- 公开视频 -> 链接点击跳转公开课程
- 博客首页 -> 链接点击跳转博客主页
目录
逻辑运算指令是汇编语言中处理位级别操作的重要工具，其核心作用包括掩码计算、数据校验、标志设置和加密解密等功能。通过逻辑运算指令可以更高效地操作数据，尤其是在逆向工程中，理解这些指令有助于追踪程序的逻辑条件、数据流和权限控制。
1. 逻辑运算指令概述
逻辑运算指令主要处理按位操作，对二进制数据进行特定的逻辑运算。例如：
- 按位与 (
AND) - 按位或 (
OR) - 按位取反 (
NOT) - 按位异或 (
XOR)
这些指令对标志位如零标志位（ZF）、符号标志位（SF），以及进位标志位等有重要影响，因而也常结合条件跳转指令使用。
| 指令 | 功能 | 应用场景 |
|---|---|---|
| AND | 按位与：两个位都为1则结果为1 | 掩码操作、清零特定位 |
| OR | 按位或：只要有一个位为1则结果为1 | 标志位设置、状态合并 |
| NOT | 按位取反：0变1，1变0 | 反转位值、生成负数 |
| XOR | 按位异或：位值相同为0，相异为1 | 数据交换、清除寄存器、加密解密 |
2. 指令详解
2.1 AND 指令
操作含义
- 格式：
AND destination, source - 将
destination和source按位与，结果存储在destination中。 - 主要影响标志位：
- 零标志位（ZF）：若结果为0，则设置该标志位。
用途
- 按位掩码：清零指定的位或保留特定位。
- 权限检查：验证是否设置了特定位权限。
示例
MOV EAX, 0x8 ; EAX = 1000
MOV EBX, 0x9 ; EBX = 1001
AND EAX, EBX ; EAX = EAX & EBX = 1000 = 0x8
2.2 OR 指令
操作含义
- 格式：
OR destination, source - 将
destination和source按位或，结果存储在destination中。 - 主要影响标志位：
- 零标志位（ZF）：若结果为0，则设置该标志位。
用途
- 合并状态：设置多个标志位或操作标记。
- 权限加法：为某对象赋予多项权限。
示例
MOV EAX, 0x10 ; EAX = 0001 0000
MOV EBX, 0x20 ; EBX = 0010 0000
OR EAX, EBX ; EAX = EAX | EBX = 0011 0000 = 0x30
2.3 NOT 指令
操作含义
- 格式：
NOT operand - 对操作数的每一位进行取反，即 0变1，1变0。
用途
- 生成补码：结合加1操作，生成负数。
- 反转数据：用于加密、数据映射等。
示例
MOV EAX, 0x0F ; EAX = 0000 1111
NOT EAX ; EAX = 1111 0000 = 0xF0
2.4 XOR 指令
操作含义
- 格式：
XOR destination, source - 将
destination和source按位异或，结果存储到destination中。 - 若两个位相同为0，不同为1。
- 常见特性：
XOR x, x：清零x，效果等同于MOV x, 0。
用途
- 寄存器清零：用异或代替直接赋零。
- 数据加密：基于对称性，广泛用于异或加密。
- 数据交换：无需临时寄存器即可对两个变量值互换。
示例
MOV EAX, 5 ; EAX = 5
MOV EBX, 10 ; EBX = 10
XOR EAX, EBX ; EAX = EAX ^ EBX -> EAX = 5 ^ 10
XOR EBX, EAX ; EBX = EBX ^ EAX -> EBX = 10 ^ (5 ^ 10) = 5
XOR EAX, EBX ; EAX = EAX ^ EBX -> EAX = (5 ^ 10) ^ 5 = 10
3. 应用场景
3.1 掩码操作（AND 的应用）
描述
通过 AND 指令与特定的掩码值进行按位与，可以清除某些特定位，或者保留特定位的值。
示例：权限标志解析
#define PROCESS_VM_READ 0x0010
#define PROCESS_VM_WRITE 0x0020
DWORD flags = 0x0030; // 00110000
if (flags & PROCESS_VM_READ) {
std::cout << "Read permission enabled" << std::endl;
}
if (flags & PROCESS_VM_WRITE) {
std::cout << "Write permission enabled" << std::endl;
}汇编层实现
MOV EAX, [FLAGS] ; 加载权限标志
AND EAX, 0x0010 ; 检查是否具有读取权限
JZ no_read_permission ; 若为0，跳转
...
no_read_permission:3.2 状态或权限设置（OR 的应用）
通过 OR 指令可以为状态标志赋值或启用额外权限，而无需影响标志的其他部分。
示例
DWORD flags = 0x0000; // 初始状态无权限
flags |= PROCESS_VM_READ; // 启用读取权限
flags |= PROCESS_VM_WRITE; // 启用写入权限汇编层实现
MOV EAX, [FLAGS] ; 加载权限标志
OR EAX, 0x0010 ; 启用读取权限
MOV [FLAGS], EAX3.3 数据校验（NOT 的应用）
通过 NOT 指令和掩码结合，可以反转二进制数据中的某些比特位，用于逻辑校验或生成补码。
示例
DWORD value = 0xF0;
value = ~value; // 按位取反，结果：0x0F
汇编层实现
MOV EAX, [VALUE] ; 加载数据 NOT EAX ; 按位取反 MOV [VALUE], EAX
3.4 数据加密（XOR 的应用）
描述
XOR 指令可用于简单的对称加密，因为 A XOR B XOR B = A 的特性，使得一个值可以利用同一密钥完成加密和解密。
示例
char plain_text = 0x5; // 明文
char key = 0xA; // 密钥
char cipher_text = plain_text ^ key; // 密文
char decrypted = cipher_text ^ key; // 解密回明文
汇编层实现
MOV AL, 0x05 ; 明文 MOV BL, 0x0A ; 密钥 XOR AL, BL ; 加密 XOR AL, BL ; 解密
4. 逻辑运算指令在逆向工程中的应用
4.1 标志位检查
AND和TEST指令常配合使用进行条件标志检查，分析是否设置某些位。- 逆向中，寻找
AND结合条件跳转指令（如JZ）的使用场景，可还原掩码校验逻辑。
示例
AND EAX, MASK JZ no_match ... no_match:
4.2 分析加密算法
- 异或（
XOR）常用于软件中的简单加密算法（如 XOR 加密、校验），逆向工程中需要重点关注异或操作。 - 根据 XOR 的特点，可以快速逆推出密钥。
4.3 数据清零与交换
- XOR 最经典的
XOR REG, REG形式用于清空寄存器值，逆向中这可能用于初始化变量。 - 数据交换的异或三次算法无需临时寄存器，常用于优化代码逻辑。