堆栈平衡，保持堆栈平衡的重要性

ESP定律，又称为堆栈平衡定律，是脱壳领域中使用频率极高的方法之一尽管该定律的发现者身份已无从考证，但它的重要性却不可忽视0x01 前置知识栈 栈是内存中分配的一段空间，用于存储临时数据当执行call指令时，程序会将下一条指令的地址压入栈中，并跳转到该地址与此相对应，ret和retf指令用；建议你找本关于汇编语言的书看看，这是堆栈平衡的问题，调用函数时，先保存EBP，再把当前ESP值赋给EBP，相当于这个函数所用的堆栈空间的起点，然后传递的参数，定义的局部变量，在程序中都是以这个EBP为参考点的，比如EBP+8，EBP+c等指令，是调用压入堆栈的参数，一般，调用一个函数，堆栈。

这里需要注意的是，查看函数返回代码是为了保证堆栈平衡，关于堆栈平衡原理就不详细说了但是在OD里面修改了是没有用的，使用UltraEdit或WinHex打开IarIdePmexe，搜索原函数入口附件十六进制数据，然后根据修改后的数据替换，具体步骤就不阐述了，自己搜索这样处理之后，再直接运行IAR，就不会有弹出提示对话；下断在创建进程的函数 CreateProcess ，在中断在该函数处，设置eip指针到函数的retn，使堆栈平衡eax 返回值 ，可以设置为一个非0值，表示创建进程成功此时可以用另一个od打开新的进程即可。

以下是 sub_435DEC 栈帧开辟及返回地址存储的汇编代码调用 strcpy 函数复制数据到缓冲区中，第一个参数 des 通过 a0 寄存器传入函数执行完毕后，进行堆栈平衡，恢复 S0~S5 寄存器，恢复 ra 寄存器到函数返回地址，并跳转执行搭建漏洞环境，使用 qemusystemstatic 实现首先使用 qemumipsel。

保持堆栈平衡的重要性

1、一般此指令的eax值都是dword security_cookie，故名思议，主要用来检验堆栈平衡的，在进入时存入xor security_cookie值，在函数尾部进行校验比对，如果不匹配则抛出异常eax。

2、对于类似C语言这样的高级语言，系统栈的PUSHPOP等堆栈平衡细节是透明的一般说来，只有在使用汇编语言开发程序的时候，才需要和它直接打交道注意系统栈在其堆栈平衡他文献中可能曾被叫做运行栈调用栈等如果不加特别说明，本书中所述及的栈都是指系统栈这个概念考试大请您注意将其与编写非递归函数。

3、中断函数的定义格式为`void FuncIrvoid interrupt x using y`在使用中断函数时，需要注意以下几点1 中断函数应定义为没有参数和返回值的特殊的函数虽然中断函数中可以使用`return`语句，但这主要是为了保持堆栈平衡，并不影响中断的执行2 使用`using`关键字来指定工作寄存器组这。

4、堆栈平衡是指在程序运行过程中，所有函数的调用与其返回操作达到平衡的状态每个函数在被调用时都会在堆栈上创建一个新的堆栈帧来存储局部变量参数等信息当函数执行完毕返回时，对应的堆栈帧会被销毁，释放所占用的内存空间如果这种创建与销毁的过程达到平衡，则称之为堆栈平衡二破坏堆栈平衡的影。

5、在调试32位程序时，参数通过push的方式传进堆栈，然后在ret时，通过ret指令将堆栈平回到call的下一行或通过add指令平栈而在64位架构中，参数通过rcxrdxr8r9传递，并修改rsp+0x20以此+8来扩展参数，从而解决了堆栈平衡的问题当然，X86和X64之间还有很多其他区别，需要通过实际操作来深入。

6、3 获取正确的导入地址表 IAT是程序中用于存储导入函数地址的表，加壳会重建IAT 由于壳在运行时会动态调整IAT，因此获取正确的IAT是脱壳的另一个挑战 可以通过分析程序的执行流程堆栈平衡和内存结构等方法来恢复正确的IAT4 掌握常见的脱壳方法 单步跟踪法通过动态调试工具单步执行程序。

7、在新版本中，API地址分散存储在壳段中，每个API地址对应一个Fake_API_Entry每个API都有独立的代码段，使得直接下断点的方法不再有效寻找Fake_API_Entry的出口利用堆栈平衡定位可能的API调用点这种方法相对简单，因为SE的Fake_API_Entry出口处没有复杂的保护机制修复或重建IAT解压目标程序关注。

8、参数传递整型和浮点型通过RCXRDX传递，剩余的通过堆栈传递返回值处理64位以内用RAX返回，超出范围则可能使用指针或xmm0调用者责任保证堆栈平衡，注意RAXRCXXMM05寄存器可能被影响，且堆栈需16字节对齐循环指令的精妙之处LOOP系列指令针对8位有符号数设计，通过添加不同前缀来控制重复操作。

堆栈平衡什么意思

1、EDI为ntdll77F517E6，EIP为0040EC90此外，C。

2、API地址分散存储在壳段中，每个API地址对应一个Fack_API_Entry旧版本的壳中，读取API地址的代码段是唯一的，便于分析和下断点然而，新版本的SE中，每个API都有独立的代码段，使得L4Nce的修复脚本无法直接应用为了解决这个问题，堆栈平衡我采用的方法是寻找Fack_API_Entry的出口，利用堆栈平衡定位可能的API。

3、堆栈平衡使用 如果你的函数有1个参数，就要使用ret 04 否则，函数执行完返回后，栈空间不平衡，程序会执行错误。

上一篇： dedecms采集教程，dedecms采集怎么用

下一篇： 一文搞懂性能测试开发者社区，测试开发和性能测试哪个发展更好