仅用静态分析能否获取指令MOV RAX,qword ptr FS:[0x28]的RAX值

结论 #

仅通过静态分析手段，无法得到这条指令执行后RAX的具体取值，你只能确定该指令的实际作用。 #

具体说明 #

• 首先明确MOV RAX, qword ptr FS:[0x28]这条指令在Windows x64环境下的语义：Windows 64位系统中，FS段寄存器的基地址指向当前线程的线程环境块（TEB, Thread Environment Block），偏移0x28对应的是TEB中的StackCookie（栈金丝雀、栈保护值）字段，这条指令的作用就是读取当前线程的栈保护值存入RAX，通常用于后续的栈溢出防护校验。
• 该值是操作系统在程序运行、线程创建时动态随机生成的，不同进程、同一进程的不同线程的取值都不相同，不会固化在程序的二进制文件中，因此静态分析阶段没有任何渠道可以获取到这个运行时才会生成的动态值。
• 在Ghidra中进行静态分析时，工具会自动识别该段址+偏移的语义，一般会将FS:[0x28]标注为类似TEB.StackGuard的符号，你可以通过标注明确指令用途，但依然无法拿到实际运行时的具体数值。

内容的提问来源于stack exchange，提问作者user9594728