-
-
[求助]非常奇怪的函数
-
2008-4-19 20:42
-
0054B410 >/$ CMP EAX,1000
0054B415 |. JNB SHORT main.0054B425
0054B417 |. NEG EAX
0054B419 |. ADD EAX,ESP
0054B41B |. ADD EAX,4
0054B41E |. TEST [DWORD DS:EAX],EAX
0054B420 |. XCHG EAX,ESP
0054B421 |. MOV EAX,[DWORD DS:EAX]
0054B423 |. PUSH EAX
0054B424 |. RET
0054B425 |> PUSH ECX
0054B426 |. LEA ECX,[DWORD SS:ESP+8]
0054B42A |> SUB ECX,1000
0054B430 |. |SUB EAX,1000
0054B435 |. |TEST [DWORD DS:ECX],EAX
0054B437 |. |CMP EAX,1000
0054B43C |.^ \JNB SHORT main.0054B42A
0054B43E |. SUB ECX,EAX
0054B440 |. MOV EAX,ESP
0054B442 |. TEST [DWORD DS:ECX],EAX
0054B444 |. MOV ESP,ECX
0054B446 |. MOV ECX,[DWORD DS:EAX]
0054B448 |. MOV EAX,[DWORD DS:EAX+4]
0054B44B |. PUSH EAX
0054B44C \. RET
这是一个函数
不知道有什么用
那位大哥办个忙 帮我分析下~~~ 感激不尽~~~~
mov eax，$1004
call 0054B410
.......
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
个人认为做这样的分析最好能够结合寄存器和堆栈值的变化来分析~
例如eax初始值是 $1004，那进入0054B410之后会发生什么变化呢？ 或许不是最好的办法，但是不妨试一下~ 
|
|
|
2楼这位大哥，不知阁下又没有注意最后 2行，
push eax ret 就这2行就够受的 都不知道 函数返回到什么地方去了， 还有就是 这个程序没有办法动态跟踪。所以还拿出来求助~ 不过还是感谢 。
|
|
|
|
|
|
|
|
|
|
|
|
  哈哈~~~ 知道了~~~ 不过还是谢谢 n 个恢复的人~~~ 我在 chkstk.asm 文件中已经找到答案~~ 因为版本不同， chkstk。asm 的 内容也有差异！ 不过大同小异~~~ 欧也~~~~~
|
|
|
学习了
|
|
|
|
