C++反汇编与逆向分析技术揭秘 (豆瓣)

作者: 钱林松 / 赵海旭
出版社: 机械工业出版社华章公司
出版年: 2011-10
页数: 411
定价: 69.00元
装帧: 平装
丛书: 安全技术大系
ISBN: 9787111356332

豆瓣评分

8.2

78人评价

5星

30.8%
4星

50.0%
3星

15.4%
2星

3.8%
1星

0.0%

评价:

内容简介 · · · · · ·

本书既是一本全面而系统地讲解反汇编与逆向分析技术的安全类专著，又是一部深刻揭示C++内部工作机制的程序设计类著作。理论与实践并重，理论部分系统地讲解了C++的各种语法特性和元素的逆向分析方法和流程，重在授人以渔；实践部分通过几个经典的案例演示了逆向分析技术的具体实施步骤和方法。

全书共分为三大部分：第一部分主要介绍了VC++6.0、OllyDBG和反汇编静态分析工具的使用，以及反汇编引擎的工作原理；第二部分以C/C++语法为导向，以VC++6.0为例，深入解析了每个C/C++知识点的汇编表现形式，包括基本数据类型、表达式、流程控制语句、函数、变量、数组、指针、结构体、类、构造函数、析构函数、虚函数、继承和多重继承、异常处理等，这部分内容重在修炼“内功”，不仅讲解了调试和识别各种C/C++语句的方法，而且还深入剖析了各知识点的底层机制；第三部分是逆向分...

(展开全部)

作者简介 · · · · · ·

钱林松，资深安全技术专家、软件开发工程师和架构师，从事计算机安全和软件开发工作12年，实践经验极其丰富。尤其精通软件逆向分析技术，对C/C++技术和Windows的底层机制也有非常深入的研究。武汉科锐软件技术有限公司创始人，教学经验丰富，多年来，为国内计算机安全领域培养和输送了大量的人才。活跃于看雪论坛，有较高的知名度和影响力。

目录 · · · · · ·

前言
第一部分　准备工作
第1章　熟悉工作环境和相关工具 / 2
1.1　调试工具Microsoft Visual C++ 6.0和OllyDBG / 2
1.2　反汇编静态分析工具IDA / 5
1.3　反汇编引擎的工作原理 / 11
· · · · · · (更多)

豆瓣成员常用的标签(共67个) · · · · · ·

C++ 逆向反汇编与逆向 C++逆向编程计算机 C/C++ 逆向工程

丛书信息

　　安全技术大系 (共7册), 这套丛书还有《渗透测试实践指南》,《内核漏洞的利用与防范》,《网络扫描技术揭秘》,《BackTrack4》,《网络分析技术揭秘》等。

喜欢读"C++反汇编与逆向分析技术揭秘"的人也喜欢的电子书 · · · · · ·

支持 Web、iPhone、iPad、Android 阅读器

: Windows PE 权威指南

30.00元

: 程序员的自我修养

18.00元

: CoffeeScript小书

1.99元

: Python源码剖析

19.20元

: 松本行弘的程序世界

32.00元

喜欢读"C++反汇编与逆向分析技术揭秘"的人也喜欢 · · · · · ·

: 寒江独钓

: 软件调试

: 加密与解密

: Android软件安全与逆向分析

: 逆向工程核心原理

: Windows内核情景分析

: 琢石成器

: 天书夜读

: 格蠹汇编

: 老码识途

我来说两句

短评 · · · · · · ( 全部 26 条 )

C++反汇编与逆向分析技术揭秘的书评 · · · · · · (全部 2 条)

对做逆向工程的来说帮助很大

薛定谔的猫 2016-09-26 11:28:36

泉哥在《漏洞战争》里推荐的这本书，之前也看了一小部分，鉴于泉哥的推荐，我在多看阅读上购买了电子版，又刷了一遍，总体来说，质量上佳，比市面上很多口水技术书硬很多。它通过调试器去逆向各种 C++内部机制，不仅有几本的 c++ 变量等内容，后边还有关于类，构造，析构函数，...

0有用 / 0没用

很适合学习C++与汇编

soliddream 2013-06-15 16:45:04

建议读者看这本书时，有什么C++概念不清楚参考C++经典书，比如《C++程序设计语言》。书中代码与谭浩强的《C语言程序设计》有的一拼。C++概念有些地方也阐述的不到位。比如P269值得吐槽的太多了，挑倒数第二段吐下槽。记得当初学C++的时候，老师教我们父类和子类的关系是"是"，...

1有用 / 1没用

> 更多书评2篇

读书笔记 · · · · · · (共19篇)

我来写笔记

按有用程度
按页码先后
最新笔记

展开收起
第9页

Love Scarlett (拍片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。

推荐

回应 2015-11-28 21:00
展开收起
第1页

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk;=1746716968
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。
看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。
其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。
笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

回应 2014-05-11 17:41
展开收起
第150页

咚咚 (活的随意点)

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ...
2013-10-07 16:21

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）
栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等
不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡）
0040D3E0 push ebp
0040D3E1 mov ebp,esp
0040D3E3 sub esp,4Ch
0040D3E6 push ebx
0040D3E7 push esi
0040D3E8 push edi
0040D3E9 lea edi,[ebp-4Ch] //lea有效地址传送指令
区别MOV传送指令：MOV传送的是地址所指的内容，而LEA只是地址。
0040D3EC mov ecx,13h //将重复执行指令的次数放到ecx
0040D3F1 mov eax,0CCCCCCCCh //初始化eax （int 3）
0040D3F6 rep stos dword ptr [edi] //用eax中的值初始化到edi指向的地址，长度为dword，循环执行数为ecx中的值

推荐

回应 2013-10-07 16:21
展开收起
第206页

MathxH

数组名是个地址常量值，保存数组元素的首地址。对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。..
2013-05-31 10:57

数组名是个地址常量值，保存数组元素的首地址。
对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。
字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。
以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。
尽管内建&名为address-of，实际上取的是指针。地址无法被语言直接表达——你摆脱不了类型。内建&返回的总是有类型的指针值（或者按C++的说法，指针类型的prvalue）。
对数组作用&，得到的是指向数组的指针。
对数组的元素作用&，得到的是指向数组元素的指针。
数组名作为表达式，可以指称整个数组，只是通常会隐式转换为指向首个元素的指针而不再是整个数组。但是有少数例外：如作为&/sizeof的操作数时。所以说“数组名在C语言中表示数组首地址”在各种意义上都是不严格的说法。
访问数组的两种方法：下标访问和指针访问。
函数指针：
函数指针式比较特殊的指针类型，由于其保存的地址数据为代码段内的地址信息，而非数据区，因此不存在便宜情况，为了防止函数指针发生错误偏移，编译器将在编译器进行检查，不允许函数指针进行加减法等没有意义的运算。

推荐

回应 2013-05-31 10:57

展开收起
第1页

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk;=1746716968
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。
看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。
其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。
笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

回应 2014-05-11 17:41
展开收起
第6页

MathxH

因为IDA和OllyDBG用得少，所以快捷键老记不住，在这里存个档好了。很早以前就读过了，这本书。 OllyDBG基本快捷键和功能 F2------断点，其实就是int 3，软件断点 F3------加载exe，进行调试分析 F4------程序执行到光标处 F5------缩小，还原当前窗口 F7------单步步入 F8------单步步过 F9------直接运行程序，遇到断点，中断 Ctrl+F2-------重新运行程序到起始处，用于重新调试程序 Ctrl+F9-------执行到函数返回..
2013-05-27 09:57

因为IDA和OllyDBG用得少，所以快捷键老记不住，在这里存个档好了。很早以前就读过了，这本书。
OllyDBG基本快捷键和功能
F2------断点，其实就是int 3，软件断点
F3------加载exe，进行调试分析
F4------程序执行到光标处
F5------缩小，还原当前窗口
F7------单步步入
F8------单步步过
F9------直接运行程序，遇到断点，中断
Ctrl+F2-------重新运行程序到起始处，用于重新调试程序
Ctrl+F9-------执行到函数返回处，用于跳出函数实现
Alt+F9-------执行到用户代码处，用于快速跳出系统函数（API）（其实也就是返回到程序领空）
Ctrl+G------输入16进制地址，在反汇编窗口快速定位到该地址
小插曲
IDA图标是“世界上第一位女程序员”Ada，Lovelace的头像
IDA常用快捷键使用说明
Enter------跟进函数实现，查看标号对应的地址
Esc------返回跟进处
A------解释光标处的地址为一个字符串的首地址
B------16进制与2进制数转换
C------解释光标处的地址为一条指令
D------解释光标处的地址为数据，每按一次将会转换这个地址的数据长度
G------快速查找对应地址
H------16进制与10进制数互换
K------将数据解释为栈变量
;-------添加注释
M------解释为枚举成员
N------重新命名
O------解释地址为数据段偏移量，用于字符串标号
T------解释数据为一个结构体成员
X------转换视图到交叉参考模式
Shift+F9------添加结构体

推荐

回应 2013-05-27 09:57
展开收起
第9页
hyp
1.lib2obj 这步是为了从lib中得到obj,有时候我们直接就得到obj就可以略过此步. 要取出lib中的obj,我们需要先使用link -lib /list libname枚举lib内部的obj 然后使用link -lib /extract:objname libname取出相应的obj 对应的批处理代码如下(%1为libname) for /F %%i in (‘link -lib /list %1.lib’) do link -lib /extract:%%i %1.lib 这个批处理有个缺点,如果objname带空格就无法成功. 2.obj2pat 使用pcf.exe把obj..
2012-02-15 13:54
1.lib2obj
这步是为了从lib中得到obj,有时候我们直接就得到obj就可以略过此步.
要取出lib中的obj,我们需要先使用link -lib /list libname枚举lib内部的obj
然后使用link -lib /extract:objname libname取出相应的obj
对应的批处理代码如下(%1为libname)
for /F %%i in (‘link -lib /list %1.lib’) do link -lib /extract:%%i %1.lib
这个批处理有个缺点,如果objname带空格就无法成功.
2.obj2pat
使用pcf.exe把obj转换为pat,命令如下
pcf.exe objname
对应的批处理代码如下,可以把当前目录下全部obj文件转换为pat
for %%i in (*.obj) do pcf %%i
3.pat2sig
使用sigmake把pat转换为sig,命令如下
sigmake -n”libname” *.pat signame
第一次运行可能会出现冲突,sigmake会输出信息到exc文件
打开exc文件去掉前两行保存,重新运行sigmake就成功了.
对应的批处理代码如下(%1为libname):
sigmake -n"%1.lib" *.pat %1.sig if exist %1.exc for %%i in (%1.exc) do > abc.exc more +2 "%%i" copy abc.exc %1.exc del abc.exc sigmake -n"%1.lib" *.pat %1.sig
4.lib2sig
上面提到的程序在随书代码(见参考资料)里可以找到
下面的bat也是随书代码里面的,整合了上面1~3操作,我随手注释掉了一句我觉得没有用的功能.
md %1_objs cd %1_objs for /F %%i in ('link -lib /list %1.lib') do link -lib /extract:%%i %1.lib for %%i in (*.obj) do pcf %%i sigmake -n"%1.lib" *.pat %1.sig rem if exist %1.exc for %%i in (%1.exc) do find /v ";" %%i > abc.exc if exist %1.exc for %%i in (%1.exc) do > abc.exc more +2 "%%i" copy abc.exc %1.exc del abc.exc sigmake -n"%1.lib" *.pat %1.sig copy %1.sig ..\%1.sig cd .. del %1_objs /s /q rd %1_objs
BAT使用帮助
将pcf.exe、sigmake.exe所在的目录加入环境变量 path 中
将要生成sig文件的LIB文件与批处理文件放同一个目录
在DOS下运行，将LIB的文件名做为第一个参数即可(去掉后缀.lib)
5.sig4ida
把第4步生成的sig文件复制到IDA目录中的sig目录下
按Shift+F5打开IDA签名窗口,添加刚才的sig文件,然后随便点几下就可以看到效果了.
参考资料
《C++反汇编与逆向分析技术揭秘》随书代码 http://bbs.pediy.com/showthread.php?t=141304
原文地址:http://peonrun.com/2012/sig-for-ida/

推荐

回应 2012-02-15 13:54
展开收起
第9页

Love Scarlett (拍片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。

推荐

回应 2015-11-28 21:00

展开收起
第9页

Love Scarlett (拍片如山倒看片如抽丝)

到底是SIG还是SGI。我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。
2015-11-28 21:00

到底是SIG还是SGI。
我们还可以编写SIG测试程序，通过制作SGI文件解析出程序中使用的函数，见代码清单1-1。

推荐

回应 2015-11-28 21:00
展开收起
第1页

阎王

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk;=1746716968
2014-05-11 17:41

断断续续，除了最后几章实战外，几乎看完此书了，发发我看此书的笔记。
看此书的童鞋可当作是导引，我提到了一些与本书相关的一些基础知识的获得方法，还有读本书的方法。
其实基本上除了第四章讲编译器除法优化的部分之外，我都是蜻蜓点水，所以本笔记对看第四章不明白的童鞋会更有帮助。
笔记下载地址：http://yun.baidu.com/share/link?shareid=2849339737&uk=1746716968

推荐

回应 2014-05-11 17:41
展开收起
第150页

咚咚 (活的随意点)

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡） 0040D3E0 push ...
2013-10-07 16:21

栈结构在内存中占用一段连续的存储空间，通过esp与ebp两个栈指针寄存器来保存当前的起始地址与结束地址（栈顶与栈底）
栈帧中可以寻址的数据有局部变量，函数返回地址，函数参数等
不同的两次函数调用，所形成的栈帧也不相同。当由一个函数进入到另一个函数中时，就会针对调用函数开辟出其所需要的栈空间，形成此函数的栈帧。当这个函数结束调用时，需要清除它所使用的帧空间，关闭栈帧。（栈平衡）
0040D3E0 push ebp
0040D3E1 mov ebp,esp
0040D3E3 sub esp,4Ch
0040D3E6 push ebx
0040D3E7 push esi
0040D3E8 push edi
0040D3E9 lea edi,[ebp-4Ch] //lea有效地址传送指令
区别MOV传送指令：MOV传送的是地址所指的内容，而LEA只是地址。
0040D3EC mov ecx,13h //将重复执行指令的次数放到ecx
0040D3F1 mov eax,0CCCCCCCCh //初始化eax （int 3）
0040D3F6 rep stos dword ptr [edi] //用eax中的值初始化到edi指向的地址，长度为dword，循环执行数为ecx中的值

推荐

回应 2013-10-07 16:21
展开收起
第206页

MathxH

数组名是个地址常量值，保存数组元素的首地址。对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。尽管内建&名为address-of，实际上取的是指针。..
2013-05-31 10:57

数组名是个地址常量值，保存数组元素的首地址。
对于数组的识别，应判断数据在内存中是否连续并且类型一致，符合即可将此段数据视为数组。
字符串处理函数在Debug版本下直接识别call xxx，而release版本下被作为内联编译处理，因此没有call。
以下说点题外话，以C标准来说的话，1.数组是数组，数组名是数组名；2.指针是指针，地址是地址。都不可以无条件替换。
尽管内建&名为address-of，实际上取的是指针。地址无法被语言直接表达——你摆脱不了类型。内建&返回的总是有类型的指针值（或者按C++的说法，指针类型的prvalue）。
对数组作用&，得到的是指向数组的指针。
对数组的元素作用&，得到的是指向数组元素的指针。
数组名作为表达式，可以指称整个数组，只是通常会隐式转换为指向首个元素的指针而不再是整个数组。但是有少数例外：如作为&/sizeof的操作数时。所以说“数组名在C语言中表示数组首地址”在各种意义上都是不严格的说法。
访问数组的两种方法：下标访问和指针访问。
函数指针：
函数指针式比较特殊的指针类型，由于其保存的地址数据为代码段内的地址信息，而非数据区，因此不存在便宜情况，为了防止函数指针发生错误偏移，编译器将在编译器进行检查，不允许函数指针进行加减法等没有意义的运算。

推荐

回应 2013-05-31 10:57