如何反汇编动态链接库

反汇编（Disassemble）动态链接库（在 Windows 上是 .dll，Linux 上是 .so，macOS 上是 .dylib）是逆向工程、漏洞分析或兼容性调试中的常见操作。下面按平台和工具给你一个系统性的指南。

一、Windows 平台（.dll）

1. 常用工具

• IDA Pro（最强，商业）
• Ghidra（NSA 开源，免费）
• x64dbg / OllyDbg（动态调试 + 反汇编）
• objdump（MinGW / Cygwin）
• dumpbin（MSVC 自带）

2. 静态反汇编示例

使用 Ghidra

1. 打开 Ghidra
2. 新建 Project → Import .dll
3. 双击 Binary，选择 Analyze
4. 在 Symbol Tree / Functions 中查看反汇编和伪代码

使用 objdump（MinGW）

objdump -d yourlib.dll > disasm.txt

常用选项：

• -d：反汇编代码段
• -M intel：Intel 语法
• -x：查看导出表

使用 dumpbin

dumpbin /DISASM yourlib.dll
dumpbin /EXPORTS yourlib.dll

二、Linux 平台（.so）

1. 常用工具

• objdump（binutils）
• gdb
• radare2 / rizin
• IDA / Ghidra

2. 静态反汇编

objdump -d -M intel libsample.so > disasm.txt

查看导出函数：

nm -D libsample.so
readelf -h libsample.so

3. 动态分析

gdb ./main
(gdb) set environment LD_PRELOAD=./libsample.so
(gdb) break func_name

三、macOS 平台（.dylib）

工具

• otool
• lldb
• Hopper
• Ghidra

示例

otool -tV libsample.dylib

查看导出符号：

nm -gU libsample.dylib

四、反汇编时的关键注意点

1. 导出 vs 未导出函数

• 导出函数容易定位
• 未导出函数需通过 交叉引用（XREF） 分析

2. 调用约定

• Windows: stdcall, cdecl, fastcall
• Linux: System V AMD64 ABI

3. 符号与调试信息

• 有 PDB / DWARF：分析极简单
• 无符号（strip）：需人工识别参数和结构体

4. 动态链接特性

• 实际地址在加载时确定
• 可使用 ltrace / strace 观察调用

五、推荐学习路径

1. 先学会用 objdump 看汇编
2. 再用 Ghidra 看伪代码
3. 最后用 x64dbg / gdb 动态验证

如果你愿意，可以告诉我：

• 操作系统（Windows / Linux / macOS）
• 文件类型（.dll / .so / .dylib）
• 目的是分析 / 调试 / 破解 / 学习

我可以给你更具体的一步一步操作示例。