如何在Linux中反汇编二进制可执行文件以获取汇编代码?


81

有人告诉我要使用反汇编程序。是否gcc有任何内置的?最简单的方法是什么?



相关:如何从GCC / c装配件输出中消除“噪音”?-如果您真的只是想看看编译器做了什么,则不必总是需要编译+链接+反汇编。
彼得·科德斯

Answers:


130

我认为没有gcc标志,因为它主要是编译器,但是另一个GNU开发工具可以。objdump带有-d/--disassemble标志:

$ objdump -d /path/to/binary

反汇编如下所示:

080483b4 <main>:
 80483b4:   8d 4c 24 04             lea    0x4(%esp),%ecx
 80483b8:   83 e4 f0                and    $0xfffffff0,%esp
 80483bb:   ff 71 fc                pushl  -0x4(%ecx)
 80483be:   55                      push   %ebp
 80483bf:   89 e5                   mov    %esp,%ebp
 80483c1:   51                      push   %ecx
 80483c2:   b8 00 00 00 00          mov    $0x0,%eax
 80483c7:   59                      pop    %ecx
 80483c8:   5d                      pop    %ebp
 80483c9:   8d 61 fc                lea    -0x4(%ecx),%esp
 80483cc:   c3                      ret    
 80483cd:   90                      nop
 80483ce:   90                      nop
 80483cf:   90                      nop

9
对于英特尔语法:objdump -Mintel -d。或Agner Fog的objconv反汇编程序是我尝试过的最好的(请参阅我的回答)。将编号标签添加到分支目标确实非常好。
彼得·科德斯

5
有用的选项:objdump -drwC -Mintel-r显示符号表中的重定位。 -C使C ++名称解混。 -W避免换行以获取长指令。如果您经常使用它,则非常方便:alias disas='objdump -drwC -Mintel'
彼得·科德斯,2016年

2
添加-S以显示与反汇编混合的源代码。(正如在另一个答案中所指出的。)
亚历山大·波兹涅夫

45

objdump的一个有趣替代方法是gdb。您不必运行二进制文件或具有debuginfo。

$ gdb -q ./a.out 
Reading symbols from ./a.out...(no debugging symbols found)...done.
(gdb) info functions 
All defined functions:

Non-debugging symbols:
0x00000000004003a8  _init
0x00000000004003e0  __libc_start_main@plt
0x00000000004003f0  __gmon_start__@plt
0x0000000000400400  _start
0x0000000000400430  deregister_tm_clones
0x0000000000400460  register_tm_clones
0x00000000004004a0  __do_global_dtors_aux
0x00000000004004c0  frame_dummy
0x00000000004004f0  fce
0x00000000004004fb  main
0x0000000000400510  __libc_csu_init
0x0000000000400580  __libc_csu_fini
0x0000000000400584  _fini
(gdb) disassemble main
Dump of assembler code for function main:
   0x00000000004004fb <+0>:     push   %rbp
   0x00000000004004fc <+1>:     mov    %rsp,%rbp
   0x00000000004004ff <+4>:     sub    $0x10,%rsp
   0x0000000000400503 <+8>:     callq  0x4004f0 <fce>
   0x0000000000400508 <+13>:    mov    %eax,-0x4(%rbp)
   0x000000000040050b <+16>:    mov    -0x4(%rbp),%eax
   0x000000000040050e <+19>:    leaveq 
   0x000000000040050f <+20>:    retq   
End of assembler dump.
(gdb) disassemble fce
Dump of assembler code for function fce:
   0x00000000004004f0 <+0>:     push   %rbp
   0x00000000004004f1 <+1>:     mov    %rsp,%rbp
   0x00000000004004f4 <+4>:     mov    $0x2a,%eax
   0x00000000004004f9 <+9>:     pop    %rbp
   0x00000000004004fa <+10>:    retq   
End of assembler dump.
(gdb)

有了完整的调试信息,它会更好。

(gdb) disassemble /m main
Dump of assembler code for function main:
9       {
   0x00000000004004fb <+0>:     push   %rbp
   0x00000000004004fc <+1>:     mov    %rsp,%rbp
   0x00000000004004ff <+4>:     sub    $0x10,%rsp

10        int x = fce ();
   0x0000000000400503 <+8>:     callq  0x4004f0 <fce>
   0x0000000000400508 <+13>:    mov    %eax,-0x4(%rbp)

11        return x;
   0x000000000040050b <+16>:    mov    -0x4(%rbp),%eax

12      }
   0x000000000040050e <+19>:    leaveq 
   0x000000000040050f <+20>:    retq   

End of assembler dump.
(gdb)

objdump具有类似的选项(-S)


12

此答案特定于x86。可拆卸AArch64,MIPS或任何包含objdump和的机器代码的便携式工具llvm-objdump


昂纳雾的反汇编器objconv是相当不错的。它将在反汇编输出中添加有关性能问题的注释(例如,具有16位立即数的指令中可怕的LCP停顿)。

objconv  -fyasm a.out /dev/stdout | less

(它不被认为-是stdout的简写,默认情况下是将其输出到与输入文件名称相似的文件中,并附加上.asm。)

它还将分支目标添加到代码中。其他反汇编程序通常仅使用数字目标来反汇编跳转指令,并且不要在分支目标上放置任何标记来帮助您找到循环的顶部,等等。

它还比其他反汇编程序更清楚地指示NOP(使它们在填充时清晰可见,而不是仅作为另一条指令来分解。)

它是开源的,易于为Linux编译。它可以分解为NASM,YASM,MASM或GNU(AT&T)语法。

样本输出:

; Filling space: 0FH
; Filler type: Multi-byte NOP
;       db 0FH, 1FH, 44H, 00H, 00H, 66H, 2EH, 0FH
;       db 1FH, 84H, 00H, 00H, 00H, 00H, 00H

ALIGN   16

foo:    ; Function begin
        cmp     rdi, 1                                  ; 00400620 _ 48: 83. FF, 01
        jbe     ?_026                                   ; 00400624 _ 0F 86, 00000084
        mov     r11d, 1                                 ; 0040062A _ 41: BB, 00000001
?_020:  mov     r8, r11                                 ; 00400630 _ 4D: 89. D8
        imul    r8, r11                                 ; 00400633 _ 4D: 0F AF. C3
        add     r8, rdi                                 ; 00400637 _ 49: 01. F8
        cmp     r8, 3                                   ; 0040063A _ 49: 83. F8, 03
        jbe     ?_029                                   ; 0040063E _ 0F 86, 00000097
        mov     esi, 1                                  ; 00400644 _ BE, 00000001
; Filling space: 7H
; Filler type: Multi-byte NOP
;       db 0FH, 1FH, 80H, 00H, 00H, 00H, 00H

ALIGN   8
?_021:  add     rsi, rsi                                ; 00400650 _ 48: 01. F6
        mov     rax, rsi                                ; 00400653 _ 48: 89. F0
        imul    rax, rsi                                ; 00400656 _ 48: 0F AF. C6
        shl     rax, 2                                  ; 0040065A _ 48: C1. E0, 02
        cmp     r8, rax                                 ; 0040065E _ 49: 39. C0
        jnc     ?_021                                   ; 00400661 _ 73, ED
        lea     rcx, [rsi+rsi]                          ; 00400663 _ 48: 8D. 0C 36
...

请注意,此输出已准备好组装回目标文件,因此您可以在asm源代码级别调整代码,而不必在机器代码上使用十六进制编辑器。(因此,您不限于保持相同的大小。)不做任何更改,结果应该几乎相同。但是,由于诸如

  (from /lib/x86_64-linux-gnu/libc.so.6)

SECTION .plt    align=16 execute                        ; section number 11, code

?_00001:; Local function
        push    qword [rel ?_37996]                     ; 0001F420 _ FF. 35, 003A4BE2(rel)
        jmp     near [rel ?_37997]                      ; 0001F426 _ FF. 25, 003A4BE4(rel)

...    
ALIGN   8
?_00002:jmp     near [rel ?_37998]                      ; 0001F430 _ FF. 25, 003A4BE2(rel)

; Note: Immediate operand could be made smaller by sign extension
        push    11                                      ; 0001F436 _ 68, 0000000B
; Note: Immediate operand could be made smaller by sign extension
        jmp     ?_00001                                 ; 0001F43B _ E9, FFFFFFE0

源代码中没有任何内容可确保将其组装为更长的编码,从而为重定位留有空间以32位偏移量对其进行重写。


如果您不想将其安装为objconv,则GNU binutilsobjdump -Mintel -d非常有用,如果您具有正常的Linux gcc设置,则已经安装了GNU binutils 。


6

还有ndisasm,它有一些怪癖,但是如果您使用nasm可能会更有用。我同意Michael Mrozek的观点,objdump可能是最好的。

[稍后]您可能还想查看Albert Van der Horst的ciasdis:http ://home.hccnet.nl/awmvan.der.horst/forthassembler.html 。可能很难理解,但是它具有一些有趣的功能,您可能在其他任何地方都找不到。


2
特别是:home.hccnet.nl/awmvan.der.horst/ciasdis.html 在“最新开发”中包含一个debian软件包,您可以轻松地安装它。使用正确的指令(执行脚本),它将生成一个源文件,该文件将再次重新组装为完全相同的二进制文件。我不知道有什么软件包可以做到这一点。从说明中可能很难使用,我打算在github上发布大量示例。
阿尔伯特·范德霍斯特



1

ht编辑器可以反汇编多种格式的二进制文件。它类似于Hiew,但是是开源的。

要拆卸,请打开二进制文件,然后按F6,然后选择elf / image。


1

如果这是您要执行的工作,则可以使用该粗略而冗长的流水线技巧(将/ bin / bash替换为您要反汇编的文件, bash.S以及要将输出发送到的内容):

objdump --no-show-raw-insn -Matt,att-mnemonic -Dz /bin/bash | grep -v "file format" | grep -v "(bad)" | sed '1,4d' | cut -d' ' -f2- | cut -d '<' -f2 | tr -d '>' | cut -f2- | sed -e "s/of\ section/#Disassembly\ of\ section/" | grep -v "\.\.\." > bash.S

但是请注意这有多长时间。我真的希望有更好的方法(或者,就此而言,是一种能够输出汇编程序可以识别的代码的反汇编程序),但不幸的是没有。


哇!这是太棒了。顺便说一句,关于您的问题,为什么不使用别名来跳过键入此大命令?
蝙蝠

0

假设您有:

#include <iostream>

double foo(double x)
{
  asm("# MyTag BEGIN"); // <- asm comment,
                        //    used later to locate piece of code
  double y = 2 * x + 1;

  asm("# MyTag END");

  return y;
}

int main()
{
  std::cout << foo(2);
}

要使用gcc获取汇编代码,您可以执行以下操作:

 g++ prog.cpp -c -S -o - -masm=intel | c++filt | grep -vE '\s+\.'

c++filt 拆线符号

grep -vE '\s+\.' 删除一些无用的信息

现在,如果要可视化标记的部分,只需使用:

g++ prog.cpp -c -S -o - -masm=intel | c++filt | grep -vE '\s+\.' | grep "MyTag BEGIN" -A 20

使用计算机,我得到:

    # MyTag BEGIN
# 0 "" 2
#NO_APP
    movsd   xmm0, QWORD PTR -24[rbp]
    movapd  xmm1, xmm0
    addsd   xmm1, xmm0
    addsd   xmm0, xmm1
    movsd   QWORD PTR -8[rbp], xmm0
#APP
# 9 "poub.cpp" 1
    # MyTag END
# 0 "" 2
#NO_APP
    movsd   xmm0, QWORD PTR -8[rbp]
    pop rbp
    ret
.LFE1814:
main:
.LFB1815:
    push    rbp
    mov rbp, rsp

一种更友好的方法是使用:编译器资源管理器


这只有在禁用优化的情况下才是可靠的,否则区域内的部分操作可能会优化到外部,或者被优化掉。因此,您只能看到笨拙的组件-O0
彼得·科德斯
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.