打造自己的反汇编引擎——Intel指令编码学习报告.pdfVIP

打造自己的反汇编引擎——Intel 指令编码学习报告 作 者: egogg 时 间: 2008-10-22,13:28 写在前面： 学习 Intel 指令格式已经有近一个月了，本来想把整个反汇编引擎写完整之后再发布源代 码和学习报告的，但是，最初的热情过后，剩下的就是辛苦劳动了，现在实在太累了，似乎 有点写不下去的感觉了，所以我还是打算，边总结学习的过程，边完成整个反汇编引擎：一 方面，希望论坛里对指令解码知识感兴趣的朋友，高手给些鼓励；另一方面，希望能和这些 朋友们讨论程序中的 bug ，讨论整个反汇编引擎的架构（这个我会在后面的学习报告中详细 说明我所了解的一些架构）。学习新的知识是一件很令人高兴和满足的事情，但是能和别人 分享学习的经验，更令人快乐。 学习指令编码格式的好处有很多，我在这里提一些吧： 一、加深对指令的了解。并不是用汇编语言写出的程序速度就一定比其他高级语言快，或 者说节省空间，现在大部分的编译器做得比一般的汇编语言初学者，甚至是有一定编程经验 的人都好，对一些汇编指令有所了解后，可能利用这些指令写出符合特定条件的好的代码， 不管是用在 shellcode 还是用在关键代码的性能优化方面都有好处。例如：Svin 的教程中就 有一个题目： 用四个 byte 实现下列的算法：（opcode hack ） IF ZF=1 inc eax ELSE mov al,40 再有，现在的高级语言因为执行效率的原因，一般都舍弃用 leave 和 enter 指令，然而这些 指令有着空间的优势……等等，此外，学习了指令编码之后会对 intel 的寻址模式有一个更 为深刻的了解。 二、学习了指令编码可以软件保护中的很多技巧如花指令等有更深刻的了解。 三、如果这些小的技巧实在是不值一提，那么如果想些一个虚拟机架构的话，就必须对这 些指令有所了解。 …… 由于我是一个菜鸟，所以有很多说不清楚的地方，还希望高手指正，毕竟，讨论才是学习 永恒的主题。本来打算，把这些学习报告发在新手区的，但是看到这个版块有一个专题，就 发到这个地方了。很多高手可能想自己学习研究，我会提前把我找到的所有的资料都列在附 件中。 实验反汇编引擎介绍：（原代码下载：dasm.rar ） 引擎采用了最直观，当然也是最笨拙的方法，switch...case，代码虽然不够简练，但是执 行效率和整体结构还是很清楚的，代码的解析和识别只剩下力气活了。 反汇编引擎目前的进度： 基本框架已经实现，能解析的指令大约 200 多条，2-byte 的指令还不能解析，浮点指令和 mmx 指令的解析都还待完成。 (2008.10.22 更新：已经能正确解析所有常用指令（除特权指令，浮点指令，mmx 指令之外的指令）) （2008.10.24 更新：改正了解析 C4，C5 指令的一个小 bug ） 测试程序：（CrackMe.exe 为测试用的 pe 文件） 我用了不久前学习 pe 文件格式的时候写的 pe 文件解析代码，提取了.text 中的数据作测试 用，pe 文件的解析部分代码很丑，大家感兴趣的话，可以只看反汇编部分的代码，代码没 有加注释，我想我会在后续的学习报告中详细解释每一个部分的代码。 程序的运行方式：dasmMain.exe 待解析的 pe 文件 out.txt 最好重定向到文件中看，输出 的结构有点多。 由于有些指令不能识别，导致实际的反汇编代码跟正确的比有些混乱，但是大部分代码 还是正确的，我测试的输出结果如图： 跟 olly 的结果比较一下： 对得不是太齐，但是如果以后做成 GUI 的形式，因该没有什么问题了。实际的效果大家 可以用不同的 pe 文件测试，当然，程序只是读文件的.text 区，没有任何分析，实际效果， 大家还是要对照地址来检查。 学习资料： 1、首推 Svin 的教程，英文原版：tutorial of opcode by svin.rar 都是一些保存好的网页，大家 可以权当链接使用。当然，论坛上也有翻译后的版本，大家可以找一找，不过还是推荐到原 论坛看原帖。 2 、 The art of disassembly ， 英 文 原 版 ： Art Of Disassembly.part1.rarArt Of Disassembly.part2.rarArt Of Disassembly.part3.rar ，当然论坛里也有中文版的。 3、罗聪的《学习 Opcode 教程》：learningopcode.ra