Les bases de l'asm

Introduction 

    Quoi de plus ardu que d'essayer de résumer l'asm pour n'en garder que l'essentiel. De plus, comment voulez-vous posséder un bon niveau de programmeur mais aussi d'analyste si des instructions vous font défaut? D'un autre côté, rien ne sert de se leurrer, peu sont ceux qui peuvent se vanter de connaître toutes les instructions sur le bout des doigts ainsi que toutes les astuces qui en découlent. C'est pourquoi je ne perdrais pas ici mon temps à détailler toutes les instructions ni à faire du plagia (en cherchant un peu, Google regorge de tutos plus ou moins bien expliqués et complets sur l'asm). Je vais simplement présenter brièvement l'asm et faire un bref rappel de quelques instructions qui me semblent intéressantes pour le cracking mais sans rentrer dans les détails techniques, ainsi que de quelques astuces utilisées avec celles-ci. Libre à vous de continuer votre apprentissage sur d'autres sites.

Les registres

    Les registres principaux sont : EAX, EBX,ECX, EDX, EDI, ESI, EBP, ESP, EIP et les Flags.

    Ce sont des petites zones de stockage logées dans le processeur auxquels il a un accès très rapide (beaucoup plus rapide qu'en mémoire).

    Ils ont tous une taille de 32 bits (4 bytes).

    EAX, EBX, ECX et EDX sont les registres de travail. La partie basse (les 16bits de poids fort) de chacun d'eux peut être utilisée directement mais reste une partie du registre de 32bits, c'est à dire que s'il l'on modifie AX (la partie basse de EAX), on modifiera EAX. En plus de cela, la partie basse peut être de nouveau séparée en 2 parties de 8bits (la partie haute AH et la partie basse AL pour AX, BH et BL pour BX, ...). De nouveau si l'on modifie l'une des 2 parties, c'est tout le registre qui est modifié (AX est modifié donc EAX aussi).   

    EDI et ESI servent principalement pour des instructions d'adressage (lors de traitements de chaînes de caractères par exemple) mais peuvent aussi servir de registres de travail.

    EBP et ESP sont des registres de pile, ESP désigne toujours le sommet de la pile. EBP permet de travailler dans la pile sans devoir utiliser ESP qu'il ne vaut mieux pas modifier.

    EIP désigne l'adresse de l'instruction courante.

    Le registre de Flags est un registre dont chaque bit (indicateur) indique un état. Les instructions arithmétiques, logiques et de comparaison modifient la valeur des indicateurs.

La pile

    La pile est un espace mémoire régit par le système LIFO (Last In First Out). La dernière valeur à avoir été empilée sera la première à être dépilée. Imaginez une pile d'assiettes : la dernière que vous avez déposée sur le paquet sera celle que vous reprendrez en première, c'est le principe de la pile. On y accède par des PUSH et des POP

Quelques instructions courantes   

    NOP (90h)

    La plus simple à expliquer : cette instruction ne fait rien! Vous le savez peut-être mais nous ne pouvons modifier la taille d'un programme sans des conséquences désastreuses. C'est là que cette instruction prend toute son utilité. Elle permet de supprimer une instructions sans modifier la taille du programme (si l'instruction à "effacer" tient sur plusieurs bytes remplacez autant de bytes que nécessaires par NOP).

    MOV destination, source

    Cette instruction copie la valeur de source dans destination. Les 2 opérandes doivent avoir la même taille. Il n'y peut y avoir au maximum qu'un accès mémoire par instruction. Si vous voulez par exemple mettre la valeur de [00401234] dans [00405678], vous devrez faire par exemple:
    MOV EBX , [401234]

    MOV [405678] , EBX    

    ADD destination, source

    Cette instruction additionne le contenu de destination à celui de source. Le résultat est placé dans destination.

    SUB destination, source

    Cette instruction soustrait le contenu de source à celui de destination. Le résultat est placé dans destination.

    INC destination

    Cette instruction incrémente destination d'une unité

    DEC destination

    Cette instruction décrémente destination d'une unité

    JMP label

    Modifie l'EIP en l'adresse désignée par label. Ce que l'on désigne par un saut.

    PUSH source

    Place la valeur de source au sommet de la pile.

    POP destination

    Place la valeur au sommet de la pile dans destination.

    CMP destination, source

    Cette instruction effectue la soustraction de destination et source mais ne conserve pas le résultat. Seuls les Flags sont modifiés.

    Le ZF (Zero Flag) est positionné à 1 si le résultat de la soustraction est nul (donc que les 2 valeurs sont égales).

    Le CF (Carry Flag) est positionné à 1 si le résultat ne tient pas sur 32bits (donc que le résultat est est inférieur à 0).

    Le SF (Sign Flag) est positionné à 1 si le résultat est négatif.

    Le OF (Overflow Flag) est positionné à 1 si le résultat a provoqué un débordement (lorsqu'on travaille avec des nombres signés).

  Les sauts conditionnels

    Fonctionne comme un JMP mais saute en fonction de l'état de certains bits du registre de Flags.

    Les différents sauts sont :

Les opérations logiques

    Les opérations logiques travaillent toutes bit à bit. Elle peuvent servir à comparer deux valeurs, tester certains bits mais aussi à forcer certains bits à une certaine valeur.

    AND destination, source

    Le AND effectue un ET LOGIQUE de destination et source. Le AND peut se traduire par une multiplication de bits.

    Voici la table logique :