Вызов функций: как это выглядит в машинном коде

Функции используются в программировании повсеместно, поэтому реверс-инженер должен хорошо понимать общие принципы построения программного кода при вызове функций. В этой заметке мы рассмотрим 3 вида функций: 1. Функции, которые не возвращают значение (void). 2. Функции, которые возвращают целое число. 3. Функции с параметрами.

Вызов функций выглядит следующим образом:

newfunc();
newfuncret();
funcparams(intvar, stringvar, charvar);

Давайте глянем, каким образом осуществляется вызов функций newfunc() и newfuncret() без параметров, и как это выглядит в машинном коде:

Функция newfunc() просто осуществляет вывод сообщения «Hello! I’m a new function!»:

void newfunc() { // новая функция, не имеющая параметров
    printf("Hello! I'm a new function"!);
}

Функция newfunc() в машинном коде:

Здесь функция задействует инструкцию retn, но только лишь для возврата к предыдущему местоположению (это необходимо, чтобы программа смогла продолжить работу после завершения функции).

Теперь давайте посмотрим на функцию newfuncret(), генерирующую случайное целое число посредством функции С++ rand() с последующим его возвратом.

int newfuncret() { // новая функция, которая что-то возвращает
    int A = rand();

    return A;
}

Функция newfuncret() в машинном коде:

Итак, в первую очередь выделяется место под переменную A. Далее происходит вызов функции rand(), результат которой помещается в EAX-регистр. Потом значение EAX помещается в место, которое выделено под переменную A, по сути, присваивая результат функции rand() переменной A. В конце концов, переменная A помещается в регистр EAX, что необходимо для того, чтобы функция смогла его применять в качестве возвращаемого параметра.

В принципе, мы разобрались с тем, каким образом осуществляется вызов функций без параметров, а также с тем, что именно происходит при возврате значения из функции. Теперь пришло время поговорить о вызове функции с параметрами. Такой вызов выглядит так:

funcparams(intvar, stringvar, charvar);

Вызов функции с параметрами в машинном коде:

Строки в языке программирования С++, который мы используем для демонстрации функций, требуют вызова функции basic_string, однако концепция вызова функции с параметрами не имеет зависимости от типа данных. В первую очередь, переменная помещается в регистр, оттуда — в стек, и лишь только потом осуществляется вызов функции.

Давайте глянем на код нашей функции:

void funcparams (int iparam, string sparam, char cparam) { // функция с параметрами

    printf("%i \n", iparam);
    printf("%s \n", sparam);
    printf("%c \n", cparam);
}

А теперь на машинный код функции funcparams()

Данная функция берёт строку, символ и целое число, а потом печатает их посредством printf(). Поначалу переменные помещаются в начало функции, а потом они перемещаются в стек для вызова в качестве параметров printf(). Как видите, всё очень просто.

По материалам статьи «BOLO: Reverse Engineering — Part 1 (Basic Programming Concepts)».