看过论坛的一些关于逆向的贴子

说说我的看法：逆向工程并不是对代码进行分析就算了，实际上要对工程进行一定的还原（源代码形式），当然难度挺大，要对算法非常熟悉。要系统的数据结构非常熟悉，才有能力推还原工程的数据结构。

这里仅对一个简短的函数进行还原，当然并不可能还原为原作者源代码，是还原为在函数的逻辑思想上最接近的形式。

这是 windows 7 64 位系统上 ntdll 模块的一个非常简短的函数 memcpy_s() ，结果并不重要，重要的是过程

1. 确定函数的参数个数

在 64 位 windows 系统上，函数的传递方式相对简单，统一使用寄存器进行传递参数，分别使用：

rcx

, 

rdx

, 

r8

 以及 

r9

 寄存器来传递前 4 个参数，多余的参数依旧使用 stack 来传递。

在这个函数中，我们看到使用到了 

r9 

寄存器，因此，我们可以判断这个函数共有 4 个参数，下面是 memcpy_s() 函数的原型初形：

memcpy_s(arg1, arg2, arg3, arg4)

分别用 arg1 - arg4 来表示，函数的返回值先暂时放一边，随着分析过程的展开进行填补。

2. 第 4 个参数的处理

下面看看代码：

00000000`77abeea4 4d85c9          test    r9,r9                                   ; arg4

00000000`77abeea7 7504            jne     ntdll!memcpy_s+0x21 (00000000`77abeead)

ntdll!memcpy_s+0x1d:

00000000`77abeea9 33c0            xor     eax,eax                                 ; 返回值

00000000`77abeeab eb1c            jmp     ntdll!memcpy_s+0x3d (00000000`77abeec9)

... ...

ntdll!memcpy_s+0x3d:

00000000`77abeec9 488b5c2440      mov     rbx,qword ptr [rsp+40h]

00000000`77abeece 488b742448      mov     rsi,qword ptr [rsp+48h]

00000000`77abeed3 4883c430        add     rsp,30h

00000000`77abeed7 5f              pop     rdi

00000000`77abeed8 c3              ret

从上面可以看到，这里先判断 

arg4 

参数，如果为 0 的话，它最终将会函数返回。

于是，我们可以得到下面的逻辑：

3. 第 1 个参数的处理

下面看代码：

ntdll!memcpy_s+0x21:

00000000`77abeead 4885c9          test    rcx,rcx

00000000`77abeeb0 7527            jne     ntdll!memcpy_s+0x4d (00000000`77abeed9)

ntdll!memcpy_s+0x26:

00000000`77abeeb2 48214c2420      and     qword ptr [rsp+20h],rcx

00000000`77abeeb7 4533c9          xor     r9d,r9d

00000000`77abeeba 4533c0          xor     r8d,r8d

00000000`77abeebd 33d2            xor     edx,edx

00000000`77abeebf e85c95ffff      call    ntdll!invalid_parameter (00000000`77ab8420)

ntdll!memcpy_s+0x38:

00000000`77abeec4 b816000000      mov     eax,16h

ntdll!memcpy_s+0x3d:

00000000`77abeec9 488b5c2440      mov     rbx,qword ptr [rsp+40h]

00000000`77abeece 488b742448      mov     rsi,qword ptr [rsp+48h]

00000000`77abeed3 4883c430        add     rsp,30h

00000000`77abeed7 5f              pop     rdi

00000000`77abeed8 c3              ret

如果，第 1 个参数 arg1 为 0 的话，它将调用 invalid_parameter() 函数，返回一个代码值（

返回状态

！）

invalid_parameter() 调用用先将 rdx, r8 以及 r9 寄存清 0，那么这里我姑且认为它也是 4 个参数（注意：这里使用了 

edx

, 

r8d 

和 

r9d

 寄存器，说明这些参数是 

32

 位值）并且我们知道 memcpy_s() 函数应该是返回一个状态值！

现在，我们又可以得出它的逻辑（结果起来)：

3. 第 3 个参数的处理

假如，第 1 个参数 arg1 不为 0 的时候呢？

ntdll!memcpy_s+0x21:

00000000`77abeead 4885c9          test    rcx,rcx

00000000`77abeeb0 7527            jne     ntdll!memcpy_s+0x4d (00000000`77abeed9)

... ...

[注意]看雪招聘，专注安全领域的专业人才平台！