在装配体中定位变量位置

Question

从下面的反汇编代码中，我可以假设位置43E010 是保存字符串的变量的位置（如汇编代码中的注释）：

反汇编：

...
push    offset loc_43E010
...
push    offset aAllYourBaseAre ; "all your base are belong to us"
...
.rdata:00446074 aAllYourBaseAre db 'all your base are belong to us',0

这是来自 Win32 应用程序的反汇编代码，如下所示：

class Foo {
public: 
    string mystring;    
    __declspec(dllexport) void foo();
};

void Foo::foo(){

    printf("foo called");

}

int _tmain(int argc, _TCHAR* argv[])
{
    Foo foo;
    foo.mystring =  "all your base are belong to us";

    return 0;
}

这条指令：push offset loc_43E010 是否表明地址 43E010 是 win32 可执行文件的基本映像的偏移量，并且它是一个变量位置？

Answer 1

我会调用我的精神力量（嗨，雷蒙德！），然后我会疯狂地猜测你看到的是这样的东西：

push    ebp
mov     ebp, esp
push    0FFFFFFFFh
push    offset loc_43E010
mov     eax, large fs:0
push    eax
...
mov     large fs:0, eax

这是使用异常处理的函数的典型序言。在您的情况下，即使没有 try/catch 语句，也有一个带有非平凡析构函数的局部变量，如果传播异常，则需要调用它。 loc_43E010 是函数异常处理程序的标签。

所以，答案是：不，它不是“可变位置”。

要详细了解 Win32（SEH 和 C++）中的异常，请查看my OpenRCE article。