prefix repne: 这条指令是怎么用的呢?想了半天也想不出来.详情进来看看:
我在反编译一个程序时,见到以下代码了,里面有花指令,但F2 prefix repne:和F3 prefix repne:指令有什么用呢?哪位能指点一下!004B2012 /EB 0F jmp short hbdzsc.004B2023 004B2014 |B9 EB0FB8EB mov ecx,EBB80FEB 004B2019 |07 pop es 004B201A |B9 EB0F90EB mov ecx,EB900FEB 004B201F |08FD or ch,bh 004B2021 |EB 0B jmp short hbdzsc.004B202E 004B2023 \F2: prefix repne: 004B2024 ^ EB F5 jmp short hbdzsc.004B201B 004B2026 ^ EB F6 jmp short hbdzsc.004B201E 004B2028 F2: prefix repne: 004B2029 EB 08 jmp short hbdzsc.004B2033 004B202B FD std 004B202C ^ EB E9 jmp short hbdzsc.004B2017 004B202E F3: prefix rep: 004B202F ^ EB E4 jmp short hbdzsc.004B2015 004B2031 FC cld 004B2032 - E9 9D0FC98B jmp 8C142FD4 004B2037 CA F7D1 retf 0D1F7
prefix repne这个F2前缀就是说当ZF=0或比较结果不相等,且CX/ECX<>0时重复,加上下面的jmp ***相当于jnz ***(不考虑ecx的情况),同理,prefix rep后面加上jmp ***相当于jz ****(同样不考虑ecx的情况),其实这就是壳或者病毒里面常用的指令变形
prefix repne 也有花指令的情况，如下：
004B5186 2BF9 sub edi, ecx 004B5188 F2: prefix repne: 004B5189 EB 01 jmp short 004B518C 004B518B F0:8D7C1F EE lock lea edi, dword ptr [edi+ebx-12] ; 不允许锁定前缀 004B5190 2BFB sub edi, ebx 004B5192 E9 3C080000 jmp 004B59D3 004B5197 B8 3A954600 mov eax, 0046953A这里跳到004B518C 这个地址在004B518B 地址的指令中 跟进发现
004B518C 8D7C1F EE lea edi, dword ptr [edi+ebx-12] 004B5190 2BFB sub edi, ebx 004B5192 E9 3C080000 jmp 004B59D3 004B5197 B8 3A954600 mov eax, 0046953A所以在prefix repne地址上004B5188 填充4个NOP 这个填充的个数和EB后边的数目相关 这里属于 花指令 情况 填充后如下
004B5186 2BF9 sub edi, ecx 004B5188 90 nop 004B5189 90 nop 004B518A 90 nop 004B518B 90 nop 004B518C 8D7C1F EE lea edi, dword ptr [edi+ebx-12] 004B5190 2BFB sub edi, ebx 004B5192 E9 3C080000 jmp 004B59D3 004B5197 B8 3A954600 mov eax, 0046953A
EB类型的花指令
004B51EA BE 9AF14400 mov esi, 0044F19A 004B51EF 3E:EB 02 jmp short 004B51F4 004B51F2 CD20 551BF55E vxdcall 5EF51B55 004B51F8 C1CE CB ror esi, 0CB 004B51FB 46 inc esi这个EB 就是JMP到一个地址指令里边 跟进去发现
004B51F4 55 push ebp 004B51F5 1BF5 sbb esi, ebp 004B51F7 5E pop esi 004B51F8 C1CE CB ror esi, 0CB 004B51FB 46 inc esi这里在004B51EF 填充5个NOP 修复完成
004B51EA BE 9AF14400 mov esi, 0044F19A 004B51EF 90 nop 004B51F0 90 nop 004B51F1 90 nop 004B51F2 90 nop 004B51F3 90 nop 004B51F4 55 push ebp 004B51F5 1BF5 sbb esi, ebp 004B51F7 5E pop esi 004B51F8 C1CE CB ror esi, 0CB 004B51FB 46 inc esi这里需要注意的是 EB有 带参数和不带参数两种 方法都是一样 以上是带参数的 不带参数的如下
004B52FD /2E:EB 01 jmp short 004B5301 004B5300 |F0:8D740D D3 lock lea esi, dword ptr [ebp+ecx-2D] ; 不允许锁定前缀 004B5305 2BF1 sub esi, ecx4个NOP以后如下
004B52FD 90 nop 004B52FE 90 nop 004B52FF 90 nop 004B5300 90 nop 004B5301 8D740D D3 lea esi, dword ptr [ebp+ecx-2D] 004B5305 2BF1 sub esi, ecx