我昨天终于把Ghidra开了鹰潭管道保温施工，不是下载完就扔桌面的那种，是确切点开个我方写的“密码校验小步伐”，找到了main函数，还看懂了那行cmp eax, 12345678h——正本它确切在拿我输的数字跟内存里存的值比。没用IDA，没看破解，也没东谈主教，就照着份小白写的四步清单，花了三小时，干成了。

昔日总觉得逆向是黑进微信改红包，其后才知谈，连我方编译的exe点双击后怎样开动跑，王人稀里隐隐。它先加载到哪块内存？参数放哪？复返地址藏在哪？没东谈主问我这些，我也压根不会问。直到有次调试时在x64dbg里看到RSP指针陡然跳了下，我才领路到：哦，正本函数调用不是魔法，仅仅寄存器挪了挪位置。

学汇编无用背领导，记五个寄存器够用。EAX存着力，ESP管栈顶，EBP当栈底锚点，ECX常作轮回计数，EDX配EAX作念除法。我写了个for轮回，gcc -S生成.s文献，左边C代码，右边汇编，中间用铅笔画箭头连变量名和寄存器，连三次就显着为什么局部变量叫local_10——因为从RBP往下数16个字节，便是它。

strings呐喊比我念念象中好用。径直拖个exe进去，回车，满屏乱码里真能找到“Access Denied”“please input password”。正本字符串真就躺在.data节里，没加密，没荫藏，仅仅咱们昔日懒得看。用PE Explorer点开，切到“String References”，双击就能跳到汇编位置。这不是破译，是查户口。

Ghidra反编译出来的C代码看着像，但变量名全是local_8、param_1，次看真懵。其后试入部下手动重定名：把local_10改成input_buf，把param_2改成key_ptr，整段逻辑陡然顺了。定名不是小事，是大脑在给未知贴标签。你不肯起名鹰潭管道保温施工，诠释还没信得过看懂它。

卡得狠那次是开个步伐全是??，IDA报错。查了才知谈是UPX壳。没硬刚，先用file呐喊扫眼，再下Detect-It-Easy，扫出UPX 3.96，接着upx -d解包，再拖进去——此次有东西了。不是悉数步伐王人要硬啃，识别壳比脱壳病笃。

调试不等于狂按F9。我在scanf后设断点，停住，管道保温施工看RSP指向的栈位置，手输的字符串真就躺在那边。再看RDI，内部是字符串地址——正本printf(“s”, buf)里buf传进去，真便是把地址塞进RDI。无用记法例，看次记辈子。

学的技艺别贪多。我删了悉数公众号储藏夹，只留Ghidra官help文档、x64dbg快捷键图、还有我方写的三行札记：“1. 步伐跑在内存里，不是真空里；2. 函数调用=压栈+跳转+弹栈；3. 悉数语法，后王人是mov/call/jmp”。写在便签上，贴在表露器边。

上周我只干了件事：搞懂printf在Linux x64下怎样传参。前两天还不知谈rdi、rsi、rdx是干啥的，目下知谈个字符串地址进rdi，二个进rsi鹰潭管道保温施工，三个进rdx。不为破解啥，就为证实件事：机器没骗我，它真按文档写的干。

个完满花式是分析busybox里的ls。没看源码，只用Ghidra开静态编译版，定位main，顺argv[1]找到strcmp调用，发现-h分支跳转到help函数。然后我方输ls -h，再进gdb看同位置，居然停住了。两次操作，次考证，心里厚实了。

用具装太多反而不知谈用哪个。我就留三个：Ghidra看结构，x64dbg跟运行，VS Code写札记加扎眼。Python偶尔跑个strings过滤，没别的。学不会的技艺就关掉悉数窗口，重开个终局，敲file ./a.out，就这个呐喊，看三遍，再开。

有次调试卡住两小时，后发现是我方忘了在main滥觞设断点，步伐闪就收敛了。没骂用具，也没骂我方笨，就截图存下来，标题写：“2024年9月17日，7次搞丢main进口”。

目下我不怕看到汇编了。看到jmp，先找它跳去哪；看到call，就查栈顶有莫得复返地址；看到mov eax, dword ptr [ebp-4]，就知谈这是在取个int型局部变量。不是全懂，是知谈下步该看哪。

逆向不是为了改步伐，是为让我方别再当个盲人。步伐跑起来的技艺，内存在动，寄存器在变，栈在涨落——这些事直发生，仅仅昔日没东谈主告诉我不错去看。

我今天又开了阿谁密码步伐。没转业代码，仅仅在Ghidra里把main函数右侧的Decompile窗口，手动把v1重定名为user_input，把v2改成stored_key。改完那俄顷，代码读起来，像东谈主话了。