【软件逆向】第31课，软件逆向安全工程师之（六）基址变址寻址，每天5分钟学习逆向吧！

基址变址寻址（Base-Indexed Addressing）是x86汇编语言中的一种寻址模式，它允许程序员通过结合基址寄存器、索引寄存器和偏移量来访问内存中的数据。这种寻址模式特别适用于处理数组和结构体等数据结构。

基址变址寻址的特点：

• 基址寄存器：基址寄存器（如ebp、esp或eax）包含一个内存地址，作为数据访问的起点。
• 索引寄存器：索引寄存器（如ebx、esi或edi）包含一个偏移量，用于计算每个元素的位置。
• 偏移量：偏移量可以是立即数，也可以是寄存器中的值，它与基址寄存器的内容相加，得到最终的数据地址。
• 灵活性：这种寻址模式提供了很大的灵活性，可以方便地访问数组、结构体等数据结构中的元素。

识别基址变址寻址：

1. 查看指令格式：
   • 基址变址寻址的指令通常具有以下格式：指令 操作数, [基址寄存器 + 索引寄存器 + 偏移量] 或 指令 [基址寄存器 + 索引寄存器 + 偏移量], 操作数。
   • 例如：mov eax, [ebp + esi * 4]，这里 [ebp + esi * 4] 表示内存地址是ebp寄存器的内容加上esi寄存器的内容乘以4。
2. 观察操作数：
   • 如果操作数被方括号 [] 包围，并且方括号内包含基址寄存器、索引寄存器和偏移量，那么它就是基址变址寻址。
   • 例如：add [ebp + esi], edx，在这里 [ebp + esi] 表示内存地址，其值是ebp寄存器的内容加上esi寄存器的内容。

使用基址变址寻址的例子：

• 数据传送：

  mov eax, [ebp + esi * 4]   ; 将内存地址 ebp+esi*4 处的数据移入 eax 寄存器
  mov [ebp - 4], ecx        ; 将 ecx 寄存器的值移入内存地址 ebp-4
  

• 算术操作：

  add [ebp + esi * 4], 10   ; 将内存地址 ebp+esi*4 处的数据加 10
  sub [ebp + esi * 4], edx  ; 将内存地址 ebp+esi*4 处的数据减去 edx 寄存器的值
  

• 逻辑操作：

  and [ebp + esi * 4], 0xFF   ; 将内存地址 ebp+esi*4 处的数据与 0xFF 进行逻辑与操作
  or [ebp + esi * 4], 0x0F    ; 将内存地址 ebp+esi*4 处的数据与 0x0F 进行逻辑或操作
  

注意事项：

• 偏移量：偏移量可以是立即数，也可以是寄存器中的值，它与基址寄存器的内容相加，得到最终的数据地址。
• 数据类型：基址变址寻址通常用于访问数组中的元素，其中索引寄存器的内容是数组索引，偏移量表示数组元素的大小（通常是元素大小乘以索引）。
• 寄存器使用：基址变址寻址常与基址寄存器和索引寄存器一起使用，如ebp作为基址寄存器，esi或edi作为索引寄存器。
  通过理解基址变址寻址的原理和识别方法，可以在汇编语言编程或逆向工程中更有效地访问和操作内存中的数据结构，特别是当需要通过索引来访问数组元素时。