花指令 - sh4d0w

sh4d0w

公告

[旧博客放转转了，此博客还在完善] 学习过一些reverse、android，正在考虑学新东西ing

1107 字

6 分钟

花指令

2025-11-06

Reverse

学习笔记

花指令原理#

反编译器的线性反编译(理解花指令的重点)（https://bbs.kanxue.com/thread-279604.htm）#

1
反编译器的工作原理是，从exe的入口AddressOfEntryPoint处开始，依序扫描字节码，并转换为汇编，比如第一个16进制字节码是0xE8，一般0xE8代表汇编里的CALL指令，且后面跟着的4个字节数据跟地址有关，那么反编译器就读取这一共5个字节，反编译为`CALL 0x地址` 。
2

3
对应的，有些字节码只需要一个字节就可以反编译为一条指令，例如0x55对应的是`push ebp`，这条语句每个函数开始都会有。同样，有些字节码又需要两个、三个、四个字节来反编译为一条指令。
4

5
也就是说，如果中间只要一个地方反编译出错，例如两条汇编指令中间突然多了一个字节0xE8，那反编译器就会将其跟着的4个字节处理为CALL指令地址相关数据给反编译成一条`CALL 0x地址`指令。但实际上0xE8后面的四个字节是单独的字节码指令。这大概就是**线性反编译**。
6

7
线性扫描和递归下降
8

9
线性扫描：
10
线性扫描的特点：从入口开始，一次解析每一条指令，遇到分支指令不会递归进入分支。
11

12
递归下降：
13
当使用线性扫描时，比如遇到call或者jmp的时候，不会跳转到对应地址进行反汇编，而是反汇编call指令的下一条指令，这就会导致出现很多问题。
14
递归下降分析当遇到分支指令时，会递归进入分支进行反汇编。

基础花指令类型#

1.jmp（并不能骗过ida）#

1
__asm{
2
    jmp LABEL1;
3
    _emit 0xe8; // 无用操作数
4
LABEL1:
5
}

2.jnz,jz一类的跳转（可以看作是互补的跳转）#

1
__asm{
2
    jz/jo/jc label1;
3
    jnz/jno/jnc label1;
4
  _emit 0x55; // 无用操作数
5
    _emit 0xe8;
6
label1:
7
}

3.永真永假跳转#

1
__asm{
2
    clc;                  // 清除进位标志 CF，设置 CF 为 0
3
    jnc label1;           // 如果 CF 为 1，跳转到 label1
4
    _emit junkcode;       // 垃圾数据，不会执行
5
label1:
6
}
7

8
/*
9
__asm{
10
  xor eax, eax;
11
  jz label1;
12
  _emit 0xe8;
13
label1:
14
}
15
*/

4.call、ret指令#

1
__asm {
2
    call LABEL9;        // 调用 LABEL9，实际上是将 LABEL9 的地址压入堆栈，并跳转到 LABEL9 执行
3
    _emit 0x83;         // 插入字节 0x83，作为垃圾数据，不会被执行到
4
LABEL9:
5
    add dword ptr ss : [esp], 8; // 修改堆栈顶的返回地址，加上 8（根据操作数的个数来定）
6
    ret;                // 从 LABEL9 返回，返回地址被修改过
7
    __emit 0xF3;        // 插入字节 0xF3，作为垃圾数据，不会被执行到
8
}

5.扩充#

call指令会压入地址后并实现jmp跳转，ret指令会弹出栈顶地址并实现jmp到该地址，ret指令是用来维护堆栈平衡的。由于call指令会压入一个地址，可以用add esp, 4来实现堆栈平衡（也可以用pop来实现堆栈平衡），这样就相当是一个jmp指令，这种实现可以骗过ida。

1
__asm{
2
    call label1;
3
    ...
4
label1:
5
    add esp, 4;
6
    ...
7
} // jmp

还可以通过call指令还可以用来查看eip

1
__asm{
2
    _emit 0xE8;
3
    _emit 0x00;
4
    _emit 0x00;
5
    _emit 0x00;
6
    _emit 0x00;
7
}

test.c#

1
#include <stdio.h>
2
int main()
3
{
4

5
    __asm {
6
    call LABEL9;
7
        _emit 0x83;
8
    LABEL9:
9
        add dword ptr ss : [esp] , 8;
10
        ret;
11
        _emit 0x55;
12
    }
13
    printf("hello world1\n");
14

15
    __asm {
16
        jo LABEL10;
17
        jno LABEL10;
18
        _emit 0xE8;
19
    LABEL10:
20
    }
21
    printf("hello world2\n");
22
    __asm {
23
        xor eax, eax;
24
        jz LABEL11;
25
        _emit 0xE8;
26
    LABEL11:
27
    }
28
    /*
29
    __asm {
30
        clc;
31
        jnc label11;
32
        _emit 0xF3;
33
    label11 :
34
    }
35
    */
36

37
    printf("hello world3\n");
38

39
    __asm {
40
        _emit 0xE8;
41
        _emit 0x01;
42
        _emit 0x00;
43
        _emit 0x00;
44
        _emit 0x00;
45
        _emit 0x55;
46
        pop eax;
47
    }
48

49
    printf("hello world4\n");
50
}

将基本花指令组合形成比较的复杂花指令#

1
#include <stdio.h>
2
#include <stdlib.h>
3
#include <string.h>
4
void encr(char* input)
5
{
6
    __asm {
7
        jo label1;
8
        jno label1;
9
        _emit 0xE8;
10
    }
11
    /********junk_code********/
12
    /*************************/
13
    __asm {
14
    label2:
15
        call label3;
16
        _emit 0x55;
17
        _emit 0xf3;
18
    }
19

20
    /********junk_code********/
21
    for (int i = 0; i < strlen(input); i++) {
22
        input[i] += 0x33;
23
        input[i] ^= 0x33;
24
    }
25
    /*************************/
26

27
    __asm {
28
    label4:
29
    }
30

31
    for (int i = 0; i < strlen(input); i++) {
32
        input[i] -= 0x10;
33
    }
34
    __asm {
35
        xor eax, eax;
36
        jz label5;
37
    }
38
    /********junk_code********/
39
    /*************************/
40
    __asm {
41
    label1:
42
        xor eax, eax;
43
        jz label2;
44
        _emit 0x55;
45

46
    }
47

48
    /********junk_code********/
49
    for (int i = 0; i < strlen(input); i++) {
50
        input[i] += 0x22;
51
        input[i] ^= 0x22;
52
    }
53
    /*************************/
54
    __asm {
55
    label3:
56
        add esp, 4;
57
        xor eax, eax;
58
        jz label4;
59
    }
60
    /********junk_code********/
61
    /*************************/
62
    __asm {
63
    label5:
64
    }
65
    /********junk_code********/
66
    /*************************/
67
    return;
68
}
69

70

71
int main(int argc, const char** argv)
72
{
73

74
    char cipher[33] = { 86, 92, 81, 87, 107, 33, 33, 34, 35, 29, 34, 35, 36, 37, 29, 33, 34, 35, 36, 37, 34, 35, 37, 34, 35, 34, 37, 34, 35, 33, 34, 109, 0};
75
    encr(argv[1]);
76
    if (strcmp(cipher, argv[1]) == 0) {
77
        printf("right");
78
    }
79
    else {
80
        printf("wrong");
81
    }
82
}

花指令

https://mizuki.mysqil.com/posts/花指令/

作者