IDA代碼片斷，EAX搬進全局變量

Question

做練習從書惡意軟件之實踐分析（實驗室5-1）

全局變量dword_1008E5C4（第二圖片）應該包含操作系統版本，但是從我可以看到它應該始終設置爲0，因爲 xor eax, eax指令sub_10003695

我錯過了什麼嗎？

Answer 1

的GetVersionEx功能有這樣的簽名：

BOOL WINAPI GetVersionEx(
    _Inout_ LPOSVERSIONINFO lpVersionInfo 
); 

所以它返回一個OSVERSIONINFO結構（或OSVERSIONINFOEX，但在這裏，這是不相關）在一個局部變量在棧上（此處引用rel來EBP），該場dwPlatformId與

cmp [ebp+VersionInformation.dwPlatformId], 2 

指令檢查。的2值確實表明

的操作系統是Windows 7，Windows Server 2008中，Windows Vista中，Windows Server 2003中，Windows XP或Windows 2000的

所以這些系統上的CMP套表示等於的ZERO?標誌。因爲ZERO?標誌現在設置和EAX仍然是零

setz al 

套EAX到00000001 - 作爲返回值的子程序。

Answer 2

是的，setz指令，這臺的al基於它上面的比較結果的值（eax一部分）。