Вызов функций: как это выглядит в машинном коде
Функции используются в программировании повсеместно, поэтому реверс-инженер должен хорошо понимать общие принципы построения программного кода при вызове функций. В этой заметке мы рассмотрим 3 вида функций: 1. Функции, которые не возвращают значение (void). 2. Функции, которые возвращают целое число. 3. Функции с параметрами.
Вызов функций выглядит следующим образом:
newfunc(); newfuncret(); funcparams(intvar, stringvar, charvar);
Давайте глянем, каким образом осуществляется вызов функций newfunc() и newfuncret() без параметров, и как это выглядит в машинном коде:
Функция newfunc() просто осуществляет вывод сообщения «Hello! I’m a new function!»:
void newfunc() { // новая функция, не имеющая параметров printf("Hello! I'm a new function"!); }
Функция newfunc() в машинном коде:
Здесь функция задействует инструкцию retn, но только лишь для возврата к предыдущему местоположению (это необходимо, чтобы программа смогла продолжить работу после завершения функции).
Теперь давайте посмотрим на функцию newfuncret(), генерирующую случайное целое число посредством функции С++ rand() с последующим его возвратом.
int newfuncret() { // новая функция, которая что-то возвращает int A = rand(); return A; }
Функция newfuncret() в машинном коде:
Итак, в первую очередь выделяется место под переменную A. Далее происходит вызов функции rand(), результат которой помещается в EAX-регистр. Потом значение EAX помещается в место, которое выделено под переменную A, по сути, присваивая результат функции rand() переменной A. В конце концов, переменная A помещается в регистр EAX, что необходимо для того, чтобы функция смогла его применять в качестве возвращаемого параметра.
В принципе, мы разобрались с тем, каким образом осуществляется вызов функций без параметров, а также с тем, что именно происходит при возврате значения из функции. Теперь пришло время поговорить о вызове функции с параметрами. Такой вызов выглядит так:
funcparams(intvar, stringvar, charvar);
Вызов функции с параметрами в машинном коде:
Строки в языке программирования С++, который мы используем для демонстрации функций, требуют вызова функции basic_string, однако концепция вызова функции с параметрами не имеет зависимости от типа данных. В первую очередь, переменная помещается в регистр, оттуда — в стек, и лишь только потом осуществляется вызов функции.
Давайте глянем на код нашей функции:
void funcparams (int iparam, string sparam, char cparam) { // функция с параметрами printf("%i \n", iparam); printf("%s \n", sparam); printf("%c \n", cparam); }
А теперь на машинный код функции funcparams()
Данная функция берёт строку, символ и целое число, а потом печатает их посредством printf(). Поначалу переменные помещаются в начало функции, а потом они перемещаются в стек для вызова в качестве параметров printf(). Как видите, всё очень просто.
По материалам статьи «BOLO: Reverse Engineering — Part 1 (Basic Programming Concepts)».