linux反汇编程序命令,反汇编教程

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

如何在linux下把.so文件反汇编

这个一般没有要求。一般/lib /usr/lib 其它的要看具体情况。。。如果你是自己编译的应用程序，.so文件一般就在安装目录下的lib目录中。

相关问答

Q1: 反汇编Linux程序

你是什么Linux，不开源吗？linux都是开放源码的，你修改过后，重新编译一下内核，就可以了，不需要反编译的

Q2: 怎样反汇编bzImage

具体步骤如下：

#! /bin/sh

set -x

# 一般gzip压缩包的magic值为0x8b1f后跟0x0008，或者0x0808。

# 这里就是要找出这个偏移。

# 119116，就是这个偏移，这个偏移在不同的bzImage里是不同的，所以，这里需要手动调整一下。

# 解压后的文件即vmlinux.bin

od -h -A d bzImage | grep --color -m 3 -A 1 -i 8b1f

dd if=bzImage bs=1 skip=11916 | gunzip vmlinux.bin

# 调用我写的一个python脚本，生成gnu linker script。

./genlds.py vmlinux.elf.lds

# 构造 ELF 信息，结果文件为vmlinux.elf

ld -m elf_x86_64 --format binary --oformat elf64-x86-64 -T vmlinux.elf.lds vmlinux.bin -o vmlinux.elf

# 如果是32位系统，可以用以下命令

#ld -m elf_i386 --format binary --oformat elf32-i386 -T vmlinux.elf.lds vmlinux.bin -o vmlinux.elf

# 删除在上一步生成的多余符号。

objcopy --strip-symbol _binary_vmlinux_bin_start --strip-symbol _binary_vmlinux_bin_end --strip-symbol _binary_vmlinux_bin_size vmlinux.elf

# 设置 .text section标志，否则objdump -d不能正常工作，只能用objdump -D。

objcopy --set-section-flag .text=alloc,readonly,code vmlinux.elf

# 以后只是出于验证目的。

# 以schedule函数作为一个样本，检查在vmlinux.elf文件里是不是包括了正确的偏移。

grep --color "[tT] schedule$" System.map

readelf -s vmlinux.elf | grep " schedule$" --color

genlds.py内容如下：

#! /usr/bin/python

import sys

#将形如 fffffff8989 的字符串转换为数字形式。

def to_no(hexstr):

ret = 0

start = -1

len_hexstr = len(hexstr)

while start=-len_hexstr:

c = hexstr

if c in "0123456789":

n = ord(c) - ord('0')

elif c in "abcdef":

n = ord(c) - ord('a') + 0xa

elif c in "ABCDEF":

n = ord(c) - ord('A') + 0xa

ret |= long(n((-start-1)*4))

start -= 1

return ret

# 计算addr-base

def sym_offset(addr, base):

if base == "missing-base":

return "missing-offset"

addr = to_no(addr)

base = to_no(base)

return hex(int(addr-base))

lines = file("System.map").readlines()

result=""

# 求.text的开始地址

base="missing-base"

for line in lines:

line = line.strip()

addr, type, sym = line.split(" ")

if type in "tT":

if sym in ("startup_64", "startup_32"):

base = addr

break

# 生成lds中的符号行。

for line in lines:

line = line.strip()

addr, type, sym = line.split(" ")

if type in "tT":

offset = sym_offset(addr, base)

result+="\t%s = %s; /* orig: 0x%s */\n" % (sym, offset, addr)

# 生成需要的脚本

template="""

OUTPUT_FORMAT("elf64-x86-64", "elf64-x86-64", "elf64-x86-64")

OUTPUT_ARCH(i386:x86-64)

Q3: linux 下面怎么用gdb调试多个.c文件?

Linux 下调试汇编代码既可以用 GDB、DDD 这类通用的调试器，也可以使用专门用来调试汇编代码的 ALD(Assembly Language Debugger)。

从调试的角度来看，使用 GAS 的好处是可以在生成的目标代码中包含符号表(symbol table)，这样就可以使用 GDB 和 DDD 来进行源码级的调试了。要在生成的可执行程序中包含符号表，可以采用下面的方式进行编译和链接：

[xiaowp@gary code]$ as --gstabs -o hello.o hello.s

[xiaowp@gary code]$ ld -o hello hello.o

执行 as 命令时带上参数 --gstabs 可以告诉汇编器在生成的目标代码中加上符号表，同时需要注意的是，在用 ld 命令进行链接时不要加上 -s 参数，否则目标代码中的符号表在链接时将被删去。

汇编程序员通常面对的都是一些比较苛刻的软硬件环境，短小精悍的ALD可能更能符合实际的需要，因此下面主要介绍一下如何用ALD来调试汇编程序。首先在命令行方式下执行ald命令来启动调试器，该命令的参数是将要被调试的可执行程序：

[xiaowp@gary doc]$ ald hello

hell ELF Intel 80386 (32 bit), LSB, Executable, Version 1 (current)

Loading debugging symbols...(15 symbols loaded)

ald

当 ALD 的提示符出现之后，用 disassemble 命令对代码段进行反汇编：

ald disassemble -s .text

Disassembling section .text (0x08048074 - 0x08048096)

08048074 BA0F000000 mov edx, 0xf

08048079 B998900408 mov ecx, 0x8049098

0804807E BB01000000 mov ebx, 0x1

08048083 B804000000 mov eax, 0x4

08048088 CD80 int 0x80

0804808A BB00000000 mov ebx, 0x0

0804808F B801000000 mov eax, 0x1

08048094 CD80 int 0x80

上述输出信息的第一列是指令对应的地址码，利用它可以设置在程序执行时的断点：

ald break 0x08048088

Breakpoint 1 set for 0x08048088

断点设置好后，使用 run 命令开始执行程序。ALD 在遇到断点时将自动暂停程序的运行，同时会显示所有寄存器的当前值：

ald run

Starting program: hello

Breakpoint 1 encountered at 0x08048088

eax = 0x00000004 ebx = 0x00000001 ecx = 0x08049098 edx = 0x0000000Fesp = 0xBFFFF6C0 ebp = 0x00000000 esi = 0x00000000 edi = 0x00000000

ds = 0x0000002B es = 0x0000002B fs = 0x00000000 gs = 0x00000000

ss = 0x0000002B cs = 0x00000023 eip = 0x08048088 eflags = 0x00000246

Flags: PF ZF IF

08048088 CD80 int 0x80

如果需要对汇编代码进行单步调试，可以使用 next 命令：

ald next

Hello, world!

eax = 0x0000000F ebx = 0x00000000 ecx = 0x08049098 edx = 0x0000000Fesp = 0xBFFFF6C0 ebp = 0x00000000 esi = 0x00000000 edi = 0x00000000

ds = 0x0000002B es = 0x0000002B fs = 0x00000000 gs = 0x00000000

ss = 0x0000002B cs = 0x00000023 eip = 0x0804808F eflags = 0x00000346

Flags: PF ZF TF IF

0804808F B801000000 mov eax, 0x1

若想获得 ALD 支持的所有调试命令的详细列表，可以使用 help 命令：

ald help

Commands may be abbreviated.

If a blank command is entered, the last command is repeated.

Type `help command'' for more specific information on command.

General commands

attach clear continue detach disassemble

enter examine file help load

next quit register run set

step unload window write

Breakpoint related commands

break delete disable enable ignore

lbreak tbreak

Q4: 什么软件能将C语言的执行文件反汇编为汇编源代码

用一个反汇编调试器即可。

IDA或者OllyDbg,方便直观,当然VC也有自带的调试器,不过很麻烦,不如IDA或者OD方便。

补充：

DLL 属于可执行文件中的一类，又称为动态链接库，不能直接用DEBUG加载，一般由应用程序因使用该库中的函数，而由操作系统在应用程序加载的同时被加载入特定地址，这个地址一般是DLL在链接时指定的。当DLL被加载到运行空间，根据输出函数表，可以得到各个函数的入口地址，然后用DEBUG在各个入口下断点，调用该函数时DEBUG将跟踪进入该函数，从而实现反汇编。

反汇编属于逆向工程，逆向工程的主要手段有两大类，其中一类是动态分析，另一类是静态分析。

前面提到的方法属于动态分析，由DEBUG实现反汇编，该方法不容易得到完整的代码，一般只能形成一段一段独立分散的代码，同时由于DEBUG的局限性，反汇编的代码质量多不高，生成的代码不能直接使用，原因在于DLL在加载时若没有加载到指定地址空间，操作系统将对代码进行重定向，所以DEBUG只能得到重定向后的代码，这类代码必须修改每一个重定向点，才能形成可执行代码。作为WINDOWS32位操作系统， OLLYDBG是最为优秀的调试、跟踪、反汇编工具，多窗口运行，可以方便的通过窗口操作完成各类动作，而不需要像一般DEBUG那样由命令行来完成，OLLYDBG还有许多一般调试器不具备的功能，同时由于每一代高手不断的修改，使其具有多种功能，同时带来的就是混乱，谁也不知道有多少版本，谁也不清楚每个版本到底增加了什么功能，但就这样，也是瑕不掩疵， OLLYDBG任然是DEBUG中最强大，最好使用的。

静态分析和动态分析不同，静态分析直接打开原程序，加载而不运行，然后直接分析加载的代码。目前静态分析工具，最强大的当属IDA，IDA支持几乎所有种类的汇编语言。

IDA加载应用程序有许多选项，可以选择完整的加载整个程序，也可以选择加载程序的某个块，一般可选择的是否加载文件头、资源表、输入表、输出表等等。

IDA还支持调试，也就是说，当你在进行反汇编过程时，可以直接使用IDA来调试跟踪，以分析代码的动态执行情况，不过就动态跟踪来说，OLLYDBG更为强大。

IDA反汇编的正确率和代码的复杂程度有关，对于正规开发的代码，尤其是如果能够获得源程序的调试文件，即所谓的PDB文件，IDA可以读取PDB文件中的信息，使得反汇编的效率和准确度大为提高，生成的代码甚至比源代码易读。IDA将反汇编生成的结果存入IDB文件中。当你确认反汇编的结果达到你的要求，可以让IDA输出汇编源代码，IDA也提供其他格式的输出，例如HTML文件，便于用户阅读。楼主主要是用于分析DLL文件，一般来说这类文件更适合做静态分析，所以推荐使用IDA来进行。

IDA对于分析那些加壳或含有大量花指令、混淆代码、垃圾代码的程序，反汇编的正确率会大为下降，因为IDA无法正确的确认当期位置上的数值是属于代码，还是属于数据，是普通C字符,还是DELPHI的字符串，还是UNICODE字符串，是结构数据还是数组还是类表（DELPHI生成的代码中含有大量的类表）等等。遇到这种情况，就需要使用者掌握许多技巧，例如可以通过使用者对当前数据的认识，指导IDA如何处理当前的数据。对于大批量的，具有某些规律的数据，IDA还提供了脚本语言（文件尾位idc），通过对脚本的执行来指导IDA如何进行反汇编。对于更为复杂的情况，例如程序是自解压运行的，这时IDA就没有任何能力来进行正确的分析，通常都会用OLLYDBG动态跟踪，等程序完成自解压后从内存中将解压后的代码完整的挖下来形成文件，再由IDA进行静态分析。

对于成功进行反汇编的代码，IDA根据代码的入口、调用、转移等指令，可以为使用者提供各种格式的程序的流程图，IDA提供许多格式由用户选择，便于用户理解程序的结构。

汇编语言的科学定义，其实就是介于机器码（各种01）和高级语言（如C）之间的一种语言。你用C语言写一段程序，其实要在机器上运行的话，机器是不懂的，要经过编译器、汇编器编译，变成汇编，最终再变成机器码，机器根据这些机器码的01可以控制硬件电路完成你程序想执行的操作。

Q5: 在linux系统中怎么使C程序变成Intel的汇编程序而不是AT&T的，gcc编译后默认的是AT&T的

gcc编译的程序码是没有“Intel”、“att”之分的⋯⋯就是二进制而已。所谓的“Intel”、“att”是指汇编语言的写作格式。

如果你用yum软件包管理器，sudo yum install nasm。

如果你用apt-get，sudo apt-get install nasm。

如果不行，就到sourceforge下载nasm的rpm（如果是yum）或deb（apt-get），然后安装。

如果还不行，下载源码，然后终端里(在解压出的目录下)：

./configure

make

sudo make install

最后，ndisasm -b 32 文件名。