如何用ubuntu进行反汇编操作
小樊
34
2025-12-21 23:11:05
在 Ubuntu 上进行反汇编的常用方法与示例
一 准备与安装
- 大多数情况下，系统已自带 binutils（内含 objdump）。若未安装或需更新：sudo apt-get install binutils。
- 其他常用工具按需安装：
- radare2：sudo apt-get install radare2
- Ghidra（图形化逆向平台，需 Java）：sudo apt-get install openjdk-21-jdk，然后从官网下载并解压运行。
- ndisasm（NASM 附带，适合原始二进制/Shellcode）：sudo apt-get install nasm
- Capstone（多架构反汇编框架，开发用）：sudo apt-get install libcapstone-dev
- 多架构交叉反汇编（如 ARM/AArch64）：sudo apt-get install binutils-aarch64-linux-gnu、binutils-arm-none-eabi。
二 使用 objdump 进行反汇编
- 基本用法
- 反汇编可执行段：objdump -d your_executable
- 反汇编指定段：objdump -d -j .text your_executable
- 显示符号表：objdump -t your_executable
- 语法与源码混合
- Intel 语法：objdump -d -M intel your_executable
- 源码混合（需编译时带 -g）：objdump -S your_executable
- 进阶用法
- 指定地址范围：objdump -d --start-address=0x400526 --stop-address=0x400540 your_executable
- 仅反汇编所有段（含非执行段）：objdump -D your_executable
- 查看段头/文件头：objdump -h / -x your_executable
- 任意原始二进制（指定架构）：objdump -D -b binary -m i386 a.bin
- 小示例
- 生成汇编源码：gcc -S -o main.s main.c
- 编译可执行并反汇编：gcc -g -o main main.c && objdump -S -d main
三 使用 GDB 动态反汇编与源码对照
- 编译时加入调试信息：gcc -g3 -o app app.c
- 启动调试：gdb app
- 常用命令
- 反汇编函数：disassemble main
- 源码+汇编混合：disassemble /m main
- 设置断点后运行并查看当前指令处反汇编：b main → run → disassemble
- 适合定位运行路径、寄存器与栈帧变化。
四 使用 radare2 进行交互式逆向
- 安装：sudo apt-get install radare2
- 基本流程
- 打开文件：r2 your_executable
- 自动分析：aaa
- 反汇编当前函数：pdf
- 反汇编从当前地址：pd N（N 条指令）
- 跳转到符号：s sym.main（或 s main）后再 pd/pdf
- 搜索与导航：/ 搜索字符串，afvd 查看函数定义，:q 退出
五 其他工具与进阶
- Ghidra：创建项目 → Import File → 自动分析 → 在反汇编/反编译视图查看与交叉引用，适合系统化逆向与团队协作。
- ndisasm：面向原始二进制/Shellcode，指定 32/64 位模式：ndisasm -b 32 a.bin 或 ndisasm -b 64 a.bin。
- Capstone：多架构 API，适合写脚本批量分析或集成到自研工具链。
六 常见问题与实用技巧
- 想看源码对照，务必在编译阶段加入 -g；否则 objdump -S 与 GDB 的 /m 将无源码可混排。
- 指令语法默认 AT&T，看不惯可改用 Intel：objdump -d -M intel。
- 只想看代码段，用 -j .text；需要更全面（含数据段等）用 -D。
- 分析未知或可疑二进制时，避免执行，优先在隔离环境静态分析；处理大量输出可配合管道与重定向。
