Программы не используют регистры некоторым хаотичным образом - им присуща определенная дисциплина. Поэтому весьма непривычно, скажем, видеть загрузку или непосредственную ссылку на сегментные регистры - особенно сегментный регистр программы (CS) и сегментный регистр стека памяти (SS).

avast 4 professional edition

{img2}

norton

Загрузка сегмента регистра данных (DS) более вероятна, но также встречается редко. С другой стороны, дополнительный сегментный регистр (ES) практически постоянно используется программами, поэтому его загрузка - дело обычное.

антивирус panda

{img3}

системы резервного копирования

Если загрузка регистра CS или SS все-таки обнаружена, то это должно быть сделано в программной секции, формирующей операционную структуру выполняемой программы; в этом случае вероятнее всего, что в одном месте будет произведена загрузка нескольких сегментных регистров, в частности, CS, SS и DS. Попытка реконструировать программу по листингу, выданному деассемблером или даже просто попытка убедиться в подлинности предъявленного набора команд, представляет собой захватывающее умственное упражнение. Для этого,кстати, не требуется специальная подготовка.

Навигационные системы

1с бухгалтерия

win rar, asplinux server, системы управления базой данных, резервное копирование файлов, архиватор zip, .

asplinux server



         Обычные  программы,  прошедшие  этап  редактирования  связей, 
         будут хранить команды в одном месте, а данные в другом. Такой 
         подход является элементом  хорошего  стиля  программирования; 
         именно  так  работает  редактор  связей дисковой операционной 
         системы.  Описанный  принцип  характерен  для  программ  всех 
         типов,  однако  для программ типа EXE он справедлив в большей 
         степени  чем  для  программ  типа  COM.  С  другой   стороны, 
         ПЗУ-программы,  подобные  тем,  которые  рассматривались нами 
         выше,  часто   разрабатываются   вне   концепций   технологии 
         программирования.  Данные  в  этих программах могут следовать 
         вперемешку с командами. 
              Если  предположительно  обнаружен  участок  программы, в
         котором  вслед  за  командами  следуют  некоторые  данные, то
         существует по крайней мере один достоверный  способ  отличить
         конец  последовательности  команд  от  расположенных вслед за
         ними  данными,  и  таким   образом   избежать   необходимости
         рассматривать   недостоверный   протокол   деассемблирования.
         Последняя  команда  фактического  участка  программы   должна
         представлять собой ту или иную разновидность команды перехода
         или  ветвления.  Команды  ветвления  включают  любые  команды
         переходов,   кроме  команд  условных  переходов.  В  качестве
         общеупотребительной  команды  завершения  программы   принято
         использовать  команду  возврата  (RET)  (возврат из вызванной
         ранее подпрограммы).
              Могут использоваться также и команды CALL (Вызов) и  INT
         (Прерывание);   хотя  их  использование  в  качестве  команды
         завершения последовательности команд  встречается  достаточно
         редко.
              Существует ряд особенностей, на которые следует обращать
         внимание  при  решении  вопроса  подлинности   предъявленного
         участка  программы  после  его  деассемблирования.  В  первую
         очередь следует обратить внимание на  используемые  регистры.
         Если  операции  реализуются  на  регистрах,  используемых как
         правило для выполнения арифметических операций  (AX  или  AL,
         AH;BX  или  BL, BH; CX или CL, CH; DX или DL, DH), но никакие
         действия в отношении результата не  предпринимаются,  то  это
         вызывает  подозрение.  Здесь следует быть более внимательным.
         Один  из  результатов  выполнения   арифметических   операций
         состоит  в  установке  флагов  -  следовательно,  естественно
         ожидать наличие команд условных переходов по состоянию флага,
         таких   как  JNC  (команда  перехода  по  условию  отсутствия
         установленных битов флага).
              Рассмотрим аспект некорректности использования регистров
         в   реконструируемой   программе.

avast 4

script>