32位64位交叉编码

某些时候会出现32位程序调用64位代码的情况，一般的静态分析和动态调试方法都会失效，间接达到混淆代码的效果，增加二进制分析和逆向工程难度。

基础知识

在X64系统下的进程有32位和64位两种工作模式，这两种工作模式的区别在于CS寄存器。32模式时，CS=0x23；64位模式时，CS=0x33。

这两种工作模式可以进行切换，一般通过retf指令。retf指令等效于2条汇编指令pop ip、pop cs。

如果此时栈中有0x33，则会将0x33弹出到CS寄存器中，实现32位程序切换到64位代码的过程。反之，如果栈中有0x23，将0x23弹出到CS寄存器，则实现64位程序切换到32位代码的过程。

识别32位、64位工作模式切换的两个标志：

（1）出现retf、0x23或0x33。

（2）使用类似call fword的远处调用，譬如call fword ptr [ebp-0xC]。

案例

以看雪.2021 KCTF秋季赛第7题 声名远扬为例，https://ctf.pediy.com/game-season_fight-186.htm

在地址0x41D8A2处，发生了远处调用。

在windbg中给41D8A2下断点，断下来时查看cs=0x23

F11跟进，此时查看cs=0x33，证明进入到了64位模式

执行到sub_4156F0返回时，即为retf，cs=0x33

执行完retf，转到下条命令41d8a5时，cs=0x23，转换为32位模式。

其他扩充知识

1. 如果为Linux ELF程序，可使用gdbserver+IDA 64进行调试。

譬如，gdbserver启动程序，并绑定到1234端口（冒号前不带ip使用本机ip）

gdbserver:1234 ./father

用IDA64打开程序，设置断点，设置好连接gdbserver的参数

F9运行后，到达断点处，点击F7进入代码。

2. windows程序使用windbg(X64)进行动态调试。

3. 让IDA将一段代码分析为X64模式的两种方法。

方法一：

（1）首先将这段要分析的代码拷贝到010editor，保存。

（2）用IDA64打开，选择64mode

（3）IDA64中rebase program，将其改成具体的代码地址。

缺点：该方法恢复的代码，偶尔会有一些内存引用的错误，这是因为缺少了上下文内存。如果需要上下文信息，建议采用方法二。

方法二：

（1）在010Editor中，用PE模板打开exe文件，偏移大概是0x118处，修改标识32位的0x10b为64位的0x20b。

（2）放入IDA64中分析，Rebase Segment为0。