硬编码（一）经典定长指令

硬编码概述

当一个程序编译完以后，它就转化成了二进制文件，其内部只有二进制数据，而这二进制数据可以分为数据和机器指令两个部分，它们都有各自的格式。在实际中，数据和机器指令并没有严格的区分，如果数据的格式是机器指令的格式，那么该数据也会被当做机器指令执行，但是会出错。其中机器指令就是硬编码。

逆向分析分为两个阶段：1.C代码和汇编的转换。2.汇编和硬编码的转换。因此要想学习好逆向分析的第二个阶段，就需要好好学习硬编码

在我们常用的软件，如VS，IDA，都可以将我们所写的代码翻译成汇编代码，而这都是由软件自带的反汇编引擎将硬编码转化成汇编代码而实现的。

硬编码的格式如下图所示，其由六部分组成，本质上取决于计算机的CPU类型：

通常不同的硬编码的字节数都有所不同，其组成部分也不同，主要取决于该硬编码实现的功能，但必须有Opcode部分，字节数在1-15之间浮动

经典定长指令

接下来我们观察一个汇编代码：PUSH EAX，其中PUSH为操作码，EAX为操作数，这是最简单的汇编代码，同样由最简单的一字节的硬编码相对应：50

接下来我们将列举常见的经典定长指令：

//INC/DEC //INC：加1，DEC：减1 40: INC EAX 41: INC ECX 42: INC EDX 43: INC EBX 44: INC ESP 45: INC EBP 46: INC ESI 47: INC EDI 48: DEC EAX 49: DEC ECX 4A: DEC EDX 4B: DEC EBX 4C: DEC ESP 4D: DEC EBP 4E: DEC ESI 4F: DEC EDI //PUSH/POP //PUSH：压栈；POP：出堆 50: PUSH EAX 51: PUSH ECX 52: PUSH EDX 53: PUSH EBX 54: PUSH ESP 55: PUSH EBP 56: PUSH ESI 57: PUSH EDI 58: POP EAX 59: POP ECX 5A: POP EDX 5B: POP EBX 5C: POP ESP 5D: POP EBP 5E: POP ESI 5F: POP EDI //MOV Rb, XX //MOV：数据传送。 B0 XX: MOV AL, XX B1 XX: MOV CL, XX B2 XX: MOV DL, XX B3 XX: MOV BL, XX B4 XX: MOV AH, XX B5 XX: MOV CH, XX B6 XX: MOV DH, XX B7 XX: MOV BH, XX B8 XX: MOV EAX, XX B9 XX: MOV ECX, XX BA: MOV EDX, XX BB: MOV EBX, XX BC: MOV ESP, XX BD: MOV EBP, XX BE: MOV ESI, XX BF: MOV EDI, XX //XCHG EAX, ERX //XCHG：内容交换 //只有EAX可以和其他寄存器交换 90: NOP(XCHG EAX, EAX) 91: XCHG EAX, ECX 92: XCHG EAX, EDX 93: XCHG EAX, EBX 94: XCHG EAX, ESP 95: XCHG EAX, EBP 96: XCHG EAX, ESI 97: XCHG EAX, EDI

经典定长指令要背会！！

注意：在32位程序下，寄存器只有8位和32位两种类型。通过在指令前添加前缀的方式，在不改变指令的情况下，可以将32位寄存器切换成16位寄存器，同样的方式可以将16位寄存器切换成8位寄存器