Linux反汇编怎么学

学习 Linux 下的反汇编（Disassembly）是一项系统工程，涉及汇编语言、操作系统原理、编译链接过程以及调试技术。

以下是一份循序渐进的学习路线，从基础到进阶，帮助你系统地掌握这项技能。

第一阶段：夯实基础（不可跳过）

在接触工具之前，必须理解计算机是如何执行代码的。

1. 学习汇编语言 (Assembly)

反汇编的核心就是阅读汇编代码。

架构选择： Linux 环境下主要分两种：
- x86/x64 (Intel/AMD): 最常见。建议先学 x86（32位），因为指令相对简单，容易理解栈帧结构；再过渡到 x64。
- ARM/AArch64: 如果你关注嵌入式或移动端（Android），需要学这个。
重点概念：
- 寄存器： 通用寄存器 (eax, ebx, rdi, rsi…)、栈指针 (esp/rsp)、基址指针 (ebp/rbp)、指令指针 (eip/rip)。
- 指令集： mov, push, pop, call, ret, add, sub, jmp, je, jne 等。
- 调用约定 (Calling Convention): 这是重点！理解函数参数如何传递（通过栈还是寄存器）、返回值放在哪里、谁负责清理栈（cdecl, stdcall, System V AMD64 ABI）。
- 栈帧 (Stack Frame): 理解函数调用时栈是如何增长的，局部变量和返回地址如何存储。

2. 理解编译、链接与装载

编译过程： 源代码 -> 汇编代码 -> 机器码 -> 可执行文件。
ELF 文件格式： Linux 下的可执行文件格式。你需要了解什么是 .text (代码段), .data (数据段), .bss, .symtab (符号表), .plt (过程链接表), .got (全局偏移表)。
动态链接 vs 静态链接： 理解程序运行时是如何找到 libc 等库的。

第二阶段：工具链实战（核心技能）

Linux 下有很多强大的工具，你需要熟练掌握它们。

1. 静态分析工具 (Static Analysis)

不需要运行程序，直接看文件结构。

objdump:
- 最基础的反汇编工具。
- 命令：objdump -d -M intel ./program (使用 Intel 语法反汇编)。
readelf:
- 查看 ELF 文件头、段表、节表信息。
- 命令：readelf -h ./program (查看头), readelf -S ./program (查看节)。
nm / strings:
- nm 查看符号表（函数名、变量名）。
- strings 查看二进制文件中的可读字符串（常用于快速定位逻辑）。
Ghidra / IDA Pro / Radare2 (r2):
- Ghidra: NSA 开源的免费神器，自带反编译器（可以将汇编转成伪 C 代码），强烈推荐入门使用。
- IDA Pro: 行业标准，功能最强（但贵，有免费版）。
- Radare2: 命令行黑客风格，功能极其强大但学习曲线陡峭。

2. 动态调试工具 (Dynamic Analysis)

运行程序，观察内存和寄存器的变化。

GDB (GNU Debugger):
- 必学中的必学。
- 基础命令：break (断点), run, next (下一行), step (步入), finish (步出), print (打印变量), info registers (查看寄存器)。
- GDB 的 TUI 模式： gdb -tui ./program，可以边看代码边调试。
- 插件： 原生 GDB 很难用，建议安装插件 pwndbg 或 GEF。它们会显示当前汇编指令、寄存器变化、栈内容，非常直观。

3. 代码注入与修改

ptrace: 系统调用，GDB 的底层原理。了解它有助于理解调试器如何工作。

第三阶段：实战演练（CTF 与安全方向）

如果你是为了安全研究（逆向工程、漏洞挖掘），需要结合场景练习。

1. CrackMe 练习

找一些简单的“破解”小程序练习。

目标：找到密码判断逻辑，修改跳转指令（把 je 改成 jne）或者找到正确密码。
工具：GDB + pwndbg 或 Ghidra。

2. 理解漏洞原理

栈溢出 (Stack Overflow): 结合汇编理解为什么输入过长会覆盖返回地址 (Return Address)。
格式化字符串 (Format String): 理解 printf 漏洞在汇编层面的表现。
ROP (Return Oriented Programming): 进阶利用技术，需要非常熟悉栈和 gadget（代码片段）的寻找。

3. 系统级理解

系统调用 (Syscall): 理解 int 0x80 (x86) 或 syscall (x64) 指令。知道 read, write, execve 的系统调用号。

快速上手清单（行动指南）

如果你想明天就开始，按这个步骤做：

安装环境： 在 Linux (Ubuntu/Kali) 上安装 gdb, pwndbg (GDB插件), objdump, gcc。

写一个简单的 C 程序：

#include <stdio.h>
int main() {
    int a = 10;
    int b = 20;
    int c = a + b;
    printf("Result: %d\n", c);
    return 0;
}

编译并反汇编：

gcc -m32 -o test test.c -no-pie -fno-stack-protector  # 编译成32位，关闭保护以便学习
objdump -d -M intel test > test.asm  # 反汇编并输出到文件

阅读 test.asm： 找到 main 函数，对照 C 代码看汇编指令。

用 GDB 调试：

gdb ./test
b main      # 在 main 函数打断点
run         # 运行
disassemble # 查看当前汇编
ni          # 单步执行（汇编级）
info reg    # 查看寄存器变化

总结： 不要死记硬背指令，要在调试器中单步跟踪，观察每一条指令执行后寄存器和内存的变化，这是学会反汇编最快的方法。