数组初始化的编译模式特征

8:intArr[10]={1};00F21DE0 mov dword ptr[Arr],100F21DE7 xor eax,eax00F21DE9 mov dword ptr[ebp-2Ch],eax00F21DEC mov dword ptr[ebp-28h],eax00F21DEF mov dword ptr[ebp-24h],eax00F21DF2 mov dword ptr[ebp-20h],eax00F21DF5 mov dword ptr[ebp-1Ch],eax00F21DF8 mov dword ptr[ebp-18h],eax00F21DFB mov dword ptr[ebp-14h],eax00F21DFE mov dword ptr[ebp-10h],eax00F21E01mov dword ptr[ebp-0Ch],eax9:10:intArr2[10]={1,2};00F21E04mov dword ptr[Arr2],100F21E0B mov dword ptr[ebp-5Ch],200F21E12xor eax,eax00F21E14mov dword ptr[ebp-58h],eax00F21E17mov dword ptr[ebp-54h],eax00F21E1A mov dword ptr[ebp-50h],eax00F21E1D mov dword ptr[ebp-4Ch],eax00F21E20mov dword ptr[ebp-48h],eax00F21E23mov dword ptr[ebp-44h],eax00F21E26mov dword ptr[ebp-40h],eax00F21E29mov dword ptr[ebp-3Ch],eax

数组初始化的编译模式特征

1.局部数组存储位置

• Arr：栈帧偏移[ebp-30h]开始，占用40字节
• Arr2：栈帧偏移[ebp-60h]开始，占用40字节

2.显式初始化部分

• Arr[10]：仅第一个元素显式赋值为1

  mov dword ptr [Arr],1 ; Arr[0] = 1

• Arr2[10]：前两个元素显式赋值

  mov dword ptr [Arr2],1 ; Arr2[0] = 1 mov dword ptr [ebp-5Ch],2 ; Arr2[1] = 2

3.未显式初始化部分的处理

• 统一清零模式：使用xor eax,eax+ 连续mov指令

  xor eax,eax ; eax = 0 mov dword ptr [ebp-XXh],eax ; 逐一清零剩余元素

• 清零范围：
  • Arr：位置[ebp-2Ch]到[ebp-0Ch]（9个元素）
  • Arr2：位置[ebp-58h]到[ebp-3Ch]（8个元素）

4.内存布局特征

• 连续存储：每个数组元素按4字节对齐连续排列
• 反向偏移：数组在栈中从低地址向高地址增长
• 固定间隔：数组元素间固定偏移4字节（int类型）

5.编译器优化特征

• 高效清零：使用xor eax,eax而非mov eax,0
• 批量移动：未使用循环，而是展开的连续mov指令
• 直接内存操作：所有初始化直接在栈内存完成，未经过寄存器中转

6.初始化模式识别

模式1（部分初始化后清零）：

mov [base], value ; 第一个元素赋值 xor reg, reg ; 准备零值 mov [base+4], reg ; 清零第二个元素 mov [base+8], reg ; 清零第三个元素 ... ; 重复直到数组结束

模式2（多个显式值后清零）：

mov [base], value1 ; 第一个元素 mov [base+4], value2 ; 第二个元素 xor reg, reg ; 准备零值 mov [base+8], reg ; 清零第三个元素 ... ; 清零剩余元素

7.逆向识别线索

• 数组开始标记：非零值的直接内存写入
• 数组边界确定：连续清零操作序列的结束
• 数组大小推断：通过偏移量计算（每个int占4字节）
• 初始化值确定：显式的mov指令值 vs 清零的默认值