assembly - 如何将shellcode分解为汇编指令？ [复制]

Question

This question already has answers here:

How do I disassemble raw 16-bit x86 machine code?

(6个答案)


3年前关闭。




是否有一些工具可以将原始十六进制分解为组装说明？例如:假设我们有\xeb\x1d根据 this在线反汇编程序反汇编为jmp 0x1f。那么，有一些离线工具吗？我尝试过ndisasm，它没有给我正确的输出。
ndisam -b32 foo给了我:

输出:

00000000  5C                pop esp<br>
00000001  7833              js 0x36<br>
00000003  315C7865          xor [eax+edi*2+0x65],ebx<br>
00000007  620A              bound ecx,[edx]

应该是jmp 0x1f。
我也尝试过像这样的objdump:
objdump -D -b binary -mi386 -M intel foo
输出:

00000000 <.data>:<br>
   0:   5c                      pop    esp <br>
   1:   78 33                   js     0x36 <br>
   3:   31 5c 78 65             xor    DWORD PTR [eax+edi*2+0x65],ebx<br>
   7:   62 0a                   bound  ecx,QWORD PTR [edx]<br>

因此，您能告诉我一些将原始十六进制代码分解为汇编语言的工具吗？

我也尝试过gdb，但是我想要更灵活的东西。

最佳答案

正如评论所建议的那样，您的问题是您已将字符串\xeb\x1d作为ASCII输出到您要反汇编的文件中。您可能已经做了类似的事情:

echo '\xeb\x1d' >foo

您可以执行此操作，但是您将要告诉 echo来解释转义字符 \。这可以通过 -e选项来完成。

您不希望它使用 -n选项在末尾添加换行符。这在ECHO手册页中有记录:

  -n     do not output the trailing newline
  -e     enable interpretation of backslash escapes

这可能起作用:

echo -ne '\xeb\x1d' >foo

使用NDISASM分解字节:

ndisasm -b32 foo

现在应该产生:

00000000  EB1D              jmp short 0x1f

无需使用中间文件(例如 foo)，就可以将ECHO输出通过管道传递到NDISASM中，并以这种方式将其反汇编。该行将使用一个shell代码字符串并输出反汇编:

echo -ne '\xeb\x1d' | ndisasm -b32 -

最后需要 -来告诉NDISASM从标准输入而不是显式文件中反汇编输入。

现在，我们彻底改变了IT行业! ;-)

关于assembly - 如何将shellcode分解为汇编指令？ [复制]，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/44781847/

上一篇：playframework - 为什么 play 2.6 在空闲 85 秒后关闭 websocket？虽然玩 2.5 没有

下一篇：latex - 根据节和小节的数字编号

Answer 1

正如评论所建议的那样，您的问题是您已将字符串\xeb\x1d作为ASCII输出到您要反汇编的文件中。您可能已经做了类似的事情:

echo '\xeb\x1d' >foo

您可以执行此操作，但是您将要告诉 echo来解释转义字符 \。这可以通过 -e选项来完成。

您不希望它使用 -n选项在末尾添加换行符。这在ECHO手册页中有记录:

  -n     do not output the trailing newline
  -e     enable interpretation of backslash escapes

这可能起作用:

echo -ne '\xeb\x1d' >foo

使用NDISASM分解字节:

ndisasm -b32 foo

现在应该产生:

00000000  EB1D              jmp short 0x1f

无需使用中间文件(例如 foo)，就可以将ECHO输出通过管道传递到NDISASM中，并以这种方式将其反汇编。该行将使用一个shell代码字符串并输出反汇编:

echo -ne '\xeb\x1d' | ndisasm -b32 -

最后需要 -来告诉NDISASM从标准输入而不是显式文件中反汇编输入。

现在，我们彻底改变了IT行业! ;-)