Capstone反汇编二

分类：Android作者：小立爱学习

文章目录

前言

Capstone反汇编（一）
上篇文章只是简单分析了官方给出的一个案例用到的API，接下来分析其它的API和数据结构

一 cs_option API 分析

1.1 cs_option

反编译引擎的运行时选项

cs_option(csh ud, cs_opt_type type, size_t value)

1.2 cs_opt_type

type是cs_option函数的第二个参数，是反汇编引擎运行时枚举选项

// 反汇编引擎的运行时选项
typedef enum cs_opt_type {
	CS_OPT_INVALID = 0,	// <未指定选项
	CS_OPT_SYNTAX,	// 汇编输出语法
	CS_OPT_DETAIL,	// 将指令结构分解为细节
	CS_OPT_MODE,	// 在运行时更改引擎的模式
	CS_OPT_MEM,	// 用户自定义动态内存相关函数
	CS_OPT_SKIPDATA, // 反汇编时跳过数据，然后引擎处于 SKIPDATA 模式。
	CS_OPT_SKIPDATA_SETUP, // 为 SKIPDATA 选项设置用户自定义函数
	CS_OPT_MNEMONIC, // 自定义指令助记符
	CS_OPT_UNSIGNED, // 以无符号形式打印立即操作数
} cs_opt_type;

1.3 cs_opt_value

英文很容易理解，这里就不翻译了

/// Runtime option value (associated with option type above)
typedef enum cs_opt_value {
	CS_OPT_OFF = 0,  ///< Turn OFF an option - default for CS_OPT_DETAIL,CS_OPT_SKIPDATA,CS_OPT_UNSIGNED.
	CS_OPT_ON = 3, ///< Turn ON an option (CS_OPT_DETAIL,CS_OPT_SKIPDATA).
	CS_OPT_SYNTAX_DEFAULT = 0, ///< Default asm syntax (CS_OPT_SYNTAX).
	CS_OPT_SYNTAX_INTEL, ///< X86 Intel asm syntax - default on X86 (CS_OPT_SYNTAX).
	CS_OPT_SYNTAX_ATT,   ///< X86 ATT asm syntax (CS_OPT_SYNTAX).
	CS_OPT_SYNTAX_NOREGNAME, ///< Prints register name with only number (CS_OPT_SYNTAX)
	CS_OPT_SYNTAX_MASM, ///< X86 Intel Masm syntax (CS_OPT_SYNTAX).
	CS_OPT_SYNTAX_MOTOROLA, ///< MOS65XX use $ as hex prefix
} cs_opt_value;

1.4 例程演示

使用cs_option函数，加上反编译引擎的运行时选项，反汇编出来的语法为AT&T语法

  // 以AT&T语法显示
  cs_option(handle, CS_OPT_SYNTAX, CS_OPT_SYNTAX_ATT);  

#include <stdio.h>
#include <inttypes.h>

#include <capstone/capstone.h>

#define CODE "\x55\x48\x8b\x05\xb8\x13\x00\x00"

int main(void)
{
	csh handle;
	cs_insn *insn;
	size_t count;

	if (cs_open(CS_ARCH_X86, CS_MODE_64, &handle) != CS_ERR_OK)
		return -1;

    // 以AT&T语法显示
    cs_option(handle, CS_OPT_SYNTAX_ATT);  
     
	count = cs_disasm(handle, CODE, sizeof(CODE)-1, 0x1000, 0, &insn);
	if (count > 0) {
		size_t j;
		for (j = 0; j < count; j++) {
			printf("0x%"PRIx64":\t%s\t\t%s\n", insn[j].address, insn[j].mnemonic,
					insn[j].op_str);
		}

		cs_free(insn, count);
	} else
		printf("ERROR: Failed to disassemble given code!\n");

	cs_close(&handle);

    return 0;
}

看一下结果反汇编出来的语法变成了AT&T语法

在这里插入图片描述

二、 SKIPDATA mode

默认情况下，Capstone 在遇到 a broken instruction 时会停止反汇编，大多数时候，原因是这是输入中混合的数据，Capstone 不理解这个“weird” code。
通常，建议您确定下一个代码在哪里，然后从该位置继续反汇编。 但是，在某些情况下，您只想让 Capstone 自动跳过一些数据，直到找到合法指令，然后从那里继续。 因此，为此目的引入了 SKIPDATA 模式。

简单点来说就是当输入的二进制代码中有不合法的指令，Capstone遇到这个不合法指令便会停止反汇编，不会继续反汇编后面的数据，所以引入了SKIPDATA 模式，跳过这些不合法的指令，并用一个助记符替代，然后继续反汇编后面的数据。

2.1 数据结构

cs_opt_skipdata

//用户自定义设置 SKIPDATA 选项
typedef struct cs_opt_skipdata {
	// Capstone 将要跳过的数据视为特殊的“指令”
	// 用户可以在这里为该指令的“助记符”指定字符串。
	// 默认情况下（如果 @mnemonic 为 NULL），Capstone 使用“.byte”。
	const char *mnemonic;

	// Capstone hits 数据时调用的用户自定义回调函数
	// 如果此回调的返回值为正数 (>0),Capstone 将准确跳过该字节数并继续
	// 否则，如果回调返回 0，Capstone 停止反汇编并立即从 cs_disasm() 返回
	// 注意：如果此回调指针为 NULL，Capstone 将根据体系结构跳过一些字节，如下所示：
	/// Arm:     2 bytes (Thumb mode) or 4 bytes.
	/// Arm64:   4 bytes.
	/// Mips:    4 bytes.
	/// M680x:   1 byte.
	/// PowerPC: 4 bytes.
	/// Sparc:   4 bytes.
	/// SystemZ: 2 bytes.
	/// X86:     1 bytes.
	/// XCore:   2 bytes.
	/// EVM:     1 bytes.
	/// RISCV:   4 bytes.
	/// WASM:    1 bytes.
	/// MOS65XX: 1 bytes.
	/// BPF:     8 bytes.
	cs_skipdata_cb_t callback; 	// default value is NULL

	// 用户自定义数据将被传递给callback函数指针
	void *user_data;
} cs_opt_skipdata;

（2）cs_skipdata_cb_t

/**
	SKIPDATA 选项的用户定义回调函数
 @code: 包含要反汇编的代码的输入缓冲区。
        这与传递给 cs_disasm() 的缓冲区相同。
 @code_size: 上述 code 缓冲区的大小（以字节为单位）。
 @offset: 当前检查字节在上述输入缓冲区 code 中的位置。
 @user_data: 用户数据通过 cs_opt_skipdata 结构中的 user_data 字段传递给 cs_option()。

 @return: 返回要跳过的字节数，或 0 立即停止反汇编。
*/
typedef size_t (CAPSTONE_API *cs_skipdata_cb_t)(const uint8_t *code, size_t code_size, size_t offset, void *user_data);

（3）打开 SKIPDATA mode
要让Capstone跳过一些(未知的)数据量，直到下一个合法指令，只需使用cs_option()打开选项CS_OPT_SKIPDATA(默认关闭)，如下所示：

csh handle;
cs_open(CS_ARCH_X86, &handle);

// turn on SKIPDATA mode
cs_option(handle, CS_OPT_SKIPDATA, CS_OPT_ON);

2.2 例程演示

例程采用官方的例程：
使用SKIPDATA mode 之前：

/* Capstone Disassembler Engine */

#include <stdio.h>
#include <stdlib.h>

#include <capstone/platform.h>
#include <capstone/capstone.h>

struct platform {
	cs_arch arch;
	cs_mode mode;
	unsigned char *code;
	size_t size;
	const char *comment;
	cs_opt_type opt_type;
	cs_opt_value opt_value;
	cs_opt_type opt_skipdata;
	size_t skipdata;
};

static void print_string_hex(unsigned char *str, size_t len)
{
	unsigned char *c;

	printf("Code: ");
	for (c = str; c < str + len; c++) {
		printf("0x%02x ", *c & 0xff);
	}
	printf("\n");
}


static void test()
{
#define RANDOM_CODE "\xed\x00\x00\x00\x00\x1a\x5a\x0f\x1f\xff\xc2\x09\x80\x00\x00\x00\x07\xf7\xeb\x2a\xff\xff\x7f\x57\xe3\x01\xff\xff\x7f\x57\xeb\x00\xf0\x00\x00\x24\xb2\x4f\x00\x78"

	struct platform platforms[] = {
		{
			CS_ARCH_X86,
			CS_MODE_64,
			(unsigned char*)RANDOM_CODE,
			sizeof(RANDOM_CODE) - 1,
		},

	};

	csh handle;
	uint64_t address = 0x1000;
	cs_insn *insn;
	cs_err err;
	int i;
	size_t count;

	for (i = 0; i < sizeof(platforms)/sizeof(platforms[0]); i++) {

		err = cs_open(platforms[i].arch, platforms[i].mode, &handle);
		if (err) {
			printf("Failed on cs_open() with error returned: %u\n", err);
			abort();
		}

		if (platforms[i].opt_type)
			cs_option(handle, platforms[i].opt_type, platforms[i].opt_value);

		count = cs_disasm(handle, platforms[i].code, platforms[i].size, address, &insn);
		if (count) {
			size_t j;

			print_string_hex(platforms[i].code, platforms[i].size);
			printf("Disasm:\n");

			for (j = 0; j < count; j++) {
				printf("0x%" PRIx64 ":\t%s\t\t%s\n",
						insn[j].address, insn[j].op_str);
			}

			// print out the next offset,after the last insn
			printf("0x%" PRIx64 ":\n", insn[j-1].address + insn[j-1].size);

			// free memory allocated by cs_disasm()
			cs_free(insn, count);
		} else {
			printf("****************\n");
			print_string_hex(platforms[i].code, platforms[i].size);
			printf("ERROR: Failed to disasm given code!\n");
			abort();
		}

		printf("\n");

		cs_close(&handle);
	}
}

int main()
{
	test();

	return 0;
}

在这里插入图片描述


Capstone 在遇到 a broken instruction 时会停止反汇编了。

使用SKIPDATA mode 之后：

/* Capstone Disassembler Engine */

#include <stdio.h>
#include <stdlib.h>

#include <capstone/platform.h>
#include <capstone/capstone.h>

struct platform {
	cs_arch arch;
	cs_mode mode;
	unsigned char *code;
	size_t size;
	const char *comment;
	cs_opt_type opt_type;
	cs_opt_value opt_value;
	cs_opt_type opt_skipdata;
	size_t skipdata;
};

static void print_string_hex(unsigned char *str, platforms[i].opt_value);

		// turn on SKIPDATA mode
		cs_option(handle, CS_OPT_ON);
		cs_option(handle, platforms[i].opt_skipdata, platforms[i].skipdata);

		count = cs_disasm(handle, platforms[i].size);
			printf("ERROR: Failed to disasm given code!\n");
			abort();
		}

		printf("\n");

		cs_close(&handle);
	}
}

int main()
{
	test();

	return 0;
}

Capstone 在遇到 a broken instruction 时，自动跳过一些数据，用.byte代替，直到找到合法指令，然后从那里继续反汇编。
Capstone 跳过 1 个字节的数据并继续从输入流中的下一个字节进行反汇编。 在这种情况下，实际上 Capstone 将跳过数据视为指令 ID 为零的特殊指令，助记符为“.byte”，操作数字符串为其跳过的字节序列的十六进制代码。

在这里插入图片描述

2.3 改变助记符例程

如上所述，Capstone 认为数据将被跳过具有默认助记符“.byte”的指令。 要更改此助记符，请使用带有 CS_OPT_SKIPDATA_SETUP 的 cs_option()，如下所示：

csh handle;
cs_open(CS_ARCH_X86, CS_MODE_32, &handle);

cs_opt_skipdata skipdata = {
    .mnemonic = "db",
};

// customize SKIPDATA mode
cs_option(handle, CS_OPT_SKIPDATA_SETUP, &skipdata);

// Turn on SKIPDATA mode
cs_option(handle, CS_OPT_ON);

/* Capstone Disassembler Engine */

#include <stdio.h>
#include <stdlib.h>

#include <capstone/platform.h>
#include <capstone/capstone.h>

struct platform {
	cs_arch arch;
	cs_mode mode;
	unsigned char *code;
	size_t size;
	const char *comment;
	cs_opt_type opt_type;
	cs_opt_value opt_value;
	cs_opt_type opt_skipdata;
	size_t skipdata;
};

static void print_string_hex(unsigned char *str, *c & 0xff);
	}
	printf("\n");
}


static void test()
{
#define RANDOM_CODE "\xed\x00\x00\x00\x00\x1a\x5a\x0f\x1f\xff\xc2\x09\x80\x00\x00\x00\x07\xf7\xeb\x2a\xff\xff\x7f\x57\xe3\x01\xff\xff\x7f\x57\xeb\x00\xf0\x00\x00\x24\xb2\x4f\x00\x78"


	cs_opt_skipdata skipdata = {
		// rename default "data" instruction from ".byte" to "db"
		"db",
	};


	struct platform platforms[] = {
		{
			CS_ARCH_X86,
			"X86 64 (Intel syntax) - Skip data",
		{
			CS_ARCH_X86,
			"X86 64 (Intel syntax) - Skip data with custom mnemonic",
			CS_OPT_INVALID,
			CS_OPT_OFF,
			CS_OPT_SKIPDATA_SETUP,
			(size_t) &skipdata,

	};

	csh handle;
	uint64_t address = 0x1000;
	cs_insn *insn;
	cs_err err;
	int i;
	size_t count;

	for (i = 0; i < sizeof(platforms)/sizeof(platforms[0]); i++) {
		printf("****************\n");
		printf("Platform: %s\n", platforms[i].comment);
		err = cs_open(platforms[i].arch, platforms[i].skipdata);

		// turn off SKIPDATA mode
		//cs_option(handle,CS_OPT_OFF);

		count = cs_disasm(handle, count);
		} else {
			printf("****************\n");
			printf("Platform: %s\n", platforms[i].comment);
			print_string_hex(platforms[i].code, platforms[i].size);
			printf("ERROR: Failed to disasm given code!\n");
			abort();
		}

		printf("\n");

		cs_close(&handle);
	}
}

int main()
{
	test();

	return 0;
}

在这里插入图片描述

从结果可以看到助记符由.byte变成db了。

总结

本文章主要讲解了cs_option函数和Capstone的SKIPDATA mode。

参考资料

https://xz.aliyun.com/t/5772
https://xz.aliyun.com/t/5753
http://www.capstone-engine.org/skipdata.html

原文地址：https://blog.csdn.net/weixin_45030965

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

ViewFlipper 简单应用
AdvserView.java package com.earen.viewflipper; import android.content.Context; import android.graphics.Bitmap; import android.graphics.BitmapFactory;
ImageView的scaleType属性 与 adjustViewBounds属性
ImageView的scaleType的属性有好几种，分别是matrix（默认）、center、centerCrop、centerInside、fitCenter、fitEnd、fitStart、fitXY。 |值|说明| |:--:|:--| |center|保持原图的大小，显示在ImageVie
在Android studio 3.2 版项目中使用cmake调用C/C++
文章浏览阅读8.8k次，点赞9次，收藏20次。本文操作环境:win10/Android studio 3.21.环境配置 在SDK Tools里选择 CMAKE/LLDB/NDK点击OK 安装这些插件. 2.创建CMakeLists.txt文件 在Project 目录下,右键app，点击新建File文件,命名为CMakeLists.txt点击OK，创建完毕! 3.配置文件 在CMa..._link c++ project with gradle
Android studio跳转界面
文章浏览阅读1.2w次，点赞15次，收藏69次。实现目的：由mainActivity界面跳转到otherActivity界面1.写好两个layout文件，activity_main.xml和otherxml.xmlactivity_main.xml&lt;?xml version="1.0" encoding="utf-8"?&gt;&lt;RelativeLayout ="http://schemas..._android studio 界面跳转
Android全局代理软件ProxyDroid和TransProxy源码分享
文章浏览阅读3.8w次。前言：最近在找Android上的全局代理软件来用，然后发现了这两款神作，都是外国的软件，而且都是开源的软件，因此把源码下载了下来，给有需要研究代理这方面的童鞋看看。不得不说，国外的开源精神十分浓，大家相互使用当前基础的开源软件，然后组合成一个更大更强的大开源软件。好吧，废话不多说，下面简单介绍一下这两款开源项目。一、ProxyDroid：ProxyDroid功能比较强大，用到的技术也比较多，源码也_proxydroid
Error:(23, 25) 错误: 程序包R不存在
文章浏览阅读2.5w次，点赞17次，收藏6次。创建项目后，运行项目时Gradle Build 窗口却显示错误：程序包R不存在通常情况下是不会出现这个错误的。我是怎么遇到这个错误的呢？第一次创建项目，company Domain我使用的是：aven.com，但是创建过程在卡在了Building 'Calculator' Gradle Project info这个过程中，于是我选择了“Cancel”第二次创建项目，我还是使用相同的项目名称和项目路_r不存在
教你在Android手机上使用全局代理！
文章浏览阅读8.9w次，点赞4次，收藏43次。前言：在Android上使用系统自带的代理，限制灰常大，仅支持系统自带的浏览器。这样像QQ、飞信、微博等这些单独的App都不能使用系统的代理。如何让所有软件都能正常代理呢？ProxyDroid这个软件能帮你解决！使用方法及步骤如下：一、推荐从Google Play下载ProxyDroid，目前最新版本是v2.6.6。二、对ProxyDroid进行配置（基本配置：） （1） Auto S_proxydroid使用教程
【Android 开发入门】Android设备监视器之调试工具DDMS使用初探
文章浏览阅读1.1w次，点赞4次，收藏17次。Android Studio提供了一个很实用的工具Android设备监视器(Android device monitor)，该监视器中最常用的一个工具就是DDMS（Dalvik Debug Monitor Service），是 Android 开发环境中的Dalvik虚拟机调试监控服务。可以进行的操作有：为测试设备截屏，查看特定进程中正在运行的线程以及堆栈信息、Logcat、广播状态信息、模拟电话_安卓摄像头调试工具
八款开源 Android 游戏引擎 (巨好的资源)
文章浏览阅读2.1k次。初学Android游戏开发的朋友，往往会显得有些无所适从，他们常常不知道该从何处入手，每当遇到自己无法解决的难题时，又往往会一边羡慕于 iPhone下有诸如Cocos2d-iphone之类的免费游戏引擎可供使用，一边自暴自弃的抱怨Android平台游戏开发难度太高，又连个像样的游 戏引擎也没有，甚至误以为使用Java语言开发游戏是一件费力不讨好且没有出路的事情。事实上，这种想法完全是没有必_有素材的游戏引擎
【Android 开发入门】我认识中的Android
文章浏览阅读3.2k次，点赞2次，收藏2次。2014年12月从csdn专家福利获得的一本书《Android游戏开发技术实战详解》，尘封了一年多的时间，今天才翻开来看。我认识中的Android，提到Android最先浮现在我脑海中的是那可爱的机器人图标：这个Logo是由Ascender公司设计的，诞生于2010年，其设计灵感源于男女厕所门上的图形符号（真的是灵感无处不在），于是布洛克绘制了一个简单的机器人，它的躯干就像锡罐的形状，头上还有两根_智能手机的特点有哪些?
【Android 开发入门】我为什么要在Android找工作越来越难的时候开始学习它
文章浏览阅读8.1k次，点赞9次，收藏11次。首先，Android是不是真的找工作越来越难呢？这个可能是大家最关心的。这个受大的经济环境以及行业发展前景的影响，同时也和个人因素有关。2016-08-26近期一方面是所在的公司招聘Java开发人员很难招到合适的，投简历的人很少；而另一方面，经常听身边的人说Android、iOS方面找工作不好找，特别是没什么经验的，经验比较少的！说是不好找，但在我家所在的吉林省省会长春，会Unity3D+Maya_android 开发和asp.net哪个好 site:blog.csdn.net
【Android 开发入门】使用Android模拟器预览调试程序
文章浏览阅读6.1k次。在上篇“走进Android开发的世界，HelloWorld”，我们创建了一个Android 项目 HelloWorld，并演示了如何通过USB连接手机查看运行效果；而如果没有手机或没有对应型号的手机，又想做对应型号（屏幕尺寸、Android系统版本）的适配，应该怎么办呢？这时Android模拟器就派上用场了。Android模拟器Android SDK自带一个移动模拟器。它是一个可以运行在你电脑上的_安卓移动开发软件怎样预览
短期不看好 KotLin 原因
文章浏览阅读8.9k次。Google IO 2017 上宣布，将Kotlin语言作为安卓开发的官方语言。Kotlin由JetBrains公司开发，与Java 100%互通，并具备诸多Java尚不支持的新特性。谷歌称还将与JetBrains公司合作，为Kotlin设立一个非盈利基金会。Kotlin 是一个基于 JVM 的静态类型编程语言，Kotlin可以编译成Java字节码，也可以编译成JavaScript，方便在没有JV_kotlin为什么被嫌弃
【Android 开发入门】android studio 控制台打印输出日志
文章浏览阅读9.6w次，点赞17次，收藏35次。有些情况下，不方便使用断点的方式来调试，而是希望在控制台打印输出日志，使用过Eclipse的同学都知道Java可以使用 System.out.println(""); 来在控制台打印输出日志，但是在android studio中却是不行的，还是有差别的，那应该用什么呢？android.util.Log在调试代码的时候我们需要查看调试信息，那我们就需要用Android Log类。android.ut_andirod.studio 为什么不在控制台打印输出
【Android 开发入门】为按钮添加Click单击事件处理程序，显示/隐藏另一个按钮
文章浏览阅读8.2k次，点赞2次，收藏8次。在上篇“走进Android开发的世界，HelloWorld”，我们创建了一个Android 项目 HelloWorld，并演示了如何通过USB连接手机查看运行效果；这里讲一下如何为应用添加一个按钮，并为按钮添加Click单击事件处理程序，显示/隐藏另一个按钮。添加按钮在HelloWorld项目的基础上，打开界面布局文件：activity_main.xml切换到Design（设计）模式；在组件But_activity_main.xml按钮隐藏
【Android 开发入门】Android Studio 下载及安装
文章浏览阅读2.9k次，点赞3次，收藏9次。android 开发工具主流的还是Android Studio，当然也有很多人喜欢用Eclipse，也有人喜欢用IntelliJ IDEA ；还有Xamarin这种只需要编写一次代码，可以编译多种平台可运行的强大工具。但是它又真的强大吗？就我看来没有，身边很多人还是在用Android Studio、XCode开发应用，没见谁在用Xamarin之类的工具。系统要求WindowsMicrosoft®_android开发下载安装
【Android 开发入门】走进Android开发的世界，HelloWorld
文章浏览阅读4.2k次，点赞7次，收藏26次。你知道Hello World程序的由来吗？对于大多数编程语言的学习来说，真正入门的一课就是 Hello World！会而不难，难而不会。虽然很多人写过关于Android开发Hello World的文章，但随着时间的推移，开发工具、技术的进步，可能有些已经过时了。我就记录一下当下我所经历的第一个Android APP HelloWorld。一、准备1、开发环境参考：Android Studio 下载_android helloworld textview 句柄获取
android轻量级无侵入式管理数据库自动升级组件怎么实现
这篇“android轻量级无侵入式管理数据库自动升级组件怎么实现”文章的知识点大部分人都不太理解，所以小编给大家总结了以下内容，内容详细，步骤清晰，具有一定...
Android实现自定义圆形进度条的常用方法有哪些
今天小编给大家分享一下Android实现自定义圆形进度条的常用方法有哪些的相关知识点，内容详细，逻辑清晰，相信大部分人都还太了解这方面的知识，所以分享这篇文...
Android如何解决字符对齐问题
这篇文章主要讲解了“Android如何解决字符对齐问题”，文中的讲解内容简单清晰，易于学习与理解，下面请大家跟着小编的思路慢慢深入，一起来研究和学习“Android...
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot