您好，歡迎進入深圳市穎特新科技有限公司官方網(wǎng)站！
您好，歡迎進入深圳市穎特新科技有限公司官方網(wǎng)站！
本文借助OllyDbg這款調(diào)試工具來一起討論數(shù)據(jù)的存儲及表示形式，讓讀者對于學習計算機的數(shù)據(jù)存儲及表示可以更加的感性，從而脫離純粹理論性的學習。
本文內(nèi)容較為枯燥，但是著實是學習逆向的基礎(chǔ)知識，對于從來沒有接觸過逆向或者是剛開始接觸逆向的讀者，本文內(nèi)容還是有一定幫助的。
本文關(guān)鍵字：進制 數(shù)據(jù)表示 數(shù)據(jù)轉(zhuǎn)換 數(shù)據(jù)存儲
1.1 進制及進制的轉(zhuǎn)換
了解進制的概念及進制的轉(zhuǎn)換是學習逆向的基礎(chǔ)，因為計算機使用的進制是二進制，它又不同于我們現(xiàn)實生活中使用的十進制，因此我們必須學習不同的進制及進制之間的轉(zhuǎn)換。
1.1.1 現(xiàn)實生活中的進制與計算機的二進制
我們在現(xiàn)實生活中會接觸到多種多樣的進制，通常見到的有十進制、十二進制和二十四進制等。下面分別對這幾種進制進行舉例說明。
十進制是每個人從上學就開始接觸和學習的進制表示方法。所謂的十進制，就是逢十進一，最簡單的例子就是9+1=10。這個無需過多解釋。
十二進制也是我們?nèi)粘Ｉ钪谐Ｒ姷谋硎痉椒。所謂的十二進制，就是逢十二進一，例如12個月為1年，13個月就是1年1個月。
二十四進制也是我們?nèi)粘Ｉ钪谐Ｒ姷谋硎痉椒。所謂的二十四進制，就是逢二十四進一，例如24小時為1天，25小時就是1天1小時。
介紹了以上現(xiàn)實生活中的例子后，我們再來說說計算機中的二進制。根據(jù)前面各種進制的解釋，我們可以想到，二進制就是逢二進一。這里舉個不太恰當?shù)睦，例?斤就是1公斤。
在計算機中為什么使用二進制呢？簡單說就是計算機用高電平和低電平來表示1和0最為方便和穩(wěn)定，高電平被認為是1，低電平被認為是0，這就是所謂的二進制的來源。
由于二進制在閱讀上不方便，計算機又引入了十六進制來直觀地表示二進制。所謂的十六進制，就是逢十六進一。
因此在計算機中，我們常見的數(shù)據(jù)表示方法有二進制、十進制和十六進制。
1.1.2 進制的定義
在學習小學數(shù)學的時候我們就學習了十進制，十進制一共有十個數(shù)字，從0一直到9，9再往后數(shù)一個的時候要產(chǎn)生進位，也就是逢十進一？偨Y(jié)十進制的定義則是，由0到9十個數(shù)字組成，并且逢十進一。
舉一反一地來說，二進制的定義是，由0到1兩個數(shù)字組成，逢二進一。十六進制的定義是由0到9十個數(shù)字和A到F六個字母組成，逢十六進一。
由此，我們衍生出N進制的定義是，由N個符號組成，逢N進一。
表1-1所列為這三種進制的數(shù)字表。
表1-1 二進制、十進制和十六進制數(shù)字表
數(shù) 制 基 數(shù) 數(shù) 字
二進制 2 0 1
十進制 10 0 1 2 3 4 5 6 7 8 9
十六進制 16 0 1 2 3 4 5 6 7 8 9 A B C D E F
1.1.3 進制的轉(zhuǎn)換
在逆向當中，我們直接面對的通常是十六進制，而由于很多原因，我們需要將其當作十進制或二進制來查看，當然也有可能需要根據(jù)二進制轉(zhuǎn)換成十六進制或十進制。所以，我們就需要掌握進制之間的轉(zhuǎn)換。
1．二進制轉(zhuǎn)十進制
二進制整數(shù)的每個位都是2的冪次方，最低位是2的0次方，最高為是2的（N-1）次方，我們通過一個例子進行說明。我們把二進制數(shù)10010011轉(zhuǎn)換成十進制數(shù)，計算方式如下：
10010011 = 1 × 27+ 0 × 26+ 0 × 25+ 1 × 24+ 0 × 23+ 0 × 22+ 1 × 21+ 1 × 20 = 128 + 0 + 0 +16 + 0 + 0 + 2 + 1 = 147
我們得出的結(jié)果是，把二進制10010011轉(zhuǎn)換成十進制后是147。我們用計算機進行驗算，如圖1-1和圖1-2所示。
從圖1-1和圖1-2中可以看出，我們的計算結(jié)果是正確的，由此讀者在計算二進制時按照上面轉(zhuǎn)換的例子進行轉(zhuǎn)換即可。
圖1-1 驗算二進制（一）
圖1-2 驗算二進制（二）
2．十六進制與二進制的轉(zhuǎn)換
由于一個簡單的數(shù)值用二進制表示需要很長的位數(shù)，這樣對于閱讀很不方便，因此匯編和調(diào)試器常用十六進制表示二進制。十六進制的每個位可以代表4個二進制位，因為2的4次方剛好是16。這樣，在二進制與十六進制之間就產(chǎn)生了一個很好的對應關(guān)系，如表1-2所列。
表1-2 二進制對應的十六進制與十進制數(shù)（節(jié)選）
根據(jù)此表，我們可以很快地把二進制和十六進制進行轉(zhuǎn)換，把上例的二進制10010011轉(zhuǎn)換成十六進制，轉(zhuǎn)換過程如下：
第一步，把10010011從最低開始按每四位分為一組，不足四位前面補0，劃分結(jié)果為1001 0011；
第二步，把劃分好的組進行查表，1001對應十六進制是9，0011對應的十六進制是3。
那么，二進制10010011轉(zhuǎn)換成十六進制后的值是93。讀者可以通過計算器自行進行驗算。
在逆向中常用的就是二進制與十進制的轉(zhuǎn)換，或者是二進制與十六進制的轉(zhuǎn)換，其他的轉(zhuǎn)換方式讀者可以自行查找資料進行學習。關(guān)于十六進制和二進制需要記住的重要一點就是，一位十六進制數(shù)可以表示四位二進制數(shù)。
1.2 數(shù)據(jù)寬度、字節(jié)序和ASCII碼
前面介紹了計算機中常用的進制表示方法和轉(zhuǎn)換，現(xiàn)在讀者知道了計算機存儲的都是二進制的數(shù)據(jù)，那么接下來要討論的是在計算機中數(shù)據(jù)存儲的單位以及數(shù)據(jù)是如何存儲在存儲空間的。
1.2.1 數(shù)據(jù)的寬度
數(shù)據(jù)的寬度是指數(shù)據(jù)在存儲器中存儲的尺寸。在計算機中，所有數(shù)據(jù)的基本存儲單位都是字節(jié)（byte），每個字節(jié)占8個位（位是計算機存儲的最小單位，而不是基本單位，因為在存儲數(shù)據(jù)時幾乎沒有按位進行存儲的）。其他的存儲單位還有字（word）、雙字（dword）和八字節(jié)（qword）。
圖1-3 給出各個存儲單位所包含的位數(shù)。
在計算機編程中，常用的幾個重要數(shù)據(jù)存儲單位分別就是byte、word和dword，這幾個存儲單位稍后我們會使用到。
1.2.2 數(shù)值的表示范圍
在計算機中存儲數(shù)值時，也是要依據(jù)前面介紹過的數(shù)據(jù)寬度進行存儲的，那么在存儲數(shù)據(jù)時由于存儲數(shù)據(jù)的寬度限制，數(shù)值的表示也是有范圍限制的。那么byte、word和dword能存儲多少數(shù)據(jù)呢？我們先來計算一下，如果按位存儲的話，能存儲多少個數(shù)據(jù)，再分別來計算以上三種單位能夠存儲的數(shù)值的范圍。
計算機使用二進制進行數(shù)據(jù)存儲時，一位二進制最多能表示幾個數(shù)呢？因為是二進制數(shù)，只存在0和1兩個數(shù)，所以一位二進制數(shù)最多能表示兩個數(shù)，分別是0和1。那么，兩位二進制最多能表示幾個數(shù)呢？因為一位二進制數(shù)能表示兩個數(shù)，所以兩位二進制數(shù)則能表示2的2次方個數(shù)，即4個數(shù)，分別是0、1、10、11。進一步地，三位二進制數(shù)能表示的就是2的3次方個數(shù)，即8個數(shù)，分別是0、1、10、11、100、101、110、111。
上面的過程可以整理成表1-3。
表1-3 N位二進制位能夠表示的數(shù)
二進制位數(shù) 表示數(shù)的個數(shù) 表示的數(shù) 2的N次方
1 2 0、1 2的1次方
2 4 0、1、10、11 2的2次方
3 8 0、1、10、11、100、101、110、111 2的3次方
根據(jù)表1-3計算的byte、word和dword三種數(shù)據(jù)存儲寬度能表示的數(shù)據(jù)的范圍如表1-4所列。
表1-4 無符號整數(shù)的表示范圍
存儲單位 十進制范圍 十六進制范圍 2的N次方
byte 0～255 0～FF 2的8次方
word 0～65535 0～FFFF 2的16次方
dword 0～FFFFFFFF 2的32次方
2的8次方是256，為什么數(shù)值只有0～255個呢？因為計算機計數(shù)是從0開始，從0到255同樣是256個數(shù)，這里的2的8次方表示能夠表示數(shù)值的個數(shù)，而不是能夠表示數(shù)值的最大的數(shù)。
所以
0001 是2的零次方，為1
0010 是二的1次方 ，為2（2^1）
0100 是二的平方（2次方），為4(2^2)
1000 是二的立方（3次方），為8(2^3)
即8 4 2 1 計算就很方便了 1111H即8+4+2+1為15，對應16進制為F
1.2.3 字節(jié)序
字節(jié)序也稱為字節(jié)順序，在計算機中對數(shù)值的存儲有一定的標準，而該標準隨著系統(tǒng)架構(gòu)的不同而不同。了解字節(jié)存儲順序?qū)τ谀嫦蚬こ淌且豁椈A(chǔ)知識，在動態(tài)分析程序的時候，往往需要觀察內(nèi)存數(shù)據(jù)的變化情況，這就需要我們在掌握數(shù)據(jù)的存儲寬度、范圍之后，進一步了解字節(jié)順序。
通常情況下，數(shù)值在內(nèi)存中存儲的方式有兩種，一種是大尾方式，另一種是小尾方式。關(guān)于字節(jié)序的知識，通過一個簡單的例子就可以掌握。
比如有0x01020304（C語言中對十六進制數(shù)的表示方式）這樣一個數(shù)值，如果用大尾方式存儲，其存儲方式為01 02 03 04，而用小尾方式進行存儲則是04 03 02 01，用更直觀的方式展示其區(qū)別，如表1-5所列。
表1-5 字節(jié)順序?qū)Ρ缺?/p>
從兩個地址列可以看出，地址的值都是一定的，沒有變化，而數(shù)據(jù)的存儲順序卻是不相同的。從表中可以得到如下結(jié)論。
大尾存儲方式：內(nèi)存高位地址存放數(shù)據(jù)低位字節(jié)數(shù)據(jù)，內(nèi)存低位地址存放數(shù)據(jù)高位字節(jié)數(shù)據(jù)；
小尾存儲方式：內(nèi)存高位地址存放數(shù)據(jù)高位字節(jié)數(shù)據(jù)，內(nèi)存低位地址存放數(shù)據(jù)低位字節(jié)數(shù)據(jù)。
通常情況下，Windows操作系統(tǒng)兼容的CPU為小尾存儲方式，而Unix操作系統(tǒng)兼容的CPU多為大尾存儲方式。在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)的字節(jié)順序使用的是大尾存儲方式。
首先，為什么會有小端字節(jié)序？
答案是，計算機電路先處理低位字節(jié)，效率比較高，因為計算都是從低位開始的。所以，計算機的內(nèi)部處理都是小端字節(jié)序。
但是，人類還是習慣讀寫大端字節(jié)序。所以，除了計算機的內(nèi)部處理，其他的場合幾乎都是大端字節(jié)序，比如網(wǎng)絡(luò)傳輸和文件儲存。
計算機處理字節(jié)序的時候，不知道什么是高位字節(jié)，什么是低位字節(jié)。它只知道按順序讀取字節(jié)，先讀第一個字節(jié)，再讀第二個字節(jié)。
如果是大端字節(jié)序，先讀到的就是高位字節(jié)，后讀到的就是低位字節(jié)。小端字節(jié)序正好相反。
理解這一點，才能理解計算機如何處理字節(jié)序。
字節(jié)序的處理，就是一句話：
"只有讀取的時候，才必須區(qū)分字節(jié)序，其他情況都不用考慮。"
處理器讀取外部數(shù)據(jù)的時候，必須知道數(shù)據(jù)的字節(jié)序，將其轉(zhuǎn)成正確的值。然后，就正常使用這個值，完全不用再考慮字節(jié)序。
即使是向外部設(shè)備寫入數(shù)據(jù)，也不用考慮字節(jié)序，正常寫入一個值即可。外部設(shè)備會自己處理字節(jié)序的問題。
6.
舉例來說，處理器讀入一個16位整數(shù)。如果是大端字節(jié)序，就按下面的方式轉(zhuǎn)成值。
x = buf[offset] * 256 + buf[offset+1];
上面代碼中，buf是整個數(shù)據(jù)塊在內(nèi)存中的起始地址，offset是當前正在讀取的位置。第一個字節(jié)乘以256，再加上第二個字節(jié)，就是大端字節(jié)序的值，這個式子可以用邏輯運算符改寫。
x = buf[offset]<<8 | buf[offset+1];
上面代碼中，第一個字節(jié)左移8位（即后面添8個0），然后再與第二個字節(jié)進行或運算。
如果是小端字節(jié)序，用下面的公式轉(zhuǎn)成值。
x = buf[offset+1] * 256 + buf[offset];
32位整數(shù)的求值公式也是一樣的。
/* 大端字節(jié)序 */ i = (data[3]<<0) | (data[2]<<8) | (data[1]<<16) | (data[0]<<24); /* 小端字節(jié)序 */ i = (data[0]<<0) | (data[1]<<8) | (data[2]<<16) | (data[3]<<24);
1.2.4 ASCII碼
計算機智能存儲二進制數(shù)據(jù)，那么計算機是如何存儲字符的呢？為了存儲字符，計算機必須支持特定的字符集，字符集的作用是將字符映射為整數(shù)。早期字符集僅僅使用8個二進制數(shù)據(jù)位進行存儲，即ASCII碼。后來，由于全世界語言的種類繁多，又產(chǎn)生了新的字符集Unicode字符編碼。
ASCII碼是美國標準信息交換碼的字母縮寫，在ASCII字符集中，每個字符由唯一的7位整數(shù)表示。ASCII碼僅使用了每個字節(jié)的低7位，最高位被不同計算機用來創(chuàng)建私有字符集。由于標準ASCII碼僅使用7位，因此十進制表示范圍是0～127共128個字符。
在編程與逆向中都會用到ASCII碼，因此有必要記住常用的ASCII字符對應的十六進制和十進制數(shù)。常用的ASCII字符如表1-6所列。
表1-6 常用ASCII碼表
字 符 十進制 十六進制 說 明
LF 10 0AH 換行
CR 13 0DH 回車
SP 32 20H 空格
0～9 48～57 30H～39H 數(shù)字
A~Z 65~90 41H~5AH 大寫字母
a~z 97~122 61H~7AH 小寫字母
表1-6是經(jīng)常使用到的ASCII字符，這些字符是經(jīng)常會見到和用到的，希望讀者能將其保存，以便使用之時可以快速查閱。
Unicode編碼是為了使字符編碼更進一步符合國際化而進行的擴展，Unicode使用一個字（也就是兩個字節(jié)，即16位）來表示一個字符。這里不做過多的介紹。
1.3 在OD中查看數(shù)據(jù)
在逆向分析中，調(diào)試工具可以說是非常重要的。調(diào)試器能夠跟蹤一個進程的運行時狀態(tài)，在逆向分析中稱為動態(tài)分析工具。動態(tài)調(diào)試會用在很多方面，比如漏洞的挖掘、游戲外掛的分析、軟件加密解密等方面。本節(jié)介紹應用層下最流行的調(diào)試工具OllyDbg。
OllyDbg簡稱OD，是一款具有可視化界面的運行在應用層的32位的反匯編逆向調(diào)試分析工具。OD是所有進行逆向分析人員都離不開的工具。它的流行，主要原因是操作簡單、參考文檔豐富、支持插件功能等。
熟悉OD
OD的操作非常簡單，但是由于逆向是一門實戰(zhàn)性和綜合性非常強的技術(shù)，因此要真正熟練掌握OD的使用卻并不是容易的事，單憑操作而言看似沒有太多的技術(shù)含量，但是其真正的精髓在于配合逆向的思路來達到逆向者的目的。
1．OD的選型
為什么先介紹OD的選型，而不直接開始介紹OD的使用呢？OD的主流版本是1.10和待崛起的2.0。雖然它的主流版本是1.10，但是它仍然存在很多修改版。所謂修改版，就是由用戶自己對OD進行修改而產(chǎn)生的，類似于病毒的免殺。OD雖然是動態(tài)調(diào)試工具，但是由于其強大的功能經(jīng)常被很多人用在軟件破解等方面，導致很多作者的心血付諸東流。軟件的作者為了防止軟件被OD調(diào)試，加入了很多專門針對OD進行調(diào)試的反調(diào)試功能來保護自
己的軟件不被調(diào)試，從而不被破解；而破解者為了能夠繼續(xù)使用OD來破解軟件，則不得不對OD進行修改，從而達到反反調(diào)試的效果。
調(diào)試、反調(diào)試、反反調(diào)試，對于新接觸調(diào)試的愛好者來說容易混淆。簡單來說，反調(diào)試是阻止使用OD進行調(diào)試，而反反調(diào)試是突破反調(diào)試繼續(xù)進行調(diào)試。OD的修改版本之所以很多，目的就是為了能夠更好地突破軟件的反調(diào)試功能。
因此，如果從學習的角度來講，建議選擇原版的OD進行使用。在使用的過程中，除了會掌握很多調(diào)試技巧外，還會學到很多反調(diào)試的技巧，從而掌握反反調(diào)試的技巧。如果在實際的應用中，則可以直接使用修改版的OD，避免OD被軟件反調(diào)試，從而提高逆向調(diào)試分析的速度。
2．熟悉OD主界面
OD的發(fā)行是一個壓縮包，解壓即可運行使用，運行OD解壓目錄總的ollydbg.exe程序，就會出現(xiàn)一個分布恰當、有菜單有面板和能輸入命令的看著很強大的軟件窗口，如圖1-4所示。
在圖1-4的OD調(diào)試主窗口中的工作區(qū)大致可以分為6個部分，按照從左往右、從上往下，這6部分分別是反匯編窗口、信息提示窗口、數(shù)據(jù)窗口、寄存器窗口、棧窗口和命令窗口。下面分別介紹各個窗口的用法。
反匯編窗口：該窗口用于顯示反匯編代碼，調(diào)試分析程序主要在這個窗口中進行，這也是進行調(diào)試分析的主要工作窗口。
信息提示窗口：該窗口用于顯示與反匯編窗口中上下文環(huán)境相關(guān)的內(nèi)存、寄存器或跳轉(zhuǎn)來源、調(diào)用來源等信息。
數(shù)據(jù)窗口：該窗口用于以多種格式顯示內(nèi)存中的內(nèi)容，可使用的格式有Hex、文本、短型、長型、浮點、地址和反匯編等。
寄存器窗口：該窗口用于顯示各個寄存器的內(nèi)容，包括前面介紹的通用寄存器、段寄存器、標志寄存器、浮點寄存器。另外，還可以在寄存器窗口中的右鍵菜單選擇顯示MMX寄存器、3DNow!寄存器和調(diào)試寄存器等。
棧窗口：該窗口用于顯示棧內(nèi)容、棧幀，即ESP或EBP寄存器指向的地址部分。
命令窗口：該窗口用于輸入命令來簡化調(diào)試分析的工作，該窗口并非基本窗口，而是由OD的插件提供的功能，由于幾乎所有的OD使用者都會使用該插件，因此有必要把它也列入主窗口中。
圖1-4 OD調(diào)試主窗口
3．在數(shù)據(jù)窗口中查看數(shù)據(jù)
前面已經(jīng)介紹，OD是一款應用層下的調(diào)試工具，它除了可以進行軟件的調(diào)試以外，還可以幫助我們學習前面介紹的數(shù)據(jù)寬度、進制轉(zhuǎn)換等知識，而且能夠幫助我們學習匯編語言。本節(jié)主要介紹通過OD的數(shù)據(jù)窗口來觀察數(shù)據(jù)寬度。
為了能夠直觀地觀察內(nèi)存中的數(shù)據(jù)，我們通過RadAsm創(chuàng)建一個沒有資源的匯編工程，然后編寫一段自己的匯編代碼，代碼如下：
.386
.modelflat,stdcall
optioncasemap:none
includewindows.inc
includekernel32.inc
includelibkernel32.lib
.data
var1dd00000012h;16進制
var2dd12;10進制
var3dd11b;2進制
;字節(jié)
b1db11h;16進制
b2db22h
b3db33h
b4db44h
;字
w1dw5566h;16進制
w2dw7788h
;雙字
ddd12345678h;16進制
.code
start:
invokeExitProcess,0
endstart
在上面的代碼中，定義了10個全局變量。首先，var1、var2和var3分別定義了dword類型的3個變量，其中var1的值是十六進制的12h，var2的值是十進制的12，var3的值是2進制的11b。b1到b4四個變量是字節(jié)類型的，w1和w2兩個變量是字類型的，d變量是dword類型的。
這10個全局變量就是我們要考察的關(guān)鍵。在RadAsm中進行編譯連接后，直接按下Ctrl + D這個快捷鍵，即可在RadAsm安裝時自帶的OD中打開。在OD調(diào)試器中打開該程序后，觀察它的數(shù)據(jù)窗口（如圖1-5所示）。
圖1-5 數(shù)據(jù)窗口中查看變量
在圖1-5中，數(shù)據(jù)窗口一共有3列，分別是地址列、HEX數(shù)據(jù)列和ASCII列。這3個列，可以通過單擊鼠標右鍵來改變現(xiàn)實方式和顯示的列數(shù)。在地址00403000處開始的4個字節(jié)12 00 00 00是十六進制的12，也就是在匯編代碼中定義的var1；在地址00403004處的4個字節(jié)0C 00 00 00是十六進制0C，也就是在匯編代碼中定義的var2，var2變量定義的值是十進制的12，也就是十六進制的0C；在地址00403008處的4個字節(jié)03 00 00 00是十六進制的03，也就是在匯編代碼中定義的var3，var3變量定義的值是2進制的11，也就是十六進制的03。
這3個變量在我們定義的時候都是以dd進行的，都是dword類型的變量，分別各占用4字節(jié)，因此在內(nèi)存中，前3個變量分別是12 00 00 00、0C 00 00 00和03 00 00 00。
在地址0040300C處的值是11 22 33 44，這4個值分別是我們定義b1、b2、b3和b4 4個字節(jié)型的變量，這4變量按照內(nèi)存由低到高的順序顯示分別是11、22、33、44。
在地址00403010處顯示的值是66 55 88 77，這4個值分別對應我們定義的w1和w2兩個字型變量，但是我們定義的變量w1的值是5566h，w2的值是7788h，在內(nèi)存中為何顯示的是6655和8877呢？這就是我們提到過的字節(jié)順序的問題。我們的主機采用的是小尾方式存儲的數(shù)據(jù)，也就是數(shù)據(jù)的低位存放在內(nèi)存的低地址中，數(shù)據(jù)的高位存放在內(nèi)存的高地址中，因此在地址00403020中存放的是5566H的低位數(shù)據(jù)66，在地址00403021中存放的是5566H的高位數(shù)據(jù)55，在內(nèi)存看時，順序是相反的。
在地址00403014處存放的是78 56 34 12，這是我們定義的最后一個變量d，它也是按照小尾方式存儲在內(nèi)存中的。因此，在查看內(nèi)存時順序也是反的。
OD提供了多種查看內(nèi)存數(shù)據(jù)的方式，通過在數(shù)據(jù)窗口中單擊鼠標右鍵，會彈出如圖1-6所示菜單。
當在數(shù)據(jù)窗口中選擇數(shù)據(jù)時，右鍵的菜單提供編輯、賦值、查找、斷點功能，如圖1-7所示。
圖1-6 查看數(shù)據(jù)方式的菜單選項
圖1-7 OD中對數(shù)據(jù)操作的菜單
4．通過命令窗口改變數(shù)據(jù)窗口顯示方式
在圖1-4中的最下方可以看到有一個輸入命令的編輯框，在此處可以輸入OD的相關(guān)命令以提高調(diào)試的速度。本小節(jié)就介紹如果通過命令窗口來改變數(shù)據(jù)窗口的顯示方式。
在上面代碼中定義變量時，使用了db、dw和dd三種類型，在OD的命令窗口中也同樣可以使用者3個命令，其格式分別如表1-7所列。
表1-7 命令窗口改變數(shù)據(jù)顯示命令格式
命 令 格 式 說 明 舉 例
db db address 按字節(jié)的方式查看 db 403000
dw dw address 按字的方式查看 dw 403000
dd dd address 按雙字的方式查看 dd 403000
將表1-7中的命令在命令窗口中進行輸入，數(shù)據(jù)窗口的變化和數(shù)值顯示的變化分別如圖1-8、圖1-9和圖1-10所示。
圖1-8 dd命令顯示的數(shù)據(jù)窗口
圖1-9 dw命令顯示的數(shù)據(jù)窗口
圖1-10 db命令顯示的數(shù)據(jù)窗口
從圖中可以看出不同方式下數(shù)據(jù)窗口顯示的樣式，但是無論使用哪種方式顯示數(shù)據(jù)，地址列總是會顯示在最前面的，只要我們知道數(shù)據(jù)的地址，就可以直接在命令窗口中輸入顯示數(shù)據(jù)的格式來查看指定內(nèi)存中的數(shù)據(jù)。
1.4 編程判斷主機字符序
編程判斷主機字節(jié)序是更進一步掌握字節(jié)序的方式，本小節(jié)給出兩種對主機的字節(jié)序進行判斷的方式。
1.4.1 字節(jié)序相關(guān)函數(shù)
在TCP/IP網(wǎng)絡(luò)編程中會涉及關(guān)于字節(jié)序的函數(shù)，TCP/IP協(xié)議中傳遞數(shù)據(jù)是以網(wǎng)絡(luò)字節(jié)序進行傳輸?shù)模W(wǎng)絡(luò)字節(jié)序是指網(wǎng)絡(luò)傳輸相關(guān)協(xié)議所規(guī)定的字節(jié)傳輸?shù)捻樞，TCP/IP協(xié)議所使用的網(wǎng)絡(luò)字節(jié)序與大尾方式相同。而主機字節(jié)序包含大尾方式與小尾方式，因此在進行網(wǎng)絡(luò)傳輸時會進行相應的判斷，如果主機字節(jié)序是大尾方式則無需進行轉(zhuǎn)換即可傳輸，如果主機字節(jié)序是小尾方式則需要轉(zhuǎn)換成網(wǎng)絡(luò)字節(jié)序（也就是轉(zhuǎn)換成大尾方式）然后進行傳輸。
常用的字節(jié)序涉及的函數(shù)有如下幾個：
u_short?htons(u_short?hostshort);
u_long?htonl(u_long?hostlong);
u_short?ntohs(u_short?netshort);
u_long?ntohl(u_long?netlong);
在這4個函數(shù)中，前兩個是將主機字節(jié)序轉(zhuǎn)換成網(wǎng)絡(luò)字節(jié)序，后兩個是將網(wǎng)絡(luò)字節(jié)序轉(zhuǎn)換為主機字節(jié)序。關(guān)于更多的字節(jié)序的函數(shù)可參考MSDN。
1.4.2 編程判斷主機字節(jié)序
“編程判斷主機字節(jié)序”是很多殺毒軟件公司或者安全開發(fā)職位的一道面試題，因為這個題目比較基礎(chǔ)。通過前面的知識，相信讀者能夠很容易地實現(xiàn)該程序。這里給出筆者自己對于該題目的實現(xiàn)方法。筆者認為，完成該題目有兩種方法，第一種方法是“取值比較法”，第二種方法是“直接轉(zhuǎn)換比較法”。
1．取值比較法
所謂取值比較法，是首先定義一個4字節(jié)的十六進制數(shù)。因為使用調(diào)試器查看內(nèi)存最直觀的就是十六進制，所以定義十六進制數(shù)是一個操作起來比較直觀的方法。而后通過指針方式取出這個十六進制數(shù)在“內(nèi)存”中的某一個字節(jié)，最后與實際數(shù)值中相對應的數(shù)進行比較。
由于字節(jié)序的原因，內(nèi)存中的某字節(jié)與實際數(shù)值中對應的字節(jié)可能不相同，這樣就可以確定字節(jié)序了。
代碼如下：
#include
#include
intmain(intargc,char*argv[])
{
DWORDdwSmallNum=0x01020304;
if(*(BYTE*)&dwSmallNum==0x04)
{
printf("SmallSequence.");
}
else
{
printf("BigSequence.");
}
return0;
}
以上代碼中，定義了0x01020304這個十六進制數(shù)，其在小尾方式內(nèi)存中的存儲順序為04 03 02 01。取(BYTE)&dwSmallNum內(nèi)存中的低地址位的值，如果是小尾方式的話，那么低地址存儲的值為0x04；如果是大尾方式的話，則低地址存儲的值為0x01。
2．直接轉(zhuǎn)換比較法
所謂直接轉(zhuǎn)換比較法，是利用字節(jié)序轉(zhuǎn)換函數(shù)將所定義的值進行轉(zhuǎn)換，然后用轉(zhuǎn)換后的值與原值進行比較。如果原值與轉(zhuǎn)換后的值相同，說明是大尾方式，否則為小尾方式。
代碼如下：
#include
#include
#pragmacomment(lib,"ws2_32")
intmain(intargc,char*argv[])
{
DWORDdwSmallNum=0x01020304;
if(dwSmallNum==htonl(dwSmallNum))
{
printf("SmallSequence.");
}
else
{
printf("BigSequence.");
}
return0;
}
這種方式比較直接，其前提是網(wǎng)絡(luò)字節(jié)序是固定的，就是大尾方式。因為是比較，所以就要有一個參照物。如果原值轉(zhuǎn)換后的結(jié)果與原值相同，就說明該主機是大尾方式存儲，反之則是小尾方式。
1.5 總結(jié)
本文對內(nèi)存中存儲基礎(chǔ)數(shù)據(jù)的方式進行了闡述，并且在最后部分介紹了如何使用OD調(diào)試器來查看內(nèi)存中的數(shù)據(jù)。在學習編程時，都會從數(shù)據(jù)類型開始介紹，不同的數(shù)據(jù)類型都是以二進制的方式存儲在內(nèi)存中的，只是它們存儲的方式不同，或者是存儲的寬度不同。在我們學習逆向時，也首先講解了數(shù)據(jù)的基礎(chǔ)及數(shù)據(jù)的存儲方式。
什么是“軟件逆向工程”
術(shù)語“逆向工程”源自硬件領(lǐng)域，在軟件領(lǐng)域目前還沒有明確的定義。就筆者個人的理解簡單來說，軟件逆向是通過觀察分析軟件或程序的行為、數(shù)據(jù)和代碼等，來還原其設(shè)計實現(xiàn)，或者推導出更高抽象層次的表示。
軟件工程與軟件逆向工程的區(qū)別
對于軟件工程而言，軟件的設(shè)計講究封裝，將各個模塊進行封裝，將具體的實現(xiàn)進行隱藏，只暴露一個接口給使用者。對于模塊的使用者而言，封裝好的模塊相當于一個“黑盒子”，使用者使用“盒子”時，無需關(guān)心“盒子”的內(nèi)部實現(xiàn)，只需要按照模塊預留的接口進行使用即可。
軟件逆向工程對于軟件工程而言，卻是正好相反的。對軟件進行逆向工程時要查看軟件的行為，即軟件的輸入與輸出的情況；要查看軟件的文件列表，即軟件使用了哪些動態(tài)鏈接庫（哪些動態(tài)連接庫是作者編寫的，哪些動態(tài)連接庫是系統(tǒng)提供的），有哪些配置文件，甚至還要通過一系列的工具查看軟件的文件結(jié)構(gòu)、反匯編代碼等。
對比軟件工程與軟件逆向工程可以發(fā)現(xiàn)，軟件工程是在封裝、實現(xiàn)一個具備某種功能的“黑盒子”，而軟件逆向工程則是在分析“黑盒子”并嘗試還原封裝的實現(xiàn)與設(shè)計。后者對于前者而言是一個相反的過程，因此稱為“軟件逆向工程”。
學習軟件逆向工程與軟件工程的區(qū)別
對于軟件逆向工程而言，學習逆向知識，除了要學習逆向知識本身外，還需要掌握各種不同的逆向工具，或者說逆向知識中重要的一個環(huán)節(jié)就是逆向工具的使用。對于軟件開發(fā)而言，軟件開發(fā)工具在軟件開發(fā)中所占據(jù)的位置遠遠達不到逆向工具在逆向領(lǐng)域中的位置。因此，讀者在學習編程時可能更注重的是編程語言本身而不是工具，但是在學習逆向時，逆向知識是不可能拋開逆向工具而獨立進行學習的。
掃碼關(guān)注我們
傳真：0755-82591176
郵箱：vicky@yingtexin.net
地址：深圳市龍華區(qū)民治街道民治大道973萬眾潤豐創(chuàng)業(yè)園A棟2樓A08
