逆向，是安全領域必備的技能之一。但凡有編程經(jīng)驗的人都應該熟知高級語言源代碼從編譯鏈接到執(zhí)行的過程，逆向就是把這個過程反了過來，反病毒人員捕獲到樣本，需要對其逆向才能分析出該樣本的行為，才能開發(fā)出有效的專殺工具。

　　在開始真正接觸逆向之前，首先要具備一些匯編的基礎知識，之所以說匯編的基礎知識，是說搞逆向沒有必要精通匯編，因為并不是要求我們成為匯編程序員；學習匯編的道路晦澀難懂，最好的方式是在學習逆向破解的過程中去根據(jù)實際需要去學習，那么本文主要介紹的是逆向基礎的寄存器和內(nèi)存方面的信息，首先介紹的是逆向主要是做什么的，其次對編程和機器架構做了個簡介，最后詳細的闡述了逆向基礎的寄存器和內(nèi)存。

　　逆向主要是做什么的

　　1、逆向分析已經(jīng)編譯好的軟件，然后使用高級語言重現(xiàn)，可以模仿已有的比較好的軟件，供自己創(chuàng)業(yè)使用。

　　2、用于分析病毒，提取出特征碼，便于開發(fā)殺毒程序。

　　3、高級代碼審計，在匯編層面調(diào)試程序，寫出來的代碼更加安全。

　　4、外掛，游戲的外掛就是這樣產(chǎn)生的，具體就不詳細介紹的，畢竟不是光彩的事。

　　5、分析嵌入式設備中的漏洞。

　　6、開發(fā)嵌入式設備的軟件。

　　匯編語言的位置

　　為什么要學習匯編語言呢？就像學習美國文化要先懂英語一樣，如果不了解計算機的語言，又何談懂計算機呢？我們知道，計算機執(zhí)行的語言，或者稱之為命令序列或數(shù)據(jù)，都是以“1和0”的二進制語言，物理上則表現(xiàn)為電信號的高低電平。雖然我們現(xiàn)在有C/C++、Java、Python等一系列強大的高級語言，但是其真正落實到計算機的執(zhí)行時還是需要編譯或解釋成計算機懂的機器語言。最早的時候計算機編程就是在紙帶上打孔表示1或0，以此作為編程指令，不僅難于操作，而且很難查錯，記憶也很困難。于是人們發(fā)明了機器語言的“人性化”表示：匯編語言（Assembly language），每條匯編指令都對應著一條機器二進制串，但是卻更加容易理解和記憶：

　　雖然我們現(xiàn)在有許多的高級語言可以用來編程，但是如果想真的理解代碼執(zhí)行的實際過程，還是需要我們?nèi)ザ﹨R編語言，從本質(zhì)上理解機器的行為。因此當今IT的各位童鞋們學習匯編語言還是十分重要的，逆向就更不用說了。

　　機器架構

　　計算機的核心是CPU，負責各種運算，其中又包括運算器和寄存器，寄存器中也用來存儲數(shù)據(jù)，但是一般較小，讀寫速度快，是運算器直接操作的對象；CPU之外有存儲器，存儲器一般指內(nèi)存，分為可讀寫的RAM和只可讀的ROM；其余各種外設比如顯卡、網(wǎng)卡等都通過主板上的總線與CPU相連，CPU通過總線同存儲器以及各種外設中的芯片（進而同外設中的存儲器）進行數(shù)據(jù)通信。

　　存儲器按字節(jié)大小分為存儲單元，例如一個字節(jié)是一個存儲單元。CPU訪問存儲器時必須完成三件任務：1. 存儲單元的地址（地址信息）；2. 器件的選擇，讀或?qū)懙拿睿刂菩畔ⅲ?. 讀或?qū)懙臄?shù)據(jù)（數(shù)據(jù)信息）；因此，CPU同各種存儲器之間自然而然存在三種總線：地址總線、控制總線與數(shù)據(jù)總線。

　　控制總線決定了命令的種類，數(shù)據(jù)總線決定了一次處理的數(shù)據(jù)最大位數(shù)，8位數(shù)據(jù)總線處理16位數(shù)據(jù)時要分兩次進行，而16位數(shù)據(jù)總線一次就能解決問題。地址總線則決定了CPU的尋址能力，即內(nèi)存的大小，比如8位的地址總線最大只有256個單元，即256字節(jié)，而32位的地址總線最多有2的32次冪bit，即4GB，這也是x86最多支持4G內(nèi)存的原因。

　　既然說到了4G內(nèi)存的由來，那么就可以趁熱打鐵說說內(nèi)存地址空間了，CPU認識的每個存儲單元默認為1字節(jié)，因此可以定位的所有內(nèi)存單元最大就是2的N次冪，N為地址總線長度，因此這個內(nèi)存地址也就構成了計算機的內(nèi)存地址空間，即所有可讀寫的存儲器單元必須在這其中，否則就無法為CPU所定位檢索。一般的架構是這樣的：

　　這里0x9ffff是655539，0xbffff是786431，0xfffff是1048575，這樣認識的會更清楚些（感謝Python的計算機功能，果然方便）。主存儲器地址空間即內(nèi)存，如果直接操作這個地址空間內(nèi)的數(shù)據(jù)，效果就是直接讀寫內(nèi)存數(shù)據(jù)；顯存地址空間指的的是顯存中的RAM部分。

　　逆向基礎之寄存器和內(nèi)存

　　CPU中的主要結構是運算器、控制器與寄存器，這些器件通過CPU的內(nèi)部總線相連，其中運算器負責信息處理，寄存器負責信息存儲，控制器控制各種器件進行工作，內(nèi)部總線連接各種器件，在它們之間進行數(shù)據(jù)的傳送。對于匯編程序員來說，主要部件是寄存器，因為只有寄存器是我們可以編程直接操作的。不同的CPU架構不同，8086CPU共有14個寄存器，分別是AX、BX、CX、DX、SI、DI、SP、BP、IP、CS、SS、DS、ES、PSW，今天我們先來學習基礎的通用寄存器，其余的寄存器在用到時會給予說明。

　　一、通用寄存器

　　AX、BX、CX和DX是四個通用寄存器，通常用來存放一般性的數(shù)據(jù)，后面的分析都在8086CPU中進行。每個通用寄存器是16位，即一次可以處理一個字（2個字節(jié)）的數(shù)據(jù)，但是為了與8086CPU之前的CPU相容，也支持一個字節(jié)的寄存器，即AH與AL，類似的還有BH和BL等，CPU操作時會降AH和AL當作獨立的寄存器，運算進位時會直接丟棄，因為CPU認為只有一個8位的寄存器而已：

　　二、物理地址

　　CPU訪問內(nèi)存需要知曉存儲單元的地址，由于8086CPU地址總線為20位，但是寄存器卻只有16位，即一次處理的地址最多只有2的16次冪，遠小于2的20次冪。為了彌補這個問題，8086CPU采用了一種特殊的方式通過16位的寄存器來構造20位的訪問地址，簡單來說，即：段地址*16+偏移地址。從計算的位數(shù)上來說，段地址和偏移地址存儲在CPU寄存器中，都是16位的；段地址*16，即整體在右邊添加4個二進制位，成為了20位；20位與16位相加，得到了20位的實際內(nèi)存地址。這里雖然是8086CPU中的方法，但是其實確實現(xiàn)在所有CPU中的實際尋址算法，即一個基地址加上一個偏移量得到一個實際地址。由此我們可以得到段的概念，內(nèi)存本身不分段，但是由于CPU的特殊尋址方式，我們可以將內(nèi)存看作最大64KB的一個個段（16位的最大值正好是64KB），因此我們可以在匯編中人為的指定段的起始和結束。當然，這里的段地址和偏移量實際上存儲在CPU的寄存器中，比如獲取指令的CS:IP，其中CS為代碼段寄存器，其中存儲代碼段的基地址，IP寄存器則存儲著當前要執(zhí)行的指令的指針，即一個偏移量，因此CS:IP指定了接下來CPU要執(zhí)行的指令的位置。這里需要說明的是，內(nèi)存中的數(shù)據(jù)對于CPU來說都是二進制位，能夠區(qū)分數(shù)據(jù)和指令的唯一標準就是指令曾經(jīng)或者正在被CS:IP指定；每執(zhí)行完一條指令，IP會累加上條指令的長度，從而指向下調(diào)指令。

　　我們是否可以修改控制CS:IP的值呢？答案是肯定的，只不過我們不能使用mov等傳送指令，而應當使用jmp這類轉(zhuǎn)移指令，基本的用法是：

　　-1. 修改CS:IP： jmp 2AE3:3 執(zhí)行后：CS=2AE3H， IP=0003H；

　　-2. 僅修改IP：jmp ax（ie. move ip， ax）即用寄存器中的值修改IP；

　　三、內(nèi)存訪問

　　CPU訪問內(nèi)存除了獲取指令，還要獲取數(shù)據(jù)，那么數(shù)據(jù)部分如何定位的呢？同指令的CS:IP一樣，8086CPU使用DS：［。。。］來獲取內(nèi)存數(shù)據(jù)地址，其中段寄存器存儲內(nèi)存數(shù)據(jù)段的基地址，而［。。。］表示一個內(nèi)存偏移量指向的內(nèi)存單元，如［0］表示偏移量為0的內(nèi)存單元，這里使用時要注意，8086CPU不支持直接對DS傳送值，因此mov ds， 1000H是非法的，正確地是通過寄存器來實現(xiàn)，即：mov ax， 1000H; mov ds， ax;

　　這部分我們要學習基本的匯編指令，如mov、sub、add等，都可以操作寄存器，操作完之后將數(shù)據(jù)放入第一個參數(shù)表示的寄存器中。CPU中的內(nèi)存數(shù)據(jù)一種特殊的結果就是棧，即只能從一端讀寫數(shù)據(jù)的結構，其基本指令是push ax；將寄存器ax的值入棧；和pop ax；從棧中取出棧頂元素放入寄存器ax中；下面是mov\add\sub命令的一個簡單示例：

　　然后我們來看看PUSH命令的執(zhí)行過程：

　　然后是POP命令：

　　可以看出，棧的操作關鍵是棧頂位置的確定，因此CPU專門使用SS:SP來獲取當前內(nèi)存中棧頂?shù)奈恢谩Ｖ档靡惶岬氖牵珻PU本身并沒有對棧的大小進行檢查，因此實際中會出現(xiàn)棧頂越界的問題（上限超出-PUSH；下限超出-POP），這也就要求我們必須人為進行檢查，否則就會出現(xiàn)程序的漏洞。