Демонтаж с использованием Olly или IDA

Question

Я новичок в обратном проектировании и иногда смущаюсь, когда я сталкиваюсь с инструкцией LEA. Я хочу узнать, как узнать, является ли инструкция lea массивом или указателем ссылки. Многие люди говорят, что LEA инструкция используется в качестве опорной инструкции

Например: lea ecx, [eax] --meaning что-то вроде «Int а = & б» в C++;

И некоторые люди говорят, что он используется для загрузки содержимого регистра в другой регистр

Например: lea ecx, [eax] --meaning содержимое загружается в ECX [EAX];

, но я выбираю первый вариант. Но когда я запутался в когда я вижу что-то подобное в Olly:

lea ecx, dword ptr ss:[ecx+eax*2] 

или

lea ecx, dword ptr ds:[ecx+eax*2] 

и так далее.

Прошу пояснить смысл этих инструкций, чтобы узнать, когда это означает ссылочный указатель или массив на C++ или даже знать как (массив, так и ссылочный указатель) в olly или IDA. Я ценю заранее. Спасибо.

Answer 1

В C/C++ доступ к указателю или массиву по существу является одним и тем же. Прямой lea ecx, [eax], скорее всего, будет разыменованием указателя, поскольку смещения нет. Что-то более сложное, как lea ecx, dword ptr ss:[ecx+eax*2], вероятно, имеет доступ к массиву, так как есть указатель базы (ecx) плюс индекс раз размер (+eax*2). Для этого нет жесткого правила.