目标代码静态反汇编技术研究与实现.pdfVIP

开发案例 目标代码静态反汇编技术研究与实现 王振华 ， 陈宝财 ， 卢 琦 (广东工业大学计算机学院，广州 510006) 摘 要 ：软件通常以二进制文件的PE格式发布 ，但它不利于阅读和分析。通过反汇编分析器可 以将二进制文件转化成高级语言的汇编指令，从而有利于对 目标代码的分析 ，方便对 目标代码进行软件保护相关的操作。实验表 明，线性扫描和递归遍历相结合的反汇编 分析算法取得较好的效果。 关键词 ：静态反汇编 ；目标代码 ；PE；线性扫描 ；递 归遍历 0 引 言 研究清楚 PE结构对 目标代码进行加密 、加壳、 修改和反汇编分析十分重要。而反汇编分析可以让 可执行 的 目标代码是 Win32平 台PE(Portable 我们了解软件功能。有利于对软件的分析和维护 。 Executable)格式文件[n，PE是一种针对于微软 Win— d0wsNT、Windows95和 Win32s系统 ，由微软公司 1 静态反汇编分析算法 设计的可执行的二进制文件 (DLL和执行程序)格式 。 静态反汇编是指在通过反汇编算法对 目标代码 它是 由TIS (ToolInterfaceStandard)委员会 (Mi． 进行分析 ．但不运行 目标代码 自身代码 ，通过静态分 er0soft、Intel、Borland、Watcom、IBM等)在 1993年进 析得到汇编指令代码 ．从而获得程序功能的方法。 行 了标准化 它参考 了一些 UNIXes和 VMS的 1．1线性扫描算法 COFF(CommonObjectFileFormat)格式 。 线性扫描算法2[1是指从 目标代码的．text节段 的 PE文件使用平面地址空间．将代码和数据合并 起始字节处开始反汇编 ．简单地扫描程序的整个代 在一起 。组成一个很大的结构。文件内容被分割为不 码 区节段 ．反汇编分析遇到的每一条指令 ．遇到非法 同的节段 (Section)，其 中包含代码(．text)~ (．da— 指令就结束整个反汇编过程。 ta1，各个节段按页边界对齐 ，节段没有大小限制 ，是 线性扫描算法过程为 ： 一 个连续的结构 globalstartAddr．endAddr；，／定义全局变量 startAddr 例如 ：．text：表示指令代码 。在编译或汇编结束 和 endAddr 时产生的一种节段 procLinearSweep(addr) ． rdata：运行期只读数据节段。 begin ． data：初始化的数据节段。 whilefstartAddr=addr=endAddr)do ． idata：输入表 ，包含其他外来 DLL的函数和数 I：=在地址 addr处反汇编所得到的指令： 据信息。