逆向，是安全領(lǐng)域必備的技能之一。但凡有編程經(jīng)驗的人都應(yīng)該熟知語言源代碼從編譯鏈接到執(zhí)行的過程，逆向就是把這個過程反了過來，反病毒人員捕獲到樣本，需要對其逆向才能分析出該樣本的行為，才能開發(fā)出有效的專殺工具。

　　在開始真正接觸逆向之前，首先要具備一些匯編的基礎(chǔ)知識，之所以說匯編的基礎(chǔ)知識，是說搞逆向沒有必要精通匯編，因為并不是要求我們成為匯編程序員；學(xué)習(xí)匯編的道路晦澀難懂，的方式是在學(xué)習(xí)逆向破解的過程中去根據(jù)實際需要去學(xué)習(xí)，那么本文主要介紹的是逆向基礎(chǔ)的寄存器和內(nèi)存方面的信息，首先介紹的是逆向主要是做什么的，其次對編程和機器架構(gòu)做了個簡介，詳細的闡述了逆向基礎(chǔ)的寄存器和內(nèi)存。

　　逆向主要是做什么的

　　1、逆向分析已經(jīng)編譯好的軟件，然后使用語言重現(xiàn)，可以模仿已有的比較好的軟件，供自己創(chuàng)業(yè)使用。

　　2、用于分析病毒，提取出特征碼，便于開發(fā)殺毒程序。

　　3、代碼審計，在匯編層面調(diào)試程序，寫出來的代碼更加安全。

　　4、外掛，游戲的外掛就是這樣產(chǎn)生的，具體就不詳細介紹的，畢竟不是光彩的事。

　　5、分析嵌入式設(shè)備中的漏洞。

　　6、開發(fā)嵌入式設(shè)備的軟件。

　　匯編語言的位置

　　為什么要學(xué)習(xí)匯編語言呢？就像學(xué)習(xí)美國文化要先懂英語一樣，如果不了解計算機的語言，又何談懂計算機呢？我們知道，計算機執(zhí)行的語言，或者稱之為命令序列或數(shù)據(jù)，都是以“1和0”的二進制語言，物理上則表現(xiàn)為電信號的高低電平。雖然我們現(xiàn)在有C/C++、Java、Python等一系列強大的語言，但是其真正落實到計算機的執(zhí)行時還是需要編譯或解釋成計算機懂的機器語言。早的時候計算機編程就是在紙帶上打孔表示1或0，以此作為編程指令，不僅難于操作，而且很難查錯，記憶也很困難。于是人們發(fā)明了機器語言的“人性化”表示：匯編語言（Assembly language），每條匯編指令都對應(yīng)著一條機器二進制串，但是卻更加容易理解和記憶：

　　雖然我們現(xiàn)在有許多的語言可以用來編程，但是如果想真的理解代碼執(zhí)行的實際過程，還是需要我們?nèi)ザ﹨R編語言，從本質(zhì)上理解機器的行為。因此當今IT的各位童鞋們學(xué)習(xí)匯編語言還是十分重要的，逆向就更不用說了。

　　機器架構(gòu)

　　計算機的是CPU，負責(zé)各種運算，其中又包括運算器和寄存器，寄存器中也用來存儲數(shù)據(jù)，但是一般較小，讀寫速度快，是運算器直接操作的對象；CPU之外有存儲器，存儲器一般指內(nèi)存，分為可讀寫的RAM和只可讀的ROM；其余各種外設(shè)比如顯卡、網(wǎng)卡等都通過主板上的總線與CPU相連，CPU通過總線同存儲器以及各種外設(shè)中的芯片（進而同外設(shè)中的存儲器）進行數(shù)據(jù)通信。

　　存儲器按字節(jié)大小分為存儲單元，例如一個字節(jié)是一個存儲單元。CPU訪問存儲器時必須完成三件任務(wù)：1. 存儲單元的地址（地址信息）；2. 器件的選擇，讀或?qū)懙拿睿刂菩畔ⅲ?. 讀或?qū)懙臄?shù)據(jù)（數(shù)據(jù)信息）；因此，CPU同各種存儲器之間自然而然存在三種總線：地址總線、控制總線與數(shù)據(jù)總線。

　　控制總線決定了命令的種類，數(shù)據(jù)總線決定了處理的數(shù)據(jù)位數(shù)，8位數(shù)據(jù)總線處理16位數(shù)據(jù)時要分兩次進行，而16位數(shù)據(jù)總線就能解決問題。地址總線則決定了CPU的尋址能力，即內(nèi)存的大小，比如8位的地址總線只有256個單元，即256字節(jié)，而32位的地址總線多有2的32次冪bit，即4GB，這也是x86多支持4G內(nèi)存的原因。

　　既然說到了4G內(nèi)存的由來，那么就可以趁熱打鐵說說內(nèi)存地址空間了，CPU認識的每個存儲單元默認為1字節(jié)，因此可以定位的所有內(nèi)存單元就是2的N次冪，N為地址總線長度，因此這個內(nèi)存地址也就構(gòu)成了計算機的內(nèi)存地址空間，即所有可讀寫的存儲器單元必須在這其中，否則就無法為CPU所定位檢索。一般的架構(gòu)是這樣的：

　　這里0x9ffff是655539，0xbffff是786431，0xfffff是1048575，這樣認識的會更清楚些（感謝Python的計算機功能，果然方便）。主存儲器地址空間即內(nèi)存，如果直接操作這個地址空間內(nèi)的數(shù)據(jù)，效果就是直接讀寫內(nèi)存數(shù)據(jù)；顯存地址空間指的的是顯存中的RAM部分。

　　逆向基礎(chǔ)之寄存器和內(nèi)存

　　CPU中的主要結(jié)構(gòu)是運算器、控制器與寄存器，這些器件通過CPU的內(nèi)部總線相連，其中運算器負責(zé)信息處理，寄存器負責(zé)信息存儲，控制器控制各種器件進行工作，內(nèi)部總線連接各種器件，在它們之間進行數(shù)據(jù)的傳送。對于匯編程序員來說，主要部件是寄存器，因為只有寄存器是我們可以編程直接操作的。不同的CPU架構(gòu)不同，8086CPU共有14個寄存器，分別是AX、BX、CX、DX、SI、DI、SP、BP、IP、CS、SS、DS、ES、PSW，今天我們先來學(xué)習(xí)基礎(chǔ)的通用寄存器，其余的寄存器在用到時會給予說明。

　　一、通用寄存器

　　AX、BX、CX和DX是四個通用寄存器，通常用來存放一般性的數(shù)據(jù)，后面的分析都在8086CPU中進行。每個通用寄存器是16位，即可以處理一個字（2個字節(jié)）的數(shù)據(jù)，但是為了與8086CPU之前的CPU相容，也支持一個字節(jié)的寄存器，即AH與AL，類似的還有BH和BL等，CPU操作時會降A(chǔ)H和AL當作獨立的寄存器，運算進位時會直接丟棄，因為CPU認為只有一個8位的寄存器而已：

　　二、物理地址

　　CPU訪問內(nèi)存需要知曉存儲單元的地址，由于8086CPU地址總線為20位，但是寄存器卻只有16位，即處理的地址多只有2的16次冪，遠小于2的20次冪。為了彌補這個問題，8086CPU采用了一種特殊的方式通過16位的寄存器來構(gòu)造20位的訪問地址，簡單來說，即：段地址*16+偏移地址。從計算的位數(shù)上來說，段地址和偏移地址存儲在CPU寄存器中，都是16位的；段地址*16，即整體在右邊添加4個二進制位，成為了20位；20位與16位相加，得到了20位的實際內(nèi)存地址。這里雖然是8086CPU中的方法，但是其實確實現(xiàn)在所有CPU中的實際尋址算法，即一個基地址加上一個偏移量得到一個實際地址。由此我們可以得到段的概念，內(nèi)存本身不分段，但是由于CPU的特殊尋址方式，我們可以將內(nèi)存看作64KB的一個個段（16位的值正好是64KB），因此我們可以在匯編中人為的指定段的起始和結(jié)束。當然，這里的段地址和偏移量實際上存儲在CPU的寄存器中，比如獲取指令的CS:IP，其中CS為代碼段寄存器，其中存儲代碼段的基地址，IP寄存器則存儲著當前要執(zhí)行的指令的指針，即一個偏移量，因此CS:IP指定了接下來CPU要執(zhí)行的指令的位置。這里需要說明的是，內(nèi)存中的數(shù)據(jù)對于CPU來說都是二進制位，能夠區(qū)分數(shù)據(jù)和指令的標準就是指令曾經(jīng)或者正在被CS:IP指定；每執(zhí)行完一條指令，IP會累加上條指令的長度，從而指向下調(diào)指令。

　　我們是否可以修改控制CS:IP的值呢？答案是肯定的，只不過我們不能使用mov等傳送指令，而應(yīng)當使用jmp這類轉(zhuǎn)移指令，基本的用法是：

　　-1. 修改CS:IP： jmp 2AE3:3 執(zhí)行后：CS=2AE3H， IP=0003H；

　　-2. 僅修改IP：jmp ax（ie. move ip， ax）即用寄存器中的值修改IP；

　　三、內(nèi)存訪問

　　CPU訪問內(nèi)存除了獲取指令，還要獲取數(shù)據(jù)，那么數(shù)據(jù)部分如何定位的呢？同指令的CS:IP一樣，8086CPU使用DS：［。。。］來獲取內(nèi)存數(shù)據(jù)地址，其中段寄存器存儲內(nèi)存數(shù)據(jù)段的基地址，而［。。。］表示一個內(nèi)存偏移量指向的內(nèi)存單元，如［0］表示偏移量為0的內(nèi)存單元，這里使用時要注意，8086CPU不支持直接對DS傳送值，因此mov ds， 1000H是非法的，正確地是通過寄存器來實現(xiàn)，即：mov ax， 1000H; mov ds， ax;

　　這部分我們要學(xué)習(xí)基本的匯編指令，如mov、sub、add等，都可以操作寄存器，操作完之后將數(shù)據(jù)放入個參數(shù)表示的寄存器中。CPU中的內(nèi)存數(shù)據(jù)一種特殊的結(jié)果就是棧，即只能從一端讀寫數(shù)據(jù)的結(jié)構(gòu)，其基本指令是push ax；將寄存器ax的值入棧；和pop ax；從棧中取出棧頂元素放入寄存器ax中；下面是mov\add\sub命令的一個簡單示例：

　　然后我們來看看PUSH命令的執(zhí)行過程：

　　然后是POP命令：

　　可以看出，棧的操作關(guān)鍵是棧頂位置的確定，因此CPU專門使用SS:SP來獲取當前內(nèi)存中棧頂?shù)奈恢?。值得一提的是，CPU本身并沒有對棧的大小進行檢查，因此實際中會出現(xiàn)棧頂越界的問題（上限超出-PUSH；下限超出-POP），這也就要求我們必須人為進行檢查，否則就會出現(xiàn)程序的漏洞。