令人困惑的功能

发布于 2024-09-07 14:39:14 字数 186 浏览 1 评论 0原文

所以，在使用IDA反汇编dll时，我遇到了这个类函数：

mov eax, [ecx+4]
mov eax, [eax]
retn

我知道ecx意味着this，而eax是返回值，但我不明白它返回什么。有什么帮助吗？

原文

So, while using IDA to disassemble a dll, I came across this class function:

mov eax, [ecx+4]
mov eax, [eax]
retn

I know ecx means this and eax is the return value, but I fail to understand what it returns. Any help?

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

北方的韩爷 2024-09-14 14:39:14

该函数在 ecx 指向的偏移量 4 处加载一个指针（到 eax 中）。然后跟随该指针将 32 位值加载到 eax 中，该值是从函数返回的。

这就是该函数的作用，但是如果没有更多上下文，就不可能说出它的含义。

回复收藏 0 原文

花想c 2024-09-14 14:39:14

class C
{
    int a;
    int *b; // ecx+4

    int get_b()
    {
        return *b;
    }
}

当然，a和*b的实际类型是未知的，但它们都是32位类型。如果类有任何虚方法或析构函数，a 也可以是指向 VMT 的指针。

class C
{
    int a;
    int *b; // ecx+4

    int get_b()
    {
        return *b;
    }
}

Of course, the actual type of a and *b is unknown, but they're both 32-bit types. a could also be the pointer to the VMT, if the class has any virtual methods or destructors.

回复收藏 0 原文

北渚 2024-09-14 14:39:14

我的程序集有点生疏，但第一条指令将某些内容加载到 EAX 中……ECX 寄存器的内容所指向的内容……但它是一个字（4 个字节）的偏移量。然后，下一条指令将使用 EAX 所指向的内容加载（覆盖）EAX。

这种表示法（这些 MOV（加载）指令的第二个或“源”操作周围的方括号表示正在使用间接寻址模式。

我猜这只是实现某种双重间接寻址的一种方法。地址寄存器 ECX 可能指向堆栈帧，或者可能指向您所引用的 C++“this”的某个属性指针，该地址又保存返回值的地址。一个寄存器，然后使用寄存器中的该地址提取一个值（同时放入同一个寄存器中）。这种方法很好，因为它保留了所有其他寄存器

（顺便说一句，大多数 x86 函数调用范例 --- 系统）。调用、DOS 函数调用等。在 stdlib C 库中留下函数返回代码或系统错误... errno，在 EAX 寄存器中）。

回复收藏 0 原文

眼前雾蒙蒙 2024-09-14 14:39:14

这是什么问题啊。如果 ecx 保存指向“this”结构的指针，您必须确切地知道它是如何完成的。第一个指令，获取第二个双字，另一个指针；它可能是什么？我们不知道。该指针现在保存在 eax 中，可能指向另一个结构或其他结构。第一个指向的值放入 eax 中，这就是 func 返回的值。

ecx    ------->    dword dataA   offset 0
                   dword dataB   offset 4

  mov eax, [ecx + 4]

eax = dataB ---->  dword dataC   offset 0

  mov eax, [eax]

eax = dataC

dataC 到底是什么，取决于很多我们无法知道的事情。

What a question. If ecx holds the pointer to a "this" structure, you have to know how it is done exactly. The first instr, gets the second dword, another pointer; what it could be? We can't know. This pointer now held in eax, likely points to another struct or whatever. The first pointed value is put in eax, and this is what the func returns.

ecx    ------->    dword dataA   offset 0
                   dword dataB   offset 4

  mov eax, [ecx + 4]

eax = dataB ---->  dword dataC   offset 0

  mov eax, [eax]

eax = dataC

What is dataC exactly, depends on a lot of things we can't know.

回复收藏 0 原文