Cheatsheet#

x86 Data Types#

x86 Registers (32-bit)#

8 thanh ghi mục đích chung: EAX, EBX, ECX, EDX, ESI, EDI, EBP, ESP. Chỉ 4 thanh ghi đầu chia được thành sub-register:

EAX (32-bit) └─ AX (16-bit) ─┬─ AH (8-bit cao)
                              └─ AL (8-bit thấp)

ESI, EDI, EBP, ESP chỉ chia được tới 16-bit (SI, DI, BP, SP), không có dạng 8-bit cao/thấp riêng.

3 loại operand:

Công thức địa chỉ hiệu dụng: Effective Address = Base + Index × Scale + Displacement

→ Chapter 1 - x86 Basics

Stack & PUSH/POP#

Stack phát triển về phía địa chỉ thấp hơn. ESP luôn trỏ đỉnh hiện tại.

; PUSH tương đương:
sub esp, 4
mov [esp], <operand>

; POP tương đương:
mov <đích>, [esp]
add esp, 4

→ Chapter 2 - The Stack

CALL / RET / Vòng đời Function Call#

CALL target = push <địa chỉ lệnh kế tiếp> rồi jmp target. RET pop giá trị đó ra rồi nhảy tới. RET n (vd ret 8) tự cộng thêm n byte vào ESP sau khi pop — đây là callee cleanup.

Vòng đời: chuẩn bị tham số (push phải→trái) → CALL (push return address) → hàm chạy → RET (pop return address) → dọn stack (tùy convention).

String trong binary: ASCII (1 byte/ký tự, kết 0x00) vs Unicode UTF-16LE (2 byte/ký tự, kết 0x00 0x00).

→ Chapter 3 - Flow Control

Stack Frame (Prologue/Epilogue)#

; Prologue
push ebp
mov ebp, esp
sub esp, N            ; cấp N byte cho biến cục bộ

; Epilogue
mov esp, ebp
pop ebp
ret [n]

• Tham số → offset dương từ EBP: [ebp+8] = tham số 1, [ebp+0xC] = tham số 2…
• Biến cục bộ → offset âm từ EBP: [ebp-4], [ebp-8]…

Calling Conventions#

→ Chapter 4 - Function Constructs

Conditional Jumps#

CMP a,b tính a-b nội bộ; TEST a,b tính a AND b nội bộ — chỉ set EFLAGS, không ghi kết quả.

Mẹo đọc nhanh: dịch mnemonic thành toán tử rồi đọc “nhảy nếu [operand1] toán_tử [operand2]”. Compiler thường đảo ngược điều kiện khi dịch if (nhảy nếu false để bỏ qua thân if).

→ Chapter 5 - Conditional Branching

Debugging & Patching#

→ Chapter 6 - Debugging Techniques

MUL / IMUL#

String Instructions & Repeat Prefix#

Dùng ESI (nguồn)/EDI (đích), tự tăng/giảm theo Direction Flag (CLD=tăng, STD=giảm):

REP (lặp theo ECX), REPE/REPZ (lặp khi ZF=1 và ECX>0), REPNE/REPNZ (lặp khi ZF=0 và ECX>0).

Intrinsic hay gặp: memcpy()→rep movs*, memset()→rep stos*, strlen()→repne scasb — lý do nhiều khi không thấy CALL nào tới các hàm này trong disassembly.

Structs & Switch/Jump Table#

Struct biến mất hoàn toàn sau compile — nhận ra qua: 1 lệnh memset/STOS khởi tạo nguyên vùng nhớ liên tục, hoặc nhiều lệnh cộng các offset cố định vào cùng 1 base.

Switch nhiều case liên tiếp → compiler dùng jump table:

cmp eax, 4
ja default_case
jmp [jump_table + eax*4]
jump_table:
    dd case_0, case_1, case_2, case_3, case_4

→ Chapter 7 - Intermediate Disassembly

x86-64 Registers & __fastcall#

Mở rộng 8 thanh ghi gốc lên 64-bit (tiền tố R), thêm R8-R15.

Tham số thứ 5 trở đi ra stack tại [RSP+0x20]. Home space = 32-byte caller luôn chừa sẵn ngay dưới return address, để callee spill 4 tham số thanh ghi ra bộ nhớ khi cần. RBP ở x64 không bắt buộc làm frame pointer nữa vì RSP không đổi suốt thân hàm.

MOVSX/MOVSXD giữ dấu khi mở rộng; MOVZX lấp số 0. Không có MOVZXD vì MOV vào thanh ghi 32-bit đã tự zero-extend nửa cao của thanh ghi 64-bit.

→ Chapter 8 - x86-64 Assembly

Hungarian Notation#

SAL Annotation (trong function prototype)#

Handles#

Handle = index vào bảng handle riêng của từng process — cùng giá trị handle ở 2 process khác nhau có thể trỏ tới 2 object hoàn toàn khác nhau. Vòng đời điển hình: CreateFile → dùng handle (ReadFile…) → CloseHandle.

File API Workflow#

I/O:         CreateFile → ReadFile / WriteFile → CloseHandle
Enumeration: FindFirstFile → FindNextFile → FindClose

Windows Registry#

Malware nhắm nhiều nhất: HKLM và HKCU.

RegCreateKeyEx / RegOpenKeyEx → RegQueryValueEx / RegSetValueEx → RegCloseKey

Process Loading (PE Loader)#

Khi 1 file .exe chạy, code đầu tiên thực thi không phải entry point của chương trình — mà là Windows loader (ntdll.dll):

1. Parse PE header
2. Dựng virtual memory, map section vào bộ nhớ
3. Đệ quy resolve import table (load DLL → resolve import của chính DLL đó)
4. Chuyển quyền thực thi tới AddressOfEntryPoint

LoadLibrary + GetProcAddress = resolve hàm thủ công lúc runtime (Runtime Dynamic Linking) — malware hay dùng để né import table tĩnh.

DLL Usage (ví dụ thực tế)#

LoadLibraryA("msvcrt.dll")         -> trả về HMODULE (địa chỉ base DLL)
GetProcAddress(hModule, "printf")  -> trả về địa chỉ thật của hàm

Gọi hàm gián tiếp qua con trỏ vừa lấy — không thấy CALL printf tường minh trong disassembly, chỉ thấy CALL [con trỏ].

Windows Networking#

Chuỗi gọi WinInet là dấu vết rất rõ để lần ra C2 domain/IP qua import + xref.

→ Chapter 9 - Reversing Windows Binaries

Ưu tiên theo dõi đầu tiên#

1. 1102 — audit log bị xóa (luôn luôn khẩn cấp)
2. 4625 hàng loạt rồi 4624 thành công — brute-force trót lọt
3. 4688 / Sysmon 1 với command line đáng ngờ (-enc, IEX, DownloadString…)
4. Sysmon 10 nhắm lsass.exe — credential dumping
5. 4769 số lượng lớn, encryption type yếu — Kerberoasting
6. 7045 với binary path lạ — persistence/lateral movement
7. 4104 — nội dung PowerShell script sau khi deobfuscate

Logon / Logoff#

Logon Type (đi kèm 4624):

Account Management#

Pattern đáng ngờ: 4720 → 4732 vào Administrators = backdoor account.

Kerberos#

Process / Object / Audit#

Sysmon Event IDs#

→ Windows Event ID nên biết

Trang này mình sẽ cập nhật dần mỗi khi có bảng tra cứu mới đáng gom vào.