CC++反汇编中几个比较重要的知识点

CC++反汇编中几个比较重要的知识点

1. C++的虚函数表

2. C++中的引用

3. C中针对switch的优化

 

1. C++的虚函数表

#include <Windows.h>
#include <iostream>
#include <stdio.h>

using namespace std;

class animal{
    virtual void speak()=0;
    virtual void name()=0;
};

class cat: public animal {
public:
    void speak() {
        cout << "miaomiaomaio~" << endl;
    }
    void name() {
        cout << "I am a cat" << endl;
    }
};

int main() {
    cat c;
    c.speak();
}

　　如上代码，其对于cat类，存在两个虚函数。

　　虚函数存储在虚函数表中，因此该成员的第一位是一个表的地址，里面存储了其对应的虚函数地址。

　　

　　我们在IDA中查看其虚函数表所在位置

　　

2. C++中的引用

#include <Windows.h>
#include <iostream>
#include <stdio.h>

using namespace std;

void func(int& x) {
    cout << x << endl;
}

int main() {
    int x = 2;
    func(x);
}

　　引用的本质是指针，但是又对指针做了限制，无法对指针本身指向内容进行修改。

　　查看下面的反汇编代码就很好理解。

　　我们查看其反汇编代码：

　　func(x);
　　005E20B9  lea         eax,[ebp-0Ch]   // 传入变量x的地址
　　005E20BC  push        eax  
　　005E20BD  call        005E145B

　　cout << x << endl;

　　005E1941  mov         eax,dword ptr [ebp+8]  
　　005E1944  mov         ecx,dword ptr [eax]  
　　005E1946  push        ecx  　　　　　　　　// 从指针中取出值来进行操作

3. C中针对switch的优化

1）常规形式

　　switch被翻译成 if..else..结构

2）大表索引

#include <stdio.h>

int main(int argc, char* argv[])
{
    int s = 5;
    switch (s) {
    case 101:
        printf("101
");
        break;
    case 102:
        printf("102
");
        break;
    case 103:
        printf("103
");
        break;
    case 104:
        printf("104
");
        break;
    default:
        printf("error
");
        break;
    }
    return 0;
}

　　我们查看其反汇编代码：

　　 switch (s) {
　　00AF183F  mov         eax,dword ptr [ebp-8]  
　　00AF1842  mov         dword ptr [ebp+FFFFFF30h],eax  
　　00AF1848  mov         ecx,dword ptr [ebp+FFFFFF30h]  
　　00AF184E  sub         ecx,65h  
　　00AF1851  mov         dword ptr [ebp+FFFFFF30h],ecx  
　　00AF1857  cmp         dword ptr [ebp+FFFFFF30h],3  
　　00AF185E  ja          00AF18A9  
　　00AF1860  mov         edx,dword ptr [ebp+FFFFFF30h]  
　　00AF1866  jmp         dword ptr [edx*4+00AF18CCh] 

　　其将变量S-101h,获取索引（0,1,2,3），然后判断如果大于3，直接跳到default域中，否则根据索引去 00AF18CCh 这张表中获取跳转地址。

　　我们查看这张表中的内容:

　　

　　因此这样可以极大的加快查找效率

3）大表+小表索引

　　上面大表索引有一个缺点，就是当出现断层时，中间很大一块要使用default的地址填补，比如 1,2,3,4,101,102,103,104；

　　此时就是采用大表+小表的索引形式，构建两张大表。

　　我们按例子中的思路再来构建 1,2,3,4,101,102,103,104 这种情况

    switch (s) {
　　0088504F  mov         eax,dword ptr [ebp-8]  
　　00885052  mov         dword ptr [ebp+FFFFFF30h],eax  
　　00885058  mov         ecx,dword ptr [ebp+FFFFFF30h]  
　　0088505E  sub         ecx,1  
　　00885061  mov         dword ptr [ebp+FFFFFF30h],ecx  
　　00885067  cmp         dword ptr [ebp+FFFFFF30h],67h  
　　0088506E  ja          008850FE  
　　00885074  mov         edx,dword ptr [ebp+FFFFFF30h]  
　　0088507A  movzx       eax,byte ptr [edx+00885138h]  
　　00885081  jmp         dword ptr [eax*4+00885114h]

　　可以看到索引值从00885138h这张表中获取，一个字节，拿到该索引值后又从00885114h这张表中获取。

　　　　　　

　　 这样本来需要四个字节存储的空白只需要一个字节就够了。

4）放弃大表+小表，重新回归大表。

　　上面那种仍然有很多空白，我们继续设想，如果更加极端的情况呢？

　　现在我们假设 1,2,3,4,101,102,103,104,10001,10002,10003,10004

　　在这种情况下，我们继续观察，发现其放弃采用两张表的形式，又回归到一张表中了。

　　其根据大小按索引重新排序，回归到一张表中。

　　

 　　反汇编代码