Name: C++反汇编与逆向分析技术揭秘
ISBN: 9787111356332

作者: 钱林松 / 赵海旭
出版社: 机械工业出版社华章公司
出版年: 2011-10
页数: 411
定价: 69.00元
装帧: 平装
丛书: 安全技术大系
ISBN: 9787111356332

豆瓣评分

7.6

112人评价

5星

33.9%
4星

48.2%
3星

15.2%
2星

2.7%
1星

0.0%

评价:

内容简介 · · · · · ·

本书既是一本全面而系统地讲解反汇编与逆向分析技术的安全类专著，又是一部深刻揭示C++内部工作机制的程序设计类著作。理论与实践并重，理论部分系统地讲解了C++的各种语法特性和元素的逆向分析方法和流程，重在授人以渔；实践部分通过几个经典的案例演示了逆向分析技术的具体实施步骤和方法。

全书共分为三大部分：第一部分主要介绍了VC++6.0、OllyDBG和反汇编静态分析工具的使用，以及反汇编引擎的工作原理；第二部分以C/C++语法为导向，以VC++6.0为例，深入解析了每个C/C++知识点的汇编表现形式，包括基本数据类型、表达式、流程控制语句、函数、变量、数组、指针、结构体、类、构造函数、析构函数、虚函数、继承和多重继承、异常处理等，这部分内容重在修炼“内功”，不仅讲解了调试和识别各种C/C++语句的方法，而且还深入剖析了各知识点的底层机制；第三部分是逆向分...

(展开全部)

作者简介 · · · · · ·

钱林松，资深安全技术专家、软件开发工程师和架构师，从事计算机安全和软件开发工作12年，实践经验极其丰富。尤其精通软件逆向分析技术，对C/C++技术和Windows的底层机制也有非常深入的研究。武汉科锐软件技术有限公司创始人，教学经验丰富，多年来，为国内计算机安全领域培养和输送了大量的人才。活跃于看雪论坛，有较高的知名度和影响力。

目录 · · · · · ·

前言
第一部分　准备工作
第1章　熟悉工作环境和相关工具 / 2
1.1　调试工具Microsoft Visual C++ 6.0和OllyDBG / 2
1.2　反汇编静态分析工具IDA / 5
1.3　反汇编引擎的工作原理 / 11
· · · · · · (更多)

原文摘录 · · · · · · ( 全部 )

IDA图标是“世界上第一位女程序员”Ada，Lovelace的头像 (查看原文)

koo 2013-05-27 09:57:59

—— 引自第6页
安装好IDA的同时，已将常用库制作为SIG文件放置在IDA安装目录的SIG文件夹下，减小分析工作量。 (查看原文)

koo 2013-05-27 10:20:44

—— 引自第12页

> 全部原文摘录

豆瓣成员常用的标签(共73个) · · · · · ·

C++ 逆向工程编程 C/C++ 计算机计算机科学程序设计

丛书信息

　　安全技术大系 (共9册), 这套丛书还有《网络扫描技术揭秘》,《内核漏洞的利用与防范》,《系统安全保证》,《Windows PE权威指南》,《BackTrack4》等。

喜欢读"C++反汇编与逆向分析技术揭秘"的人也喜欢 · · · · · ·

: 软件调试

: IDA Pro权威指南（第2版）

: 琢石成器

: 加密与解密（第4版）

: 0day安全（第2版）

: 有趣的二进制

: Windows高级调试

: C++语言的设计与演化

: 黑客反汇编揭秘

: 虚拟机设计与实现

我来说两句

短评 · · · · · · ( 全部 38 条 )

C++反汇编与逆向分析技术揭秘的话题 · · · · · · ( 全部条 )

什么是话题

无论是一部作品、一个人，还是一件事，都往往可以衍生出许多不同的话题。将这些话题细分出来，分别进行讨论，会有更多收获。

我要写书评

C++反汇编与逆向分析技术揭秘的书评 · · · · · · ( 全部 2 条 )

对做逆向工程的来说帮助很大

泉哥在《漏洞战争》里推荐的这本书，之前也看了一小部分，鉴于泉哥的推荐，我在多看阅读上购买了电子版，又刷了一遍，总体来说，质量上佳，比市面上很多口水技术书硬很多。它通过调试器去逆向各种 C++内部机制，不仅有几本的 c++ 变量等内容，后边还有关于类，构造，析构函数，... (展开)

0回应

soliddream 2013-06-15 16:45:04

很适合学习C++与汇编

建议读者看这本书时，有什么C++概念不清楚参考C++经典书，比如《C++程序设计语言》。书中代码与谭浩强的《C语言程序设计》有的一拼。C++概念有些地方也阐述的不到位。比如P269值得吐槽的太多了，挑倒数第二段吐下槽。记得当初学C++的时候，老师教我们父类和子类的关系是"是"，... (展开)

1 0回应

> 更多书评 2篇

读书笔记 · · · · · · (共19篇)

我来写笔记

按有用程度
按页码先后
最新笔记

展开收起
第9页

辣舞斯旮雷特 (下片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
引自第9页

推荐

回应 2015-11-28 21:00
展开收起
第1页整本书的笔记

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：[http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968] (1回应)
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

1回应 2014-05-11 17:41
展开收起
第150页 6.1 栈帧的形成和关闭

稔稔 (我说你像云捉摸不定)

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ebp...
2013-10-07 16:21

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ebp 0040D3E1 mov ebp,esp 0040D3E3 sub esp,4Ch 0040D3E6 push ebx 0040D3E7 push esi 0040D3E8 push edi 0040D3E9 lea edi,[ebp-4Ch] //lea有效地址传送指令区别MOV传送指令：MOV传送的是地址所指的内容，而LEA只是地址。 0040D3EC mov ecx,13h //将重复执行指令的次数放到ecx 0040D3F1 mov eax,0CCCCCCCCh //初始化eax （int 3） 0040D3F6 rep stos dword ptr [edi] //用eax中的值初始化到edi指向的地址，长度为dword，循环执行数为ecx中的值

推荐

回应 2013-10-07 16:21
展开收起
第206页数组和指针的寻址

koo

数组名是个地址常量值，保存数组元素的首地址。对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。地址无法被语言...
2013-05-31 10:57

数组名是个地址常量值，保存数组元素的首地址。
对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。
引自数组和指针的寻址

字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。
引自数组和指针的寻址
以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。地址无法被语言直接表达——你摆脱不了类型。内建&返回的总是有类型的指针值（或者按C++的说法，指针类型的prvalue）。对数组作用&，得到的是指向数组的指针。对数组的元素作用&，得到的是指向数组元素的指针。数组名作为表达式，可以指称整个数组，只是通常会隐式转换为指向首个元素的指针而不再是整个数组。但是有少数例外：如作为&/sizeof的操作数时。所以说“数组名在C语言中表示数组首地址”在各种意义上都是不严格的说法。访问数组的两种方法：下标访问和指针访问。函数指针：函数指针式比较特殊的指针类型，由于其保存的地址数据为代码段内的地址信息，而非数据区，因此不存在便宜情况，为了防止函数指针发生错误偏移，编译器将在编译器进行检查，不允许函数指针进行加减法等没有意义的运算。

推荐

回应 2013-05-31 10:57

展开收起
第1页整本书的笔记

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：[http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968] (1回应)
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

1回应 2014-05-11 17:41
展开收起
第6页熟悉工作环境和相关工具

koo

因为IDA和OllyDBG用得少，所以快捷键老记不住，在这里存个档好了。很早以前就读过了，这本书。 OllyDBG基本快捷键和功能 F2------断点，其实就是int 3，软件断点 F3------加载exe，进行调试分析 F4------程序执行到光标处 F5------缩小，还原当前窗口 F7------单步步入 F8------单步步过 F9------直接运行程序，遇到断点，中断 Ctrl+F2-------重新运行程序到起始处，用于重新调试程序 Ctrl+F9-------执行到函数返回处，用于跳出...
2013-05-27 09:57

因为IDA和OllyDBG用得少，所以快捷键老记不住，在这里存个档好了。很早以前就读过了，这本书。 OllyDBG基本快捷键和功能 F2------断点，其实就是int 3，软件断点 F3------加载exe，进行调试分析 F4------程序执行到光标处 F5------缩小，还原当前窗口 F7------单步步入 F8------单步步过 F9------直接运行程序，遇到断点，中断 Ctrl+F2-------重新运行程序到起始处，用于重新调试程序 Ctrl+F9-------执行到函数返回处，用于跳出函数实现 Alt+F9-------执行到用户代码处，用于快速跳出系统函数（API）（其实也就是返回到程序领空） Ctrl+G------输入16进制地址，在反汇编窗口快速定位到该地址小插曲
IDA图标是“世界上第一位女程序员”Ada，Lovelace的头像
引自熟悉工作环境和相关工具
IDA常用快捷键使用说明 Enter------跟进函数实现，查看标号对应的地址 Esc------返回跟进处 A------解释光标处的地址为一个字符串的首地址 B------16进制与2进制数转换 C------解释光标处的地址为一条指令 D------解释光标处的地址为数据，每按一次将会转换这个地址的数据长度 G------快速查找对应地址 H------16进制与10进制数互换 K------将数据解释为栈变量 ;-------添加注释 M------解释为枚举成员 N------重新命名 O------解释地址为数据段偏移量，用于字符串标号 T------解释数据为一个结构体成员 X------转换视图到交叉参考模式 Shift+F9------添加结构体

推荐

回应 2013-05-27 09:57
展开收起
第9页
hyp
1.lib2obj 这步是为了从lib中得到obj,有时候我们直接就得到obj就可以略过此步. 要取出lib中的obj,我们需要先使用link -lib /list libname枚举lib内部的obj 然后使用link -lib /extract:objname libname取出相应的obj 对应的批处理代码如下(%1为libname) for /F %%i in (‘link -lib /list %1.lib’) do link -lib /extract:%%i %1.lib 这个批处理有个缺点,如果objname带空格就无法成功. 2.obj2pat 使用pcf.exe把obj转换为pat,命...
2012-02-15 13:54
1.lib2obj 这步是为了从lib中得到obj,有时候我们直接就得到obj就可以略过此步. 要取出lib中的obj,我们需要先使用link -lib /list libname枚举lib内部的obj 然后使用link -lib /extract:objname libname取出相应的obj 对应的批处理代码如下(%1为libname) for /F %%i in (‘link -lib /list %1.lib’) do link -lib /extract:%%i %1.lib 这个批处理有个缺点,如果objname带空格就无法成功. 2.obj2pat 使用pcf.exe把obj转换为pat,命令如下 pcf.exe objname 对应的批处理代码如下,可以把当前目录下全部obj文件转换为pat for %%i in (*.obj) do pcf %%i 3.pat2sig 使用sigmake把pat转换为sig,命令如下 sigmake -n”libname” *.pat signame 第一次运行可能会出现冲突,sigmake会输出信息到exc文件打开exc文件去掉前两行保存,重新运行sigmake就成功了. 对应的批处理代码如下(%1为libname):
sigmake -n"%1.lib" *.pat %1.sig if exist %1.exc for %%i in (%1.exc) do > abc.exc more +2 "%%i" copy abc.exc %1.exc del abc.exc sigmake -n"%1.lib" *.pat %1.sig
4.lib2sig 上面提到的程序在随书代码(见参考资料)里可以找到下面的bat也是随书代码里面的,整合了上面1~3操作,我随手注释掉了一句我觉得没有用的功能.
md %1_objs cd %1_objs for /F %%i in ('link -lib /list %1.lib') do link -lib /extract:%%i %1.lib for %%i in (*.obj) do pcf %%i sigmake -n"%1.lib" *.pat %1.sig rem if exist %1.exc for %%i in (%1.exc) do find /v ";" %%i > abc.exc if exist %1.exc for %%i in (%1.exc) do > abc.exc more +2 "%%i" copy abc.exc %1.exc del abc.exc sigmake -n"%1.lib" *.pat %1.sig copy %1.sig ..\%1.sig cd .. del %1_objs /s /q rd %1_objs
BAT使用帮助将pcf.exe、sigmake.exe所在的目录加入环境变量 path 中将要生成sig文件的LIB文件与批处理文件放同一个目录在DOS下运行，将LIB的文件名做为第一个参数即可(去掉后缀.lib) 5.sig4ida 把第4步生成的sig文件复制到IDA目录中的sig目录下按Shift+F5打开IDA签名窗口,添加刚才的sig文件,然后随便点几下就可以看到效果了. 参考资料《C++反汇编与逆向分析技术揭秘》随书代码 http://bbs.pediy.com/showthread.php?t=141304 原文地址:http://peonrun.com/2012/sig-for-ida/

推荐

回应 2012-02-15 13:54
展开收起
第9页

辣舞斯旮雷特 (下片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
引自第9页

推荐

回应 2015-11-28 21:00

展开收起
第9页

辣舞斯旮雷特 (下片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
引自第9页

推荐

回应 2015-11-28 21:00
展开收起
第1页整本书的笔记

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：[http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968] (1回应)
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

1回应 2014-05-11 17:41
展开收起
第150页 6.1 栈帧的形成和关闭

稔稔 (我说你像云捉摸不定)

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ebp...
2013-10-07 16:21

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ebp 0040D3E1 mov ebp,esp 0040D3E3 sub esp,4Ch 0040D3E6 push ebx 0040D3E7 push esi 0040D3E8 push edi 0040D3E9 lea edi,[ebp-4Ch] //lea有效地址传送指令区别MOV传送指令：MOV传送的是地址所指的内容，而LEA只是地址。 0040D3EC mov ecx,13h //将重复执行指令的次数放到ecx 0040D3F1 mov eax,0CCCCCCCCh //初始化eax （int 3） 0040D3F6 rep stos dword ptr [edi] //用eax中的值初始化到edi指向的地址，长度为dword，循环执行数为ecx中的值

推荐

回应 2013-10-07 16:21
展开收起
第206页数组和指针的寻址

koo

数组名是个地址常量值，保存数组元素的首地址。对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。地址无法被语言...
2013-05-31 10:57

数组名是个地址常量值，保存数组元素的首地址。
对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。
引自数组和指针的寻址

字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。
引自数组和指针的寻址
以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。地址无法被语言直接表达——你摆脱不了类型。内建&返回的总是有类型的指针值（或者按C++的说法，指针类型的prvalue）。对数组作用&，得到的是指向数组的指针。对数组的元素作用&，得到的是指向数组元素的指针。数组名作为表达式，可以指称整个数组，只是通常会隐式转换为指向首个元素的指针而不再是整个数组。但是有少数例外：如作为&/sizeof的操作数时。所以说“数组名在C语言中表示数组首地址”在各种意义上都是不严格的说法。访问数组的两种方法：下标访问和指针访问。函数指针：函数指针式比较特殊的指针类型，由于其保存的地址数据为代码段内的地址信息，而非数据区，因此不存在便宜情况，为了防止函数指针发生错误偏移，编译器将在编译器进行检查，不允许函数指针进行加减法等没有意义的运算。

推荐

回应 2013-05-31 10:57