1

Добрый день.
Ситуация: дизассемблирую приложение и вижу в получившимся коде такой кусок:

e8ae5f0100    call    0x000adace    _myFunc

Т.е. дизассемблер из шестнадцатеричного кода (e8ae5f0100) получил адрес вызываемого блока (0x000adace) и по нему в бинарнике нашел строку с названием этого блока ("_myFunc").

Вопрос: как вручную получить адрес этого вызываемого участка, зная лишь последовательность кодов, например, e8ae5f0100.
Известно при этом, что вызывается именно функция, а не какой-то локальный блок.

2
  • 1
    >и по нему в бинарнике нашел строку с названием этого блока ("_myFunc"). Врядли по этому адресу расположена такая строка. Возможно в бинарнике присутствует отладочная информация, где указаны имена соответствующих процедур, так что _myFunс в данном случае это скорее всего просто комментарий, добавленный дизассемблером.
    – insolor
    6 мая 2012 в 19:51
  • @insolor, да я это и имел в виду, он читает эту информацию из стандартного сегмента Mach-O binary.
    – VioLet
    6 мая 2012 в 19:52

1 ответ 1

6

Э, не всё так просто. Сначала, выкачиваем или заказываем халявный диск с Intel® 64 and IA-32 Architectures Software Developer Manuals. Открываем том 2 Instruction Set Reference и видим там:

alt text

Обращаем внимание, что вызов relative - относительный. Далее, displacement relative to next instruction - смещение относительно следующей инструкции.

Соответственно, берём операнд нашего E8, как знаковый DWORD и складываем с виртуальным адресом след. опкода.

Вуаля, в результате получаем абсолютный виртуальный адрес вызываемой подпрограммы.

(Арифметику не могу продемонстрировать, т.к. вы не указали VA вашей инструкции)

3
  • Если я правильно все понял, то адрес - 0xf486.
    – VioLet
    6 мая 2012 в 19:51
  • 4
    Кстати по имеющимся данным виртуальный адрес можно вычислить:)
    – insolor
    6 мая 2012 в 19:54
  • @insolor, стоп, это я дурак, не туда гляжу, все верно - 0x00097B20. Спасибо большое, @AlLeween.
    – VioLet
    6 мая 2012 в 20:04

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.