前言
本篇只是一个最简单方法的还原，只做练习之用，如下在main 中的方法，代码：
int f = 10;
int func (int a, int b){
printf("hahha");
int c = a + f;
// return c;
return a + b + f;
}
int main(int argc, char * argv[]) {
printf("%d",func(10, 20));
return 0;
}
经过 ida 还原后的汇编代码如下 ，并有详细注释：
// 还原高级代码
//var_10 = -0x10
#pragma mark -- 定义的偏移位置，最大的好处可以当做一个局部变量来用
//__text:0000000100006864 var_C = -0xC
//__text:0000000100006864 var_8 = -8
//__text:0000000100006864 var_4 = -4
//__text:0000000100006864 var_s0 = 0
// 外面有一个全局变量
id global = nil;
int globl = 0; // 值是不知道的，要知道的话需要动态调试，加载进内存获取
void func2(int a, int b) {
// SUB SP, SP, #0x20
//__text:0000000100006868 STP X29, X30, [SP,#0x10+var_s0]
//__text:000000010000686C ADD X29, SP, #0x10
#pragma mark -- (参数)w0,w1 入栈（写入内存）
#pragma mark -- 把 a 放入 [X29,#var_4] 这个地方。相当于：int var_4 = a;
//__text:0000000100006870 STUR W0, [X29,#var_4][X29,#var_4]
#pragma mark -- 把 b 放入 [SP,#0x10+var_8] 这个地方。相当于：int var_8 = b;
//__text:0000000100006874 STR W1, [SP,#0x10+var_8]
#pragma mark -- 获得一个常量或者一个全局变量
//__text:0000000100006878 ADRP X0, #aHahha@PAGE ; "hahha"// 常量
//__text:000000010000687C ADD X0, X0, #aHahha@PAGEOFF ; "hahha"
#pragma mark -- BL 调 （系统）printf 函数，之前传的字符串常量
//__text:0000000100006880 BL _printf
#pragma mark -- 这三句可以一起看相当于 printf("hhaha");
#pragma mark -- 同上上 相当于获取一个全局变量到 x30
//__text:0000000100006884 ADRP X30, #_f@PAGE
//__text:0000000100006888 ADD X30, X30, #_f@PAGEOFF
//== &gloal; 取地址
#pragma mark -- 拿出（栈里面的数据）一个变量（参数）到w1
//__text:000000010000688C LDUR W1, [X29,#var_4]
//相当于 --- int w1 = var_4;
#pragma mark -- 同上
//__text:0000000100006890 LDR W8, [X30]
#pragma mark -- 一次运算，w8 = w1 + w8
//__text:0000000100006894 ADD W8, W1, W8
#pragma mark -- w8写入内存
//__text:0000000100006898 STR W8, [SP,#0x10+var_C]
#pragma mark -- 读取
//__text:000000010000689C LDUR W8, [X29,#var_4]
#pragma mark -- 相当于 --- int w8 = var_4;
//__text:00000001000068A0 LDR W1, [SP,#0x10+var_8]
#pragma mark -- 相当于 --- int w1 = var_8;
#pragma mark -- 运算
//__text:00000001000068A4 ADD W8, W8, W1
#pragma mark -- w8 = w1 + w8
//__text:00000001000068A8 LDR W1, [X30]
#pragma mark -- w1 = gloal (直接取出值)，这个 gloal 值是什么类型呢？通过 w1 就可以知道了，int
//__text:00000001000068AC ADD W8, W8, W1
#pragma mark -- w8 = w8 + w1
//__text:00000001000068B0 STR W0, [SP,#0x10+var_10]
#pragma mark -- var_10 = w0 = a;
//__text:00000001000068B4 MOV X0, X8
#pragma mark -- x0 = x8 (这个时候 x0 就是 返回值了)
// ret x8/w8;// 函数是有返回值的，int 类型
//__text:00000001000068B8 LDP X29, X30, [SP,#0x10+var_s0]
#pragma mark --
//__text:00000001000068BC ADD SP, SP, #0x20
#pragma mark --
//__text:00000001000068C0 RET
}
简化以后的汇编代码如下：
int global = 0;
int func2(int a, int b) {
int var_4 = a;
int var_8 = b;
printf("hhaha");
int w1 = var_4;
int w8 = var_4;
w1 = global;
w8 = w1 + w8;
w8 = w8 + w1;
return w8;
}
再简化到最后就是：
int global = 0; // 值我们是不知道的，无法获取，要知道的话需要动态调试，加载进内存获取
int func2(int a, int b) {
printf("hhaha");
return a + b + global;
}
注：返回值，x0 在即将返回的时候，操作 x0 基本上可以认定为有返回值，
网友评论