-
-
[原创]打造自己的反汇编引擎——Intel指令编码学习报告（一）
-
发表于: 2008-10-22 00:22
-
写在前面：
学习Intel指令格式已经有近一个月了，本来想把整个反汇编引擎写完整之后再发布源代码和学习报告的，但是，最初的热情过后，剩下的就是辛苦劳动了，现在实在太累了，似乎有点写不下去的感觉了，所以我还是打算，边总结学习的过程，边完成整个反汇编引擎：一方面，希望论坛里对指令解码知识感兴趣的朋友，高手给些鼓励；另一方面，希望能和这些朋友们讨论程序中的bug，讨论整个反汇编引擎的架构（这个我会在后面的学习报告中详细说明我所了解的一些架构）。学习新的知识是一件很令人高兴和满足的事情，但是能和别人分享学习的经验，更令人快乐。
学习指令编码格式的好处有很多，我在这里提一些吧：
一、加深对指令的了解。并不是用汇编语言写出的程序速度就一定比其他高级语言快，或者说节省空间，现在大部分的编译器做得比一般的汇编语言初学者，甚至是有一定编程经验的人都好，对一些汇编指令有所了解后，可能利用这些指令写出符合特定条件的好的代码，不管是用在shellcode还是用在关键代码的性能优化方面都有好处。例如：Svin的教程中就有一个题目：
用四个byte实现下列的算法：（opcode hack）
IF ZF=1
inc eax
ELSE
mov al,40
再有，现在的高级语言因为执行效率的原因，一般都舍弃用leave和enter指令，然而这些指令有着空间的优势……等等，此外，学习了指令编码之后会对intel的寻址模式有一个更为深刻的了解。
二、学习了指令编码可以软件保护中的很多技巧如花指令等有更深刻的了解。
三、如果这些小的技巧实在是不值一提，那么如果想些一个虚拟机架构的话，就必须对这些指令有所了解。
……
由于我是一个菜鸟，所以有很多说不清楚的地方，还希望高手指正，毕竟，讨论才是学习永恒的主题。本来打算，把这些学习报告发在新手区的，但是看到这个版块有一个专题，就发到这个地方了。很多高手可能想自己学习研究，我会提前把我找到的所有的资料都列在附件中。
实验反汇编引擎介绍：（原代码下载： dasm.rar）
引擎采用了最直观，当然也是最笨拙的方法，switch...case，代码虽然不够简练，但是执行效率和整体结构还是很清楚的，代码的解析和识别只剩下力气活了。
反汇编引擎目前的进度：
基本框架已经实现，能解析的指令大约200多条，2-byte的指令还不能解析，浮点指令和mmx指令的解析都还待完成。
(2008.10.22更新：已经能正确解析所有常用指令（除特权指令，浮点指令，mmx指令之外的指令）)
（2008.10.24更新：改正了解析C4，C5指令的一个小bug）
测试程序：（CrackMe.exe为测试用的pe文件）
我用了不久前学习pe文件格式的时候写的pe文件解析代码，提取了.text中的数据作测试用，pe文件的解析部分代码很丑，大家感兴趣的话，可以只看反汇编部分的代码，代码没有加注释，我想我会在后续的学习报告中详细解释每一个部分的代码。
程序的运行方式：dasmMain.exe 待解析的pe文件 >out.txt 最好重定向到文件中看，输出的结构有点多。
由于有些指令不能识别，导致实际的反汇编代码跟正确的比有些混乱，但是大部分代码还是正确的，我测试的输出结果如图：
跟olly的结果比较一下：
对得不是太齐，但是如果以后做成GUI的形式，因该没有什么问题了。实际的效果大家可以用不同的pe文件测试，当然，程序只是读文件的.text区，没有任何分析，实际效果，大家还是要对照地址来检查。
学习资料：
1、首推Svin的教程，英文原版： tutorial of opcode by svin.rar都是一些保存好的网页，大家可以权当链接使用。当然，论坛上也有翻译后的版本，大家可以找一找，不过还是推荐到原论坛看原帖。
2、The art of disassembly，英文原版： Art Of Disassembly.part1.rar Art Of Disassembly.part2.rar Art Of Disassembly.part3.rar，当然论坛里也有中文版的。
3、罗聪的《学习Opcode教程》： learningopcode.rar
4、指令列表： code table.rar，网上不同的版本很多，但是这个是我见到的做的最好的一份，实际的解码过程也是参照这个表做的，当然同时参考的少不了：
5、Intel® 64 and IA-32 Architectures Software Developer's Manual 2A Instruction Set Reference A-M.pdf
6、Intel® 64 and IA-32 Architectures Software Developer's Manual 2B Instruction Set Reference N-Z.pdf，上面两个就不传上来了，intel的网站上就有。
上面列出来的是能找到的所有关于intel指令编码的资料了，很多教程都不完整，或者没有实现一个真实的反汇编引擎，我想这也是为什么，我想把学习和实现反汇编引擎的经验写出来的原因之一，希望我能写出一个完整的学习过程来。
学习Intel指令格式已经有近一个月了，本来想把整个反汇编引擎写完整之后再发布源代码和学习报告的，但是，最初的热情过后，剩下的就是辛苦劳动了，现在实在太累了，似乎有点写不下去的感觉了，所以我还是打算，边总结学习的过程，边完成整个反汇编引擎：一方面，希望论坛里对指令解码知识感兴趣的朋友，高手给些鼓励；另一方面，希望能和这些朋友们讨论程序中的bug，讨论整个反汇编引擎的架构（这个我会在后面的学习报告中详细说明我所了解的一些架构）。学习新的知识是一件很令人高兴和满足的事情，但是能和别人分享学习的经验，更令人快乐。
学习指令编码格式的好处有很多，我在这里提一些吧：
一、加深对指令的了解。并不是用汇编语言写出的程序速度就一定比其他高级语言快，或者说节省空间，现在大部分的编译器做得比一般的汇编语言初学者，甚至是有一定编程经验的人都好，对一些汇编指令有所了解后，可能利用这些指令写出符合特定条件的好的代码，不管是用在shellcode还是用在关键代码的性能优化方面都有好处。例如：Svin的教程中就有一个题目：
用四个byte实现下列的算法：（opcode hack）
IF ZF=1
inc eax
ELSE
mov al,40
再有，现在的高级语言因为执行效率的原因，一般都舍弃用leave和enter指令，然而这些指令有着空间的优势……等等，此外，学习了指令编码之后会对intel的寻址模式有一个更为深刻的了解。
二、学习了指令编码可以软件保护中的很多技巧如花指令等有更深刻的了解。
三、如果这些小的技巧实在是不值一提，那么如果想些一个虚拟机架构的话，就必须对这些指令有所了解。
……
由于我是一个菜鸟，所以有很多说不清楚的地方，还希望高手指正，毕竟，讨论才是学习永恒的主题。本来打算，把这些学习报告发在新手区的，但是看到这个版块有一个专题，就发到这个地方了。很多高手可能想自己学习研究，我会提前把我找到的所有的资料都列在附件中。
实验反汇编引擎介绍：（原代码下载： dasm.rar）
引擎采用了最直观，当然也是最笨拙的方法，switch...case，代码虽然不够简练，但是执行效率和整体结构还是很清楚的，代码的解析和识别只剩下力气活了。
反汇编引擎目前的进度：
基本框架已经实现，能解析的指令大约200多条，2-byte的指令还不能解析，浮点指令和mmx指令的解析都还待完成。
(2008.10.22更新：已经能正确解析所有常用指令（除特权指令，浮点指令，mmx指令之外的指令）)
（2008.10.24更新：改正了解析C4，C5指令的一个小bug）
测试程序：（CrackMe.exe为测试用的pe文件）
我用了不久前学习pe文件格式的时候写的pe文件解析代码，提取了.text中的数据作测试用，pe文件的解析部分代码很丑，大家感兴趣的话，可以只看反汇编部分的代码，代码没有加注释，我想我会在后续的学习报告中详细解释每一个部分的代码。
程序的运行方式：dasmMain.exe 待解析的pe文件 >out.txt 最好重定向到文件中看，输出的结构有点多。
由于有些指令不能识别，导致实际的反汇编代码跟正确的比有些混乱，但是大部分代码还是正确的，我测试的输出结果如图：
跟olly的结果比较一下：
对得不是太齐，但是如果以后做成GUI的形式，因该没有什么问题了。实际的效果大家可以用不同的pe文件测试，当然，程序只是读文件的.text区，没有任何分析，实际效果，大家还是要对照地址来检查。
学习资料：
1、首推Svin的教程，英文原版： tutorial of opcode by svin.rar都是一些保存好的网页，大家可以权当链接使用。当然，论坛上也有翻译后的版本，大家可以找一找，不过还是推荐到原论坛看原帖。
2、The art of disassembly，英文原版： Art Of Disassembly.part1.rar Art Of Disassembly.part2.rar Art Of Disassembly.part3.rar，当然论坛里也有中文版的。
3、罗聪的《学习Opcode教程》： learningopcode.rar
4、指令列表： code table.rar，网上不同的版本很多，但是这个是我见到的做的最好的一份，实际的解码过程也是参照这个表做的，当然同时参考的少不了：
5、Intel® 64 and IA-32 Architectures Software Developer's Manual 2A Instruction Set Reference A-M.pdf
6、Intel® 64 and IA-32 Architectures Software Developer's Manual 2B Instruction Set Reference N-Z.pdf，上面两个就不传上来了，intel的网站上就有。
上面列出来的是能找到的所有关于intel指令编码的资料了，很多教程都不完整，或者没有实现一个真实的反汇编引擎，我想这也是为什么，我想把学习和实现反汇编引擎的经验写出来的原因之一，希望我能写出一个完整的学习过程来。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
支持LZ，争取弄个完整的引擎出来
|
|
|
|
|
|
嗯,好文.
最近对引擎也很感兴趣.楼主写的不错~~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
最近学习反汇编的人好像很多
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
