IDA反编译失败:positive sp value has been found

 

前言:

  很不争气的,在做第一天MBE课后练习lab1A时又卡住了,不想纯撸汇编,把程序扔到IDA中F5,发现不能反编译。经过搜索资料以及向学长请教,终于解决了这个问题,前来记录一下。由于知识有限,文中内容难免有错,请过往的大神们指教。

 

正文:

  问题如下:

  

  这种问题出现的原因如下:

  一般是程序代码有一些干扰代码,让IDA的反汇编分析出现错误。比如用push + n条指令 + retn来实际跳转,而IDA会以为retn是函数要结束,结果它分析后发现调用栈不平衡,因此就提示sp analysis failed.

  我还遇到过一种情况,是因为编译器优化,结果IDA无法正确识别一个函数体的结尾部分,换句话说,它找不到C中的“大括号”应该位于哪里。例如以下代码:

  

int one_function( int a,int b);

int another_function( int a, int b)
{
    if ( a == 0 || b == 0 )
        return -1;
    return one_function(a,b);
}    

 

  其中return one_function(a,b)这条语句,在某些新的编译器,可能会编译成这样的指令序列:

 

mov esp, ebp

pop ebp

jmp one_funcion

 

  而IDA是通过retn指令来识别函数的结束的,因为它不知道这里的意思,会把它当成一个函数内部 的跳转,最后就会出现sp analysis failed了。

 

  解决办法:

  对于这种情况,可以选择采用手动调整堆栈的方法将其调整平衡,或者直接使用alt+k修改sp指针,将其修改为应有的值即可

  如:

  

  之后即可反编译:

  

  或者使用alk+k修改sp指针,如下图所示,在0x8048C6C处修改sp指针即可。

  

  有关此修改的意义,我和同学认为是在执行完此条指令后,sp会变化多少,因此当前是-0x40,将其+0x40即可变为0,此时positive sp value的问题就解决了。

  

posted @ 2016-12-30 11:42  echo579  阅读(...)  评论(... 编辑 收藏