV3，RANK：20 )
68 楼
关于你怎么知道哪条分支运行，需要什么精确的数学条件的问题，我只能先这样设想：
能力值：
( LV3，RANK：20 )
69 楼
假如程序没有如我所料，正常运行，那么就要修改a,b,c的条件，在这个情况下确实很难知道怎样改。
能力值：
( LV3，RANK：20 )
70 楼
而vm之所以不是真正的粘连，是因为它可以有算法分离，而且分离它的key在程序内，那种没有key就不能跑第一次的不算。
能力值：
( LV3，RANK：20 )
71 楼
我们来设想一个实际点的场景吧。
能力值：
( LV3，RANK：20 )
72 楼
不过我们可以倒查信息流，看看信息流分成几支，我们不知道到底什么条件让程序走到这步的，但我们可以看到这些信息流的源头，有些是数据随机生成的，有些是固定的。
能力值：
( LV2，RANK：10 )
73 楼
倒推数据流应该是可以实现的，顺利的话，它可以帮我们确定我们错在哪，但是很多情况下，知道错在哪是容易的，知道为什么错或者为什么对是不容易的。
能力值：
( LV3，RANK：20 )
74 楼
fshooter的担心非常有道理，现在我们面临的是这样一个问题，我在前面举了一个例子，说明当无用的数据从控制流上摘去或常量化后，就是i=f(a)，这里我再贴一遍：
int a=1;
int b;
int c;
int e;
int d=1;
b=gets();
a=a+d;
c=a+b;
e=c;
c=a;
这个程序模拟一个简单的解密过程，我们看到b接收一个真正要解密的数据，然后在a是解密的key---2，解密的结果是c。
在解密后，程序试图擦除这个解密结果，所以在c中间塞了那个key，这个key在这里是当垃圾用了。
但是，按照我说的分析数据流的方法，程序是不会被迷惑的，因为它已经把e当做数据流的后继了，这条信息链没有中断。
这里的c其实只和b有关，因为a是固定的信息流的产物，我们的分析器是走一步看一步的它看到在
c=a+b这里的时候，还是把信息流分为两路，到e=c的时候，它创建了副本，形成了有用信息流的新分支。
当我告诉它去掉固定变形的时候，直接把c=a+b，改成c=2+b，这样，这个key就是明文了。 当然，这是一个非常非常小的实验，但足以说明我的观点，就是说，如果我们把一个流程中，无关的信息常量化后，剩下的流程就是连接条件和结果的过程。
一个数只是数，但一连串对数的操作是有状态的，而且这个状态必须连续不断的保存，
当作者在面对普通用户时必须提供统一的输入性能和结果时，他在中间插的这一杠子，必须自己插进去，自己拿出来，就好像那个很经典的三只碗扣一个骰子的游戏（我不知道叫什么）。
我的眼睛跟不上他的手的变化，这件事是非机器做不可了。
能力值：
( LV3，RANK：20 )
75 楼
嗯，感谢楼上各位能参与到对我的设想的讨论中来，现在我已经对程序的整体组织结构有了更清晰的认识。
