当您在程序集中推送内存地址时会发生什么？

Question

我想反向工程拆解的二进制文件。我不明白它使一个呼叫时它在做什么，例如：

推$ 0x804a254

是什么使得它更加混乱的是，该地址是不是和指令的地址也不是在符号表。它在做什么？

Answer 1

这是以下三种情况之一：它是一个常量（无论是散列，数字，位标记还是类型地址），变量或缓冲区的地址（包括字符串文字）或者是一个错误分析的操作数（由于加密/废弃）。它的真正意义与它的使用有关（不管是调用参数还是设置mem/reg的间接方法）。

Answer 2

您看到的值不在任何表格或指令中，因为它是局部变量。 （局部变量不保持与符号表关联的名字，因为他们只是“活着”，而你是在一个特定的方法）地址相当于像

void somefunc() 
{ 
    int t; //t may have address 0x804a254 since this is a local variable. 
} 

为了正确地释放内存的局部变量在系统堆栈上分配而不是在内存中的其他位置。它们在函数创建时被推入，当函数返回时弹出，这就是你所看到的。

Answer 3

该指令只是将32位常量（0x804a254）推入堆栈。

仅靠这个指令是不足以让我们知道它是如何被使用的。你能否提供更多的代码解构？特别是我想知道这个值在哪里出现，以及这个值如何被使用。

在开始任何逆向工程之前，我会推荐阅读本书（Reverse Engineering secrets），然后再阅读X86指令集手册（Intel或AMD）。我假设你是x86 CPU的反向工程。