一、前言

if语句是属于流程控制语句一种，流程控制语句是进行逆向分析和还原高级代码的基础对于想从事
逆向分析工作流程控制语句是很重要的。

二、if语句分析

if语句是分支结构的重要组成部分。if语句的功能是先运算条件进行比较，然后根据比较结果选择对应的语句块来执行
if 语句只能判断两种情况∶"0"为假值，"非0"为真值。如果为真值，则进入语句块内执行语句；如果为假值，则跳过
if语句块，继续运行程序的其他语句。要注意的是，if语句转换的条件跳转指令与if语句的判断结果是相反的。

源代码：

#include <stdio.h>
#include <stdlib.h>

int main() {
    int index = 0;
    if (index==0)
    {
        printf("index = 0\n");
    }
    system("pause");
    return 0;
}

Debug x86

在IDA中if语句的流程图和执行伪汇编代码。


在dbg x32中if语句的执行伪汇编代码。


if的比较条件为index == 0，如果成立，即为真值，则进入if语句块内执行语句。转换后的汇编代码使用的条件
指令JNE判断结果为不等于0则跳转，因为按照if语句的规定，满足if判定的表达式才能执行if的语句块，而汇编
语言的条件跳转却是满足某条件则跳转。

//将ebp栈底指针入栈，以便程序执行结束可以进行恢复
00C91850  push        ebp
//将栈底变成新的栈顶
00C91851  mov         ebp,esp
//开辟一块0CCH大小的堆栈空间
00C91853  sub         esp,0CCh
//ebx入栈
00C91859  push        ebx
//esi（源地址)入栈
00C9185A  push        esi
//edi（目的地址）入栈
00C9185B  push        edi
//将ebp-0Ch地址处的值放入到edi中
00C9185C  lea         edi,[ebp-0Ch]
//ecx =3，为循环次数3次
00C9185F  mov         ecx,3
将开辟内存空间全部初始化成0CCCCCCCCh。
00C91864  mov         eax,0CCCCCCCCh
//上边代码都是在做前期初始化操作，开辟新的内存空间和堆栈，把之前栈顶与栈底放入新堆栈中，并将内存空间初始化成C
00C91869  rep stos    dword ptr es:[edi]  
00C9186B  mov         ecx,0C9C00Eh  
00C91870  call        00C9131B
//上边三行代码其实就是int main（）
// [ebp-8] = 0
00C91875  mov         dword ptr [ebp-8],0
//使用cmp指令，将ebp-8地址处的4字节与0相减，根据结果改变标志位
00C9187C  cmp         dword ptr [ebp-8],0
//jne为不相则跳转
00C91880  jne         00C9188F
//0C97B30h = （index = 0）
00C91882  push        0C97B30h
//调用printf函数，把0C97B30h当参数传进去
00C91887  call        00C910CD
//进行平栈，堆栈平衡操作
00C9188C  add         esp,4
//esi = esp
00C9188F  mov         esi,esp
//0C97B40h = pause
00C91891  push        0C97B40h
//调用system函数，把pause当参数传进去
00C91896  call        dword ptr ds:[00C9B170h]
//进行平栈，堆栈平衡操作
00C9189C  add         esp,4
//其实下边三行做的操作是return 0，函数返回
00C9189F  cmp         esi,esp  
00C918A1  call        00C9123F  
00C918A6  xor         eax,eax
   
//下边代码是在做恢复操作，把一开始开辟的堆栈和放入到堆栈地址进行恢复操作
00C918A8  pop         edi  
00C918A9  pop         esi  
00C918AA  pop         ebx  
00C918AB  add         esp,0CCh  
00C918B1  cmp         ebp,esp  
00C918B3  call        00C9123F  
00C918B8  mov         esp,ebp  
00C918BA  pop         ebp  
00C918BB  ret

Release x32



Release进行判断，if判断条件为true，直接省略掉了index赋值与判断，直接调用if语句里面的打印语句。

//5E2108h = （index = 0）
005E1040  push        5E2108h
//调用printf函数，把0C97B30h当参数传进去
005E1045  call        005E1010
//0C97B40h = pause
005E104A  push        5E2114h
//调用system函数，把pause当参数传进去
005E104F  call        dword ptr ds:[005E2078h]
//进行平栈，堆栈平衡操作
005E1055  add         esp,8
//eax = 0
005E1058  xor         eax,eax
//把值返回
005E105A  ret

Debug x64



在64位程序中，默认使用的是 fastcall， fastcall用的不是堆栈传参而是使用了寄存器传参。

// [rbp-4] = 0
00007FF7DD69187B  mov         dword ptr [rbp+4],0
//使用cmp指令，将rbp+4地址处的4字节与0相减，根据结果改变标志位
00007FF7DD691882  cmp         dword ptr [rbp+4],0
//jne为不相则跳转
00007FF7DD691886  jne         00007FF7DD691894
//将00007FF7DD699C28h地址的值放入到rcx寄存器里
00007FF7DD691888  lea         rcx,[00007FF7DD699C28h]
//调用printf函数，把rcx当参数传进去
00007FF7DD69188F  call        00007FF7DD691190
//将00007FF7DD699C38h地址的值放入到rcx寄存器里
00007FF7DD691894  lea         rcx,[00007FF7DD699C38h]
//调用system函数，把pause当参数传进去
00007FF7DD69189B  call        qword ptr [00007FF7DD6A0300h]
//eax = 0
00007FF7DD6918A1  xor         eax,eax
//将rbp+00000000000000E8h地址里的值放入到rsp寄存器里
00007FF7DD6918A3  lea         rsp,[rbp+00000000000000E8h]
00007FF7DD6918AA  pop         rdi  
00007FF7DD6918AB  pop         rbp  
00007FF7DD6918AC  ret  

Release x64



//将00007FF6EE632260h地址里的值放入到rcx寄存器里
00007FF6EE631074  lea         rcx,[00007FF6EE632260h]
//调用printf函数，把rcx当参数传进去
00007FF6EE63107B  call        00007FF6EE631010
//将00007FF6EE63226Ch地址里的值放入到rcx寄存器里
00007FF6EE631080  lea         rcx,[00007FF6EE63226Ch]
//调用system函数，把pause当参数传进去
00007FF6EE631087  call        qword ptr [00007FF6EE6320F8h]
//eax = 0
00007FF6EE63108D  xor         eax,eax
//进行平栈
00007FF6EE63108F  add         rsp,28h  
00007FF6EE631093  ret

先执行各类影响标志位的指令
其后是各种条件跳转指令
jxx   XXXX   

如果遇到以上指令序列，可高度怀疑它是一个由if语句组成的单分支结构，根据比较信息与条件跳转指令找到
其跳转相反的逻辑，即可恢复分支结构原型。由于循环结构中也会出现类似的代码，因此在分析过程中还需
要结合上下文分析。