某些时候会出现32位程序调用64位代码的情况，一般的静态分析和动态调试方法都会失效，间接达到混淆代码的效果，增加二进制分析和逆向工程难度。
基础知识
在X64系统下的进程有32位和64位两种工作模式，这两种工作模式的区别在于CS寄存器。32模式时，CS=0x23；64位模式时，CS=0x33。
这两种工作模式可以进行切换，一般通过retf指令。retf指令等效于2条汇编指令pop ip、pop cs。
如果此时栈中有0x33，则会将0x33弹出到CS寄存器中，实现32位程序切换到64位代码的过程。反之，如果栈中有0x23，将0x23弹出到CS寄存器，则实现64位程序切换到32位代码的过程。
识别32位、64位工作模式切换的两个标志：
（1）出现retf、0x23或0x33。
（2）使用类似call fword的远处调用，譬如call fword ptr [ebp-0xC]。
案例
以看雪.2021 KCTF秋季赛第7题 声名远扬为例，https://ctf.pediy.com/game-season_fight-186.htm
在地址0x41D8A2处，发生了远处调用。
在windbg中给41D8A2下断点，断下来时查看cs=0x23
F11跟进，此时查看cs=0x33，证明进入到了64位模式
执行到sub_4156F0返回时，即为retf，cs=0x33
执行完retf，转到下条命令41d8a5时，cs=0x23，转换为32位模式。
其他扩充知识
1. 如果为Linux ELF程序，可使用gdbserver+IDA 64进行调试。
譬如，gdbserver启动程序，并绑定到1234端口（冒号前不带ip使用本机ip）
gdbserver:1234 ./father
用IDA64打开程序，设置断点，设置好连接gdbserver的参数
F9运行后，到达断点处，点击F7进入代码。
2. windows程序使用windbg(X64)进行动态调试。
3. 让IDA将一段代码分析为X64模式的两种方法。
方法一：
（1）首先将这段要分析的代码拷贝到010editor，保存。
（2）用IDA64打开，选择64mode
（3）IDA64中rebase program，将其改成具体的代码地址。
缺点：该方法恢复的代码，偶尔会有一些内存引用的错误，这是因为缺少了上下文内存。如果需要上下文信息，建议采用方法二。
方法二：
（1）在010Editor中，用PE模板打开exe文件，偏移大概是0x118处，修改标识32位的0x10b为64位的0x20b。
（2）放入IDA64中分析，Rebase Segment为0。
网友评论