- Java锁的逻辑(结合对象头和ObjectMonitor)
- 还在用饼状图?来瞧瞧这些炫酷的百分比可视化新图形(附代码实现)⛵
- 自动注册实体类到EntityFrameworkCore上下文,并适配ABP及ABPVNext
- 基于Sklearn机器学习代码实战
Capstone 是一款开源的反汇编框架,目前该引擎支持的CPU架构包括x86、x64、ARM、MIPS、POWERPC、SPARC等,Capstone 的特点是快速、轻量级、易于使用,它可以良好地处理各种类型的指令,支持将指令转换成AT&T汇编语法或Intel汇编语法等多种格式。Capstone的库可以集成到许多不同的应用程序和工具中,因此被广泛应用于反汇编、逆向工程、漏洞分析和入侵检测等领域,著名的比如IDA Pro、Ghidra、Hopper Disassembler等调试器都在使用该引擎.
读者可自行下载符合条件的版本,这里笔者选择的是 capstone-4.0.2-win32 版本,下载并解压这个版本,当读者解压后以后即可在项目中引用该引擎,Capstone引擎的配置非常容易,仅仅需要配置引用目录及库目录即可,配置完成如下图所示; 。
实现反汇编的第一步则是打开一个可执行文件,通常在引擎内可调用 cs_open() 函数实现打开,当打开成功时则该函数会返回一个句柄 (handle) 用来进行后续的反汇编操作,函数的原型通常如下:
cs_err cs_open
(
cs_arch arch,
cs_mode mode,
csh *handle
)
其中,各参数的含义如下:
CS_ARCH_X86
表示x86架构,CS_ARCH_ARM表示ARM架构等。 CS_MODE_32
表示32位模式,CS_MODE_64表示64位模式等。 如上所示,函数返回值为 cs_err 类型,表示函数执行的状态或错误码,它是一个枚举类型,当函数执行成功时返回的数值为 CS_ERR_OK ,其次函数的第一个参数是指定 CPU 架构为 x86 ,第二个参数是指定模式为 32位 模式,最后一个参数用来返回 (handle) 句柄.
当一个进程被打开后,则下一步可以通过调用 cs_disasm() 函数来实现对打开文件的反汇编,cs_disasm函数是 Capstone 反汇编框架中的一个函数,用于对指定的二进制数据进行反汇编,返回解码后的指令信息。函数原型通常如下:
size_t cs_disasm
(
csh handle,
const uint8_t *code,
size_t code_size,
uint64_t address,
size_t count,
cs_insn *insn
);
其中,各参数的含义如下:
Capstone
实例来执行反汇编操作。 code_size
终止。 cs_insn
结构体对象指针,在函数调用结束后存储反汇编结果。 函数返回值为 size_t 类型,代表解码的指令数量。在 cs_disasm() 函数中,我们通过将待反汇编的数据以及其它必要的参数传递给该函数,然后使用 cs_insn 结构体对象来存储反汇编结果。通过该函数,我们可以获取指令的指令助记符、指令操作数、寻址模式、使用的寄存器等信息.
当读者理解了这两个API接口后,那么反汇编实现将变得很容易实现,我们来看一下官方针对反汇编实现的一种方式,我们自行封装一个 DisassembleCode() 函数,该函数传入机器码字符串以及该字符串的长度则会输出该字符串的反汇编代码片段,这段代码的实现如下所示; 。
#include <stdio.h>
#include <inttypes.h>
#include <capstone/capstone.h>
#pragma comment(lib,"capstone32.lib")
// 反汇编字符串
void DisassembleCode(char *start_offset, int size)
{
csh handle;
cs_insn *insn;
size_t count;
char *buffer = "\x55\x8b\xec\x81\xec\x24\x03\x00\x00\x6a\x17\x90\x90\x90";
// 打开句柄
if (cs_open(CS_ARCH_X86, CS_MODE_32, &handle) != CS_ERR_OK)
{
return;
}
// 反汇编代码,地址从0x1000开始,返回总条数
count = cs_disasm(handle, (unsigned char *)start_offset, size, 0x1000, 0, &insn);
if (count > 0)
{
size_t index;
for (index = 0; index < count; index++)
{
for (int x = 0; x < insn[index].size; x++)
{
printf("机器码: %d -> %02X \n", x, insn[index].bytes[x]);
}
printf("地址: 0x%"PRIx64" | 长度: %d 反汇编: %s %s \n", insn[index].address, insn[index].size, insn[index].mnemonic, insn[index].op_str);
}
cs_free(insn, count);
}
else
{
printf("反汇编返回长度为空 \n");
}
cs_close(&handle);
}
int main(int argc, char *argv[])
{
char *buffer = "\x55\x8b\xec\x81\xec\x24\x03\x00\x00\x6a\x17\x90\x90\x90";
DisassembleCode(buffer, 14);
system("pause");
return 0;
}
运行上述代码片段,则可看到如下图所示的输出效果; 。
上述代码虽然实现了反汇编但并无法保存结果,对于一个通用程序来说,我们当然是希望这写反汇编代码能够存储到一个特殊的容器内,当需要使用是可以随时调出来,此处我们通过定义一个 MyStruct 并将所需反汇编指令通过 ptr.push_back(location) 放入到一个全局容器内进行存储,当读者调用 DisassembleCode(buffer, 14) 函数是则会返回 std::vector<MyStruct> ptr ,并在主函数内通过循环输出这个容器,改进后的代码将会更加易于使用; 。
#include <iostream>
#include <vector>
#include <inttypes.h>
#include <capstone/capstone.h>
#pragma comment(lib,"capstone32.lib")
using namespace std;
typedef struct
{
int OpCodeSize;
int OpStringSize;
unsigned long long Address;
unsigned char OpCode[16];
char OpString[256];
}MyStruct;
static void print_string_hex(unsigned char *str, size_t len)
{
unsigned char *c;
for (c = str; c < str + len; c++)
{
printf("0x%02x ", *c & 0xff);
}
printf("\n");
}
// 反汇编字符串
std::vector<MyStruct> DisassembleCode(char *start_offset, int size)
{
std::vector<MyStruct> ptr = {};
csh handle;
cs_insn *insn;
size_t count;
// 打开句柄
if (cs_open(CS_ARCH_X86, CS_MODE_32, &handle) != CS_ERR_OK)
{
return{};
}
// 反汇编代码,地址从0x1000开始,返回总条数
count = cs_disasm(handle, (unsigned char *)start_offset, size, 0x0, 0, &insn);
if (count > 0)
{
size_t index;
// 循环反汇编代码
for (index = 0; index < count; index++)
{
// 清空
MyStruct location;
memset(&location, 0, sizeof(MyStruct));
// 循环拷贝机器码
for (int x = 0; x < insn[index].size; x++)
{
location.OpCode[x] = insn[index].bytes[x];
}
// 拷贝地址长度
location.Address = insn[index].address;
location.OpCodeSize = insn[index].size;
// 拷贝反汇编指令
strcpy_s(location.OpString, insn[index].mnemonic);
strcat_s(location.OpString, " ");
strcat_s(location.OpString, insn[index].op_str);
// 得到反汇编长度
location.OpStringSize = strlen(location.OpString);
ptr.push_back(location);
}
cs_free(insn, count);
}
else
{
return{};
}
cs_close(&handle);
return ptr;
}
int main(int argc, char *argv[])
{
char *buffer = "\x55\x8b\xec\x81\xec\x24\x03\x00\x00\x6a\x17\x90\x90\x90";
// 反汇编并返回容器
std::vector<MyStruct> ptr = DisassembleCode(buffer, 14);
// 循环整个容器
for (int x = 0; x < ptr.size(); x++)
{
// 输出地址
printf("%08X | ", ptr[x].Address);
printf("%03d | ", ptr[x].OpStringSize);
// 输出反汇编
for (int z = 0; z < ptr[x].OpStringSize; z++)
{
printf("%c", ptr[x].OpString[z]);
}
printf("\n");
// 输出机器码
for (int y = 0; y < ptr[x].OpCodeSize; y++)
{
printf("%02X ", ptr[x].OpCode[y]);
}
printf("\n");
// print_string_hex(ptr[x].OpCode, ptr[x].OpCodeSize);
}
system("pause");
return 0;
}
运行后输出效果图如下图所示; 。
本文作者: 王瑞 本文链接: https://www.lyshark.com/post/b277703.html 版权声明: 本博客所有文章除特别声明外,均采用 BY-NC-SA 许可协议。转载请注明出处! 。
最后此篇关于10.4认识Capstone反汇编引擎的文章就讲到这里了,如果你想了解更多关于10.4认识Capstone反汇编引擎的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
我目前正在对一个 mmorpg 的二进制网络协议(protocol)进行逆向工程。我正在用 java 实现该协议(protocol)。 对于每个数据包类型,我将创建一个表示二进制数据的类。 例如,聊天
我正在尝试围绕现有类编写半透明包装器,我希望它能够模仿其他类的序列化。 例如,给定以下类: class Foo { [JsonConverter(CustomConverter)] s
是否有使用 Jackson 序列化和反序列化枚举集的简单方法? private enum Type { YES, NO } @JacksonXmlProperty(localName = "t
我很想知道当我们反序列化一个对象时会发生什么。 例如,如果我的类对象由许多其他对象组成,对象创建过程如何在反序列化过程中发生 最佳答案 对象是用默认的初始化字段创建的,然后用从串行流中获取的属性值填充
我正在尝试序列化和反序列化(使用 QDataStream 但这与这里无关)一个 enum class变量: enum class Type : char { Trivial, Comp
我不确定这到底有什么问题...它不会为我编译,我将它从 c 翻译成 C++(或尝试)...是的,我是初学者。谢谢! #include #include using namespace std; i
我遇到的问题与此处描述的问题非常相似:Combining type and field serializers case class(id: Option[UUID], otherValue:Stri
我们知道base中的apply()可以对数组的边距应用一个函数,边距应该是行或列。我想将边距扩大到“对角线” 和“反对角线”。结构看起来像 diagApply <- function(x, FUN,
我找到了 JSON serialization and deserialization to objects in Flutter 的例子但是如何使用像这样的人员列表来做到这一点: [ {
我有一个相当大的terms聚合结果,这些结果被加载到下拉列表中以提供filter功能。 可以说,我的下拉列表中有4000多种动物。我的另一个下拉列表有4种动物颜色。 例, animal --> ["d
我需要将 C# (.NET Framework 4.5.2) 中的一个类与 XML 序列化(反序列化),该类具有 string 的字典属性。键和 string[]数组值。我正在使用 Serializa
[已解决]应用给定的解决方案,效果很好! 程序的目的:在用户打开和关闭程序时保存/重新加载以前的数据。 我曾经用一个对象(obj)成功(反)序列化,现在我有两个不同类的不同对象。 我试图通过查看其他帖
问题 假设我有一个代表某事或其他的枚举: public enum ResultState { Found, Deleted, NotFound } 在我的序列化 json 中,
是否有取消 JSON 字符串的功能?我猜它不会内置到 JQuery 中,但它可以通过编写一个操纵字符串的脚本来实现吗?我在下面遇到了这个问题。 我正在使用 NYTimes API,但它不支持 JSON
对于这个问题,假设当对象完全写入流并成功读出时,或者当对象部分写入流并且读回对象时发生异常时,序列化/反序列化是原子的。假设写操作可能无法成功完成,例如因为停电了。 在Serializable的描述中
有谁知道时序检查是否仍在检测虚拟环境?我尝试使用 rdtsc 指令来获取 cpu 周期并比较真实 linux 机器和在 virtualbox 上运行的 linux 之间的结果。但结果似乎不稳定。有时,
我正在对一个(外部给定的)XML 文件进行操作,该文件具有以下形式的元素 10 20 30 40 50 60 70 80 我知道如何将属性作为属性处理(通过使用 [XmlAttri
我有一个通用的序列化器和反序列化器,用于通过网络连接发送的消息: public static async Task SerializeObject(Object obj) {
我正在考虑将当前基于 WCF 的应用程序迁移到 protobuf-net.Grpc。这似乎是可行的,但是我无法在不包含所有具有 [ProtoInclude] 属性的派生类的情况下使(DTO 类)基类的
我正在尝试将一些数据保存到文件中,但文件保存到的目录不正确。 using (StreamWriter sw = new StreamWriter(dir + "\\temp" + x + ".txt"
我是一名优秀的程序员,十分优秀!