RE4B（Reverse Engineering for Beginner）是一本免費(fèi)的在線教程剪返，可以從這里獲取律歼。RE4B在講解過程中略去了具體的操作，本系列是我學(xué)習(xí)RE4B的讀書筆記，記錄了我根據(jù)教程實(shí)踐的過程，希望對同行者有所助益买猖。
RE4B的第一部分叫做“Code Pattern（代碼模式）”，這里的模式指的是c語言編譯成匯編語言的轉(zhuǎn)換模式滋尉。我們知道gcc編譯c源代碼分為四個步驟：預(yù)處理玉控、編譯、匯編和鏈接狮惜，分別對應(yīng)如下四個編譯選項(xiàng)：
-E Preprocess only; do not compile, assemble or link.
-S Compile only; do not assemble or link.
-c Compile and assemble, but do not link.
-o <file> Place the output into <file>.
在第二階段將經(jīng)過預(yù)處理的c語言源代碼編譯為匯編代碼高诺，這個過程編譯器是遵循一定的模式的，比如通過寄存器和棧處理參數(shù)傳遞碾篡，通過棧幀處理函數(shù)的調(diào)用等虱而。這一步對于逆向工程至關(guān)重要。因?yàn)闄C(jī)器碼可以比較簡單的轉(zhuǎn)換成匯編語言耽梅，預(yù)處理過程也比較簡單薛窥，高級語言到二進(jìn)制文件變化最大的就是這一階段。如果能夠很好的掌握“Code Pattern”眼姐，那么就擁有了扎實(shí)的逆向基礎(chǔ)巷屿，才有能力去學(xué)習(xí)漏洞挖掘球化、漏洞分析附帽、惡意代碼分析等更高級的技能粪小。
需要指出的是，RE4B講解“Code Pattern”時贡歧，同時覆蓋了x86/x64滩租、arm、和MIPS三大指令集利朵，所以要想要編譯書中的例子律想，需要安裝支持這些指令集的編譯器。我在“kali rolling”通過“apt search”命令绍弟，找到了下面這幾個安裝包：
# arm32和arm64的交叉編譯器
sudo apt install gcc-6-arm-linux-gnueabi gcc-6-aarch64-linux-gnu
# mips和mips64的交叉編譯器
sudo apt install gcc-6-mips-linux-gnu gcc-6-mips64-linux-gnuabi64
我們以書中最簡單的例子技即，“empty function”為例，測試一下這些編譯器能否給出我們期待的輸出樟遣。
// empty.c
void func() {
return;
}
由于涉及多個平臺而叼，編譯時需要重復(fù)使用多個相似的命令，我編寫了如下Makefile來避免重復(fù)勞動：
empty: empty.c
if [ -d "asm/$@" ]; then continue; else mkdir "asm/$@"; fi
gcc -m32 -S $< -o asm/$@/$@-x86.s
gcc -S $< -o asm/$@/$@-x64.s
gcc-arm -S $< -o asm/$@/$@-arm.s
gcc-arm64 -S $< -o asm/$@/$@-arm64.s
gcc-mips -S $< -o asm/$@/$@-mips.s
gcc-mips64 -S $< -o asm/$@/$@-mips64.s
clean:
find . -name "*.s" | xargs rm -rf
使用“tree”命令查看編譯后的目錄結(jié)構(gòu)豹悬，如下所示：
$ tree .
.
│── asm
│ └── empty
│ │── empty-arm64.s
│ │── empty-arm.s
│ │── empty-mips64.s
│ │── empty-mips.s
│ │── empty-x64.s
│ └── empty-x86.s
└── empty.c
查看以下empty-x86.s文件葵陵，如下所示：
.file "empty.c"
.text
.globl func
.type func, @function
func:
.LFB0:
.cfi_startproc
pushl %ebp
.cfi_def_cfa_offset 8
.cfi_offset 5, -8
movl %esp, %ebp
.cfi_def_cfa_register 5
call __x86.get_pc_thunk.ax
addl $_GLOBAL_OFFSET_TABLE_, %eax
nop
popl %ebp
.cfi_restore 5
.cfi_def_cfa 4, 4
ret
.cfi_endproc
.LFE0:
.size func, .-func
.section
.text.__x86.get_pc_thunk.ax,"axG",@progbits,__x86.get_pc_thunk.ax,comdat
.globl __x86.get_pc_thunk.ax
.hidden __x86.get_pc_thunk.ax
.type __x86.get_pc_thunk.ax, @function__x86.get_pc_thunk.ax:
.LFB1:
.cfi_startproc
movl (%esp), %eax
ret
.cfi_endproc
.LFE1:
.ident "GCC: (Debian 6.3.0-18) 6.3.0 20170516"
.section .note.GNU-stack,"",@progbits
代碼中大量以“.”起始的行是鏈接時需要的信息，對我們閱讀匯編代碼沒有作用瞻佛，反而產(chǎn)生干擾脱篙。我們可以用下面這個python腳本來過濾這些干擾項(xiàng)：
#!/usr/bin/env python
#-*- coding:utf-8 -*-
import sys
if len(sys.argv) != 3:
print "Usage: python clean.py [sample name] [platform]"
exit(0)
sample = sys.argv[1]
platform = sys.argv[2]
with open(sample + "/" + sample + "-" + platform + ".s", "r") as f:
for line in f:
if not line.strip().startswith("."):
sys.stdout.write(line)
過濾鏈接信息后的輸出，如下所示：
$ python clean.py empty x86
func:
pushl %ebp
movl %esp, %ebp
call __x86.get_pc_thunk.ax
addl $_GLOBAL_OFFSET_TABLE_, %eax
nop
popl %ebp
ret
__x86.get_pc_thunk.ax:
movl (%esp), %eax
ret
在arm的在匯編代碼中還存在以“@”符號起始的行，只要稍稍修改上面的python腳本就能解決問題涡尘。這個修改這里就不再詳述了忍弛。
至此，我們的準(zhǔn)備工作基本完成考抄，如果要編譯書中其它的例子，只要稍稍修改Makefile就可以了蔗彤。
