【CTF-Reverse】花指令花指令是啥？有哪些分类？如何解决?

96 阅读 0 评论 64 点赞

我是靠谱客的博主多情裙子，这篇文章主要介绍【CTF-Reverse】花指令花指令是啥？有哪些分类？如何解决?，现在分享给大家，希望可以做个参考。

参考自(5条消息) CTF逆向基础----花指令总结_非著名不专业Re选手的博客-CSDN博客_c++ 花指令

本文仅仅属于个人学习笔记，以便知识体系化

花指令是啥？

1.垃圾指令，不影响程序逻辑，用以增加静态分析的难度。

2.花指令也可以被用在病毒或木马上，通过加入花指令改变程序的特征码，躲避杀软的扫描，从而达到免杀的目的

有哪些分类？

会被执行的花指令and 不会被执行的花指令

复制代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
int main()
{
    example{

    xor eax,eax;
    jz label1;

    huazhiling;
    huazhiling;
    huazhiling;//花指令
    
    label1:

    }


return 0;
}

a:（不会被执行）花指令是操作码，花指令后面原本的机器码会被误认为操作数，从而导致反汇编解析错误

b:（不会被执行）花指令是平衡堆栈的代码，ida解析时，会由于该指令是堆栈操作而认为对战不平衡，使得F5失效

c:（会被执行）花指令是正常的汇编指令，可以改变堆栈操作，但不会改变原来程序的堆栈寄存器，但是能起到干扰静态分析的作用。示例：

复制代码

1
2
3
4
5
6
7
8
9
int main()
{

    example{
    push eax;//32位下，push eax 分为两个步骤：1：esp-=4；2：mov [esp],eax
    add esp,4;//正常情况下，push要对应pop来保持堆栈平衡，但是这里是add，即使使得平衡，但ida识别不出，从而产生花指令
    }
return 0;
}

d：（会执行）利用call增加复杂度。call执行是会向堆栈中压入返回地址，可以修改返回地址配合ret跳转到任意地方。参考2018网鼎杯_give_a_try：