：x86-64 與 ARM 指令模式、調(diào)用約定及函數(shù)序言尾聲全解（agents24 reverse-engineering 插件實踐指南）)
二進制逆向分析基礎(chǔ)x86-64 與 ARM 指令模式、調(diào)用約定及函數(shù)序言尾聲全解agents24 reverse-engineering 插件實踐指南【免費下載鏈接】agentsMulti-harness agentic plugin marketplace for Claude Code, Codex, Cursor, OpenCode, GitHub Copilot, and Google Antigravity項目地址: https://gitcode.com/GitHub_Trending/agents24/agents本篇技術(shù)指南以 agents24 倉庫中reverse-engineering插件的binary-analysis-patterns技能為核心系統(tǒng)講解反匯編中最基礎(chǔ)也最關(guān)鍵的一環(huán)Disassembly Fundamentals反匯編基礎(chǔ)。你將掌握 x86-64 與 ARM 兩大架構(gòu)下的函數(shù)序言/尾聲識別、System V AMD64 與 Microsoft x64 調(diào)用約定、ARM64/ARM32 寄存器分配規(guī)則并進一步學(xué)會通過控制流、數(shù)據(jù)結(jié)構(gòu)與常見代碼模式快速重構(gòu)程序邏輯具備在 Ghidra、IDA Pro、Binary Ninja 等工具中開展靜態(tài)分析的實戰(zhàn)能力。一、技能背景為什么反匯編基礎(chǔ)如此重要binary-analysis-patterns是 agents24 倉庫reverse-engineering插件見 docs/plugins.md 中 Security 分類提供的四大技能之一官方定位是Master binary analysis patterns including disassembly, decompilation, control flow analysis, and code pattern recognition——即面向已編譯二進制的靜態(tài)分析模式庫包括反匯編、反編譯、控制流分析和代碼模式識別適用于分析未知可執(zhí)行文件、惡意軟件/混淆二進制、識別編譯器引入的模式棧保護 canary、PIC trampoline等場景。值得注意的是本技能采用三層漸進式披露結(jié)構(gòu)progressive disclosure詳見 docs/agent-skills.mdMetadataYAML frontmatter技能名與激活條件始終加載InstructionsSKILL.md 主體核心指導(dǎo)與模式激活時加載Resourcesreferences/details.md按需加載的詳細(xì)資源。根據(jù) docs/harnesses.md 的記錄Claude Code 對技能正文沒有硬性上限而Codex 有 8 KB 的 skill body 硬上限超過該上限的技能在 Codex 加載時會被截斷Skill body 8 KB → split into references/details.md。因此本技能原本位于 SKILL.md 中的約 2047 字節(jié)的「Disassembly Fundamentals」詳細(xì)章節(jié)被遷移至references/details.md從而保證跨 harness 的可移植性——這正是本文檔的由來。本文將完整繼承該章節(jié)的全部內(nèi)容并結(jié)合同技能的其余章節(jié)控制流、數(shù)據(jù)結(jié)構(gòu)、常見代碼模式、反編譯模式、Ghidra/IDA 技巧與最佳實踐做縱深擴充。二、函數(shù)序言與尾聲Function Prologue/Epilogue函數(shù)序言是函數(shù)入口處為建立棧幀而執(zhí)行的一小段指令尾聲則是函數(shù)返回前恢復(fù)棧幀的指令。識別序言/尾聲是定位函數(shù)邊界、理解調(diào)用關(guān)系的第一步。標(biāo)準(zhǔn)序言Standard Prologue; Standard prologue push rbp ; Save base pointer mov rbp, rsp ; Set up stack frame sub rsp, 0x20 ; Allocate local variablespush rbp將調(diào)用者的基址指針壓棧保存為當(dāng)前函數(shù)建立獨立的棧幀鏈mov rbp, rsp將棧指針賦給rbp此后所有局部變量和參數(shù)都可通過[rbp offset]或[rbp - offset]訪問與棧指針的移動無關(guān)sub rsp, 0x20向下開辟 32 字節(jié)0x20局部變量空間。注意 x86-64 下 ABI 要求棧在call指令邊界保持 16 字節(jié)對齊分配空間時需考慮對齊。葉函數(shù)Leaf Function; Leaf function (no calls) ; May skip frame pointer setup sub rsp, 0x18 ; Just allocate locals葉函數(shù)指不再調(diào)用其他函數(shù)的函數(shù)。由于無需在棧幀間穿梭編譯器常省略幀指針frame pointer設(shè)置直接通過sub rsp分配局部空間。從源碼結(jié)構(gòu)看-O2及以上優(yōu)化級別下非葉函數(shù)也可能因「omit frame pointer」優(yōu)化而省略rbp此時局部變量將基于rsp尋址。標(biāo)準(zhǔn)尾聲Standard Epilogue; Standard epilogue mov rsp, rbp ; Restore stack pointer pop rbp ; Restore base pointer ret尾聲與序言嚴(yán)格對稱先恢復(fù)棧指針再彈出基址指針最后ret彈出返回地址并跳轉(zhuǎn)。leave 指令等價形式; Leave instruction (equivalent) leave ; mov rsp, rbp; pop rbp retleave是mov rsp, rbp; pop rbp的單指令等價形式常出現(xiàn)在使用幀指針的函數(shù)中。識別到leave; ret組合即可高度確信此處為函數(shù)出口。reverse-engineer 代理plugins/reverse-engineering/agents/reverse-engineer.md將這些序言/尾聲識別能力列為「Static analysis: Control flow graphs, call graphs, data flow analysis, symbol recovery」的基礎(chǔ)前提。三、調(diào)用約定Calling Conventions調(diào)用約定規(guī)定了參數(shù)傳遞位置、返回值位置、寄存器保存責(zé)任caller/callee-saved以及棧清理責(zé)任。在分析反匯編代碼時識別調(diào)用約定可以直接推斷出哪些寄存器裝載的是參數(shù)、函數(shù)返回時哪個寄存器承載結(jié)果。System V AMD64Linux、macOS這是 Linux、macOS 及所有類 Unix 系統(tǒng) x86-64 平臺的標(biāo)準(zhǔn) ABI; Arguments: RDI, RSI, RDX, RCX, R8, R9, then stack ; Return: RAX (and RDX for 128-bit) ; Caller-saved: RAX, RCX, RDX, RSI, RDI, R8-R11 ; Callee-saved: RBX, RBP, R12-R15 ; Example: func(a, b, c, d, e, f, g) mov rdi, [a] ; 1st arg mov rsi, [b] ; 2nd arg mov rdx, [c] ; 3rd arg mov rcx, [d] ; 4th arg mov r8, [e] ; 5th arg mov r9, [f] ; 6th arg push [g] ; 7th arg on stack call func前 6 個整數(shù)/指針參數(shù)依次放入RDI, RSI, RDX, RCX, R8, R9第 7 個及以后的參數(shù)壓棧傳遞返回值放入RAX128 位返回值用RDX:RAX拼接浮點參數(shù)使用XMM0-XMM7返回值在XMM0調(diào)用者保存caller-savedRAX, RCX, RDX, RSI, RDI, R8-R11——調(diào)用者需在調(diào)用前保存這些寄存器的值被調(diào)用者保存callee-savedRBX, RBP, R12-R15——被調(diào)用函數(shù)若使用它們必須自行保存/恢復(fù)。實際分析技巧在函數(shù)入口處看到mov [rbp-8], rdi、mov [rbp-16], rsi這類把前幾個寄存器存入棧局部的指令基本可斷定該函數(shù)接受至少兩個參數(shù)且參數(shù)類型為整數(shù)/指針詳見后文「函數(shù)簽名恢復(fù)」。Microsoft x64WindowsWindows x64 平臺使用獨立于 System V 的調(diào)用約定; Arguments: RCX, RDX, R8, R9, then stack ; Shadow space: 32 bytes reserved on stack ; Return: RAX ; Example: func(a, b, c, d, e) sub rsp, 0x28 ; Shadow space alignment mov rcx, [a] ; 1st arg mov rdx, [b] ; 2nd arg mov r8, [c] ; 3rd arg mov r9, [d] ; 4th arg mov [rsp0x20], [e] ; 5th arg on stack call func add rsp, 0x28前 4 個整數(shù)/指針參數(shù)依次放入RCX, RDX, R8, R9第 5 個起壓棧Shadow space影子空間調(diào)用者必須在棧上預(yù)留 32 字節(jié)4 個參數(shù)各 8 字節(jié)供被調(diào)用者保存前 4 個參數(shù)即使參數(shù)少于 4 個也不例外本例sub rsp, 0x28即 32 字節(jié) shadow space 8 字節(jié)返回地址對齊16 字節(jié)對齊要求因此mov [rsp0x20], [e]恰好落在 shadow space 之上的第 5 個參數(shù)槽位返回值同為RAX寄存器保存規(guī)則與 System V 不同Windows 下RDI, RSI, RBX, RBP, R12-R15為 callee-saved分析 Windows 二進制時切勿套用 System V 規(guī)則。調(diào)用約定速查對照平臺 / ABI參數(shù)寄存器整數(shù)/指針第 N 個之后的參數(shù)返回值典型場景System V AMD64RDI, RSI, RDX, RCX, R8, R9第 7 個起壓棧RAX128 位用 RDX:RAXLinux / macOSMicrosoft x64RCX, RDX, R8, R9第 5 個起壓棧需 32 字節(jié) shadow spaceRAXWindowsARM64 (AArch64)X0-X7第 9 個起壓棧X0128 位用 X1:X0移動端 / 嵌入式ARM32 (AAPCS)R0-R3第 5 個起壓棧R064 位用 R1:R0舊版移動端 / 嵌入式這一對照關(guān)系可直接對應(yīng)到 reverse-engineer 代理 中記錄的「Calling Conventions」經(jīng)驗表x86 cdecl、x86 stdcall、x64 Windows、x64 System V、ARM用于在不同架構(gòu)間快速切換分析思維。四、ARM 匯編模式ARM 架構(gòu)廣泛存在于移動端、嵌入式與固件中本倉庫另有arm-cortex-microcontrollers插件專注 ARM Cortex-M 固件開發(fā)。ARM 的調(diào)用約定與 x86-64 差異顯著最核心的區(qū)別是返回地址存放在鏈接寄存器LR而非棧上。ARM64AArch64調(diào)用約定; Arguments: X0-X7 ; Return: X0 (and X1 for 128-bit) ; Frame pointer: X29 ; Link register: X30 ; Function prologue stp x29, x30, [sp, #-16]! ; Save FP and LR mov x29, sp ; Set frame pointer ; Function epilogue ldp x29, x30, [sp], #16 ; Restore FP and LR ret前 8 個參數(shù)放入X0-X7第 9 個起壓棧返回值在X0128 位用X1:X0X29 為幀指針FPX30 為鏈接寄存器LR——BL/BLR調(diào)用會把返回地址寫入 X30 而非壓棧stp x29, x30, [sp, #-16]!store pair, pre-index將 FP 與 LR 成對壓棧并同時減 16 字節(jié)!表示預(yù)寫回pre-indexed——一條指令完成「保存兩個寄存器 分配棧幀」兩件事尾聲ldp x29, x30, [sp], #16load pair, post-index對稱恢復(fù)后ret——由于返回地址已在 X30ret無需從棧彈出。從編譯器模式看stp/ldp成對訪存是 AArch64 的標(biāo)志性優(yōu)化編譯器會將兩個相鄰寄存器一次性存取既節(jié)省指令數(shù)又保證原子性。在固件分析中看到stp x29, x30開頭即可確認(rèn)函數(shù)邊界。ARM32 調(diào)用約定; Arguments: R0-R3, then stack ; Return: R0 (and R1 for 64-bit) ; Link register: LR (R14) ; Function prologue push {fp, lr} add fp, sp, #4 ; Function epilogue pop {fp, pc} ; Return by popping PC前 4 個參數(shù)放入R0-R3第 5 個起壓棧返回值在R064 位用R1:R0LR 為 R14作為鏈接寄存器保存返回地址幀指針為 R11fp序言push {fp, lr}將幀指針與鏈接寄存器一起壓棧add fp, sp, #4讓幀指針指向棧上保存的舊幀指針注意偏移 4 是因為壓棧了兩項尾聲pop {fp, pc}是 ARM32 的經(jīng)典技巧把保存的 LR 值直接彈入程序計數(shù)器 PC等價于「恢復(fù)幀指針 跳轉(zhuǎn)返回」兩步合一的寫法。對比可發(fā)現(xiàn)一條通用規(guī)律x86-64 通過棧保存返回地址call/ret而 ARM 通過鏈接寄存器LR/X30保存返回地址——這是跨架構(gòu)逆向時最需要調(diào)整的心智模型。五、控制流模式條件分支、循環(huán)與 Switch延伸自同技能 SKILL.mdbinary-analysis-patterns技能的其余章節(jié)與「反匯編基礎(chǔ)」同屬一個完整知識體系這里繼承其核心內(nèi)容以形成閉環(huán)。識別控制流結(jié)構(gòu)是反匯編閱讀的第二層能力。條件分支; if (a b) cmp eax, ebx jne skip_block ; ... if body ... skip_block: ; if (a b) - signed cmp eax, ebx jge skip_block ; Jump if greater or equal ; ... if body ... skip_block: ; if (a b) - unsigned cmp eax, ebx jae skip_block ; Jump if above or equal ; ... if body ... skip_block:編譯器通常把if條件取反后跳轉(zhuǎn)到跳過分支體branch-if-false。cmp設(shè)置標(biāo)志位后有符號比較用jge/jl/jle/jggreat/less無符號比較用jae/jb/jbe/jaabove/below——這是最常見的分析失誤點看到j(luò)ae就應(yīng)意識到源語言中的比較是無符號語義。循環(huán)模式; for (int i 0; i n; i) xor ecx, ecx ; i 0 loop_start: cmp ecx, [n] ; i n jge loop_end ; ... loop body ... inc ecx ; i jmp loop_start loop_end: ; while (condition) jmp loop_check loop_body: ; ... body ... loop_check: cmp eax, ebx jl loop_body ; do-while loop_body: ; ... body ... cmp eax, ebx jl loop_bodyfor循環(huán)初始化 → 條件檢查在循環(huán)頂部 → 迭代步進在循環(huán)體底部條件不滿足跳出while循環(huán)編譯器常將條件檢查下沉到循環(huán)底部loop rotation 優(yōu)化循環(huán)體前先無條件jmp loop_check從而讓每個迭代只執(zhí)行一次條件比較do-while循環(huán)條件檢查天然在循環(huán)體之后與源碼語義一致是三種循環(huán)中最容易識別的形態(tài)。實際分析時while與do-while的區(qū)分要點是循環(huán)體第一條指令是否為無條件jmp到循環(huán)尾部的條件檢查。Switch 語句模式; Jump table pattern mov eax, [switch_var] cmp eax, max_case ja default_case jmp [jump_table eax*8] ; Sequential comparison (small switch) cmp eax, 1 je case_1 cmp eax, 2 je case_2 cmp eax, 3 je case_3 jmp default_case跳轉(zhuǎn)表jump tablecase 分支較多且密集時編譯器生成一張指針表jmp [jump_table eax*8]按索引一次跳轉(zhuǎn)8 字節(jié)為 x86-64 指針大小。先用cmp/ja做邊界檢查越界走 default再間接跳轉(zhuǎn)順序比較sequential comparisoncase 數(shù)量少或稀疏時編譯器退化為逐個cmpje此時從反匯編恢復(fù)出的就是「if-else 鏈」形態(tài)。六、數(shù)據(jù)結(jié)構(gòu)模式數(shù)組、結(jié)構(gòu)體與鏈表數(shù)組訪問; array[i] - 4-byte elements mov eax, [rbx rcx*4] ; rbxbase, rcxindex ; array[i] - 8-byte elements mov rax, [rbx rcx*8] ; Multi-dimensional array[i][j] ; arr[i][j] base (i * cols j) * element_size imul eax, [cols] add eax, [j] mov edx, [rbx rax*4]x86-64 的比例變址尋址base index*scale disp讓數(shù)組訪問一目了然scale4/8直接暴露元素大小從而推斷數(shù)組類型。多維數(shù)組則先imul計算行偏移再做列偏移累加——看到乘法加法的尋址組合應(yīng)聯(lián)想到多維數(shù)組或結(jié)構(gòu)體數(shù)組。結(jié)構(gòu)體訪問與內(nèi)存對齊struct Example { int a; // offset 0 char b; // offset 4 // padding // offset 5-7 long c; // offset 8 short d; // offset 16 };; Accessing struct fields mov rdi, [struct_ptr] mov eax, [rdi] ; s-a (offset 0) movzx eax, byte [rdi4] ; s-b (offset 4) mov rax, [rdi8] ; s-c (offset 8) movzx eax, word [rdi16] ; s-d (offset 16)這個例子演示了結(jié)構(gòu)體內(nèi)存對齊的經(jīng)典布局int a占 4 字節(jié)、char b占 1 字節(jié)后填充 3 字節(jié) padding偏移 5-7long c從 8 字節(jié)對齊的偏移 8 開始8 字節(jié)short d在偏移 162 字節(jié)整個結(jié)構(gòu)體按 8 字節(jié)對齊補齊到 18 的倍數(shù) → sizeof 為 24。反匯編中字段訪問的偏移量分布出現(xiàn) 4→8→16 的非連續(xù)跳躍正是恢復(fù)結(jié)構(gòu)體定義的直接證據(jù)。鏈表遍歷; while (node ! NULL) list_loop: test rdi, rdi ; node NULL? jz list_done ; ... process node ... mov rdi, [rdi8] ; node node-next (assuming next at offset 8) jmp list_loop list_done:test reg, reg; jz是判空的標(biāo)準(zhǔn)慣用法等價于cmp reg, 0。mov rdi, [rdi8]把當(dāng)前節(jié)點偏移 8 處的指針加載回自身寄存器形成經(jīng)典鏈表步進循環(huán)——next指針在結(jié)構(gòu)體中的偏移此處為 8可據(jù)此確定。七、常見代碼模式字符串、算術(shù)與位操作字符串操作; strlen pattern xor ecx, ecx strlen_loop: cmp byte [rdi rcx], 0 je strlen_done inc ecx jmp strlen_loop strlen_done: ; ecx contains length ; strcpy pattern strcpy_loop: mov al, [rsi] mov [rdi], al test al, al jz strcpy_done inc rsi inc rdi jmp strcpy_loop strcpy_done: ; memcpy using rep movsb mov rdi, dest mov rsi, src mov rcx, count rep movsbstrlen逐字節(jié)與 0 比較、計數(shù)器遞增——見到cmp byte [...], 0 計數(shù)器模式可判為字符串長度計算strcpymov al, [rsi]; mov [rdi], al逐字節(jié)搬運用test al, al; jz判斷是否遇到終止符memcpy編譯器在長度已知或較小時用rep movsb前綴實現(xiàn)高效塊拷貝。rep movsb也可用于識別編譯器對memcpy/memmove內(nèi)聯(lián)優(yōu)化的痕跡。算術(shù)模式編譯器優(yōu)化常數(shù)運算; Multiplication by constant ; x * 3 lea eax, [rax rax*2] ; x * 5 lea eax, [rax rax*4] ; x * 10 lea eax, [rax rax*4] ; x * 5 add eax, eax ; * 2 ; Division by power of 2 (signed) mov eax, [x] cdq ; Sign extend to EDX:EAX and edx, 7 ; For divide by 8 add eax, edx ; Adjust for negative sar eax, 3 ; Arithmetic shift right ; Modulo power of 2 and eax, 7 ; x % 8編譯器用lea的移位加加組合替代乘法指令x*3 x x*2、x*5 x x*4是 -O2 下的高頻優(yōu)化。有符號除以 2 的冪不能簡單右移負(fù)數(shù)需先做補償調(diào)整cdq符號擴展 →and edx, 7取符號位補償 →add→sar 3。識別這套「cdq and add sar」序列即可還原為x / 8有符號。取模 2 的冪則直接and掩碼x % 8 → x 7。位操作; Test specific bit test eax, 0x80 ; Test bit 7 jnz bit_set ; Set bit or eax, 0x10 ; Set bit 4 ; Clear bit and eax, ~0x10 ; Clear bit 4 ; Toggle bit xor eax, 0x10 ; Toggle bit 4 ; Count leading zeros bsr eax, ecx ; Bit scan reverse xor eax, 31 ; Convert to leading zeros ; Population count (popcnt) popcnt eax, ecx ; Count set bits位操作模式直接對應(yīng) C 語言位運算test 條件跳轉(zhuǎn) 位測試or/and/xor 掩碼 置位/清位/翻轉(zhuǎn)。bsr反向位掃描與popcnt置位計數(shù)是底層算法如哈希、熵計算、位圖的典型信號——在惡意軟件分析中popcnt頻繁出現(xiàn)常意味著自定義哈?；蜢貦z測邏輯。八、反編譯模式變量、函數(shù)簽名與類型恢復(fù)反編譯的目標(biāo)是把機器碼還原成可讀的高級語言結(jié)構(gòu)。局部變量恢復(fù); Local variable at rbp-8 mov qword [rbp-8], rax ; Store to local mov rax, [rbp-8] ; Load from local ; Stack-allocated array lea rax, [rbp-0x40] ; Array starts at rbp-0x40 mov [rax], edx ; array[0] value mov [rax4], ecx ; array[1] value使用幀指針時[rbp-8]、[rbp-0x10]等負(fù)偏移即為局部變量槽位lea rax, [rbp-0x40]計算出棧上數(shù)組基址后按偏移寫入可恢復(fù)出棧分配的數(shù)組。函數(shù)簽名恢復(fù); Identify parameters by register usage func: ; rdi used as first param (System V) mov [rbp-8], rdi ; Save param to local ; rsi used as second param mov [rbp-16], rsi ; Identify return by RAX at end mov rax, [result] ret結(jié)合第三節(jié)的調(diào)用約定知識函數(shù)體開頭把rdi、rsi存入局部變量說明它們被當(dāng)作參數(shù)使用System V 下即第 1、2 個參數(shù)函數(shù)末尾把結(jié)果裝入rax后ret則rax承載返回值。從源碼結(jié)構(gòu)看這正對應(yīng) SKILL.md 中「Function Signature Recovery」一節(jié)的核心方法Identify parameters by register usage。類型恢復(fù)按操作寬度推斷; 1-byte operations suggest char/bool movzx eax, byte [rdi] ; Zero-extend byte movsx eax, byte [rdi] ; Sign-extend byte ; 2-byte operations suggest short movzx eax, word [rdi] movsx eax, word [rdi] ; 4-byte operations suggest int/float mov eax, [rdi] movss xmm0, [rdi] ; Float ; 8-byte operations suggest long/double/pointer mov rax, [rdi] movsd xmm0, [rdi] ; Double1 字節(jié)movzx/movsx byte→char/bool2 字節(jié)movzx/movsx word→short4 字節(jié)mov到eax、movss→int/float8 字節(jié)mov到rax、movsd→long/double/指針。movzx零擴展與movsx符號擴展的差異還能揭示變量是否為有符號類型。movss/movsdscalar single/double則是浮點運算的明確信號。九、Ghidra 與 IDA Pro 自動化腳本同技能延伸靜態(tài)分析工具腳本化是提升效率的關(guān)鍵。以下腳本均出自 SKILL.md 的 Ghidra/IDA 章節(jié)。Ghidra 腳本修復(fù)函數(shù)簽名與結(jié)構(gòu)體// In Ghidra scripting // Fix function signature Function func getFunctionAt(toAddr(0x401000)); func.setReturnType(IntegerDataType.dataType, SourceType.USER_DEFINED); // Create structure type StructureDataType struct new StructureDataType(MyStruct, 0); struct.add(IntegerDataType.dataType, field_a, null); struct.add(PointerDataType.dataType, next, null); // Apply to memory createData(toAddr(0x601000), struct);Ghidra 的自動分析對未知函數(shù)常給出錯誤的返回類型默認(rèn)undefined/void。用Function.setReturnType(...)配合SourceType.USER_DEFINED可強制修正StructureDataType用于定義結(jié)構(gòu)體布局createData將定義應(yīng)用到內(nèi)存地址——這些操作在自動化分析批量二進制時非常有效。Ghidra 模式匹配腳本定位危險函數(shù)調(diào)用# Find all calls to dangerous functions for func in currentProgram.getFunctionManager().getFunctions(True): for ref in getReferencesTo(func.getEntryPoint()): if func.getName() in [strcpy, sprintf, gets]: print(fDangerous call at {ref.getFromAddress()})通過遍歷函數(shù)管理器、對每個函數(shù)入口取引用getReferencesTo篩選出對strcpy、sprintf、gets等危險庫函數(shù)的全部調(diào)用點。這是靜態(tài)漏洞掃描如緩沖區(qū)溢出定位的典型實現(xiàn)可用于大規(guī)模安全審計。IDAPython查找指定函數(shù)的所有調(diào)用import idaapi import idautils import idc # Find all function calls def find_calls(func_name): for func_ea in idautils.Functions(): for head in idautils.Heads(func_ea, idc.find_func_end(func_ea)): if idc.print_insn_mnem(head) call: target idc.get_operand_value(head, 0) if idc.get_func_name(target) func_name: print(fCall to {func_name} at {hex(head)}) # Rename functions based on strings def auto_rename(): for s in idautils.Strings(): for xref in idautils.XrefsTo(s.ea): func idaapi.get_func(xref.frm) if func and sub_ in idc.get_func_name(func.start_ea): # Use string as hint for naming passidautils.Functions()遍歷所有函數(shù)idautils.Heads()遍歷函數(shù)內(nèi)指令idc.print_insn_mnem檢查助記符是否為call再解析操作數(shù)確認(rèn)目標(biāo)函數(shù)——構(gòu)成「X 調(diào)用了誰」的完整查詢。字符串交叉引用XrefsTo則可用于把sub_xxxx匿名函數(shù)改名為更有語義的名字。十、分析工作流與常見陷阱七步分析工作流SKILL.md 給出的推薦流程Initial triage初步分類文件類型、架構(gòu)、導(dǎo)入/導(dǎo)出表String analysis字符串分析定位關(guān)鍵字符串、錯誤消息Function identification函數(shù)識別入口點、導(dǎo)出函數(shù)、交叉引用Control flow mapping控制流映射理解程序整體結(jié)構(gòu)Data structure recovery數(shù)據(jù)結(jié)構(gòu)恢復(fù)識別結(jié)構(gòu)體、數(shù)組、全局變量Algorithm identification算法識別加密、哈希、壓縮算法Documentation文檔化注釋、重命名符號、類型定義。這七步與 reverse-engineer 代理 的「Analysis Methodology」四階段Reconnaissance → Static Analysis → Dynamic Analysis → Documentation互為印證靜態(tài)分析階段正是本文所講的反匯編模式識別的主戰(zhàn)場。常見陷阱Optimizer artifacts優(yōu)化器產(chǎn)物優(yōu)化后的代碼可能與源碼結(jié)構(gòu)完全不對應(yīng)切勿強求一一映射Inline functions內(nèi)聯(lián)函數(shù)函數(shù)可能被展開內(nèi)聯(lián)導(dǎo)致反匯編中不存在獨立的函數(shù)邊界Tail call optimization尾調(diào)用優(yōu)化函數(shù)末尾以jmp而非callret調(diào)用另一函數(shù)——看到函數(shù)尾部直接jmp到別的函數(shù)應(yīng)意識到這是尾調(diào)用而非無條件跳轉(zhuǎn)Dead code死代碼優(yōu)化產(chǎn)生的不可達代碼塊如mov rax, 0; jmp next; nop應(yīng)跳過避免誤判為邏輯分支Position-independent code位置無關(guān)代碼PIE/共享庫使用 RIP 相對尋址lea rax, [ripoffset]識別地址時須結(jié)合重定位信息。十一、在 agents24 倉庫中的定位與使用binary-analysis-patterns技能隸屬于 reverse-engineering 插件該插件在 docs/plugins.md 中被歸類為 Security 領(lǐng)域官方描述為「Binary analysis, malware triage, firmware security (authorized)」。圍繞該技能倉庫還提供reverse-engineer 代理精通 IDA Pro、Ghidra、radare2、x64dbg 與二進制格式PE/ELF/Mach-O/DEX負(fù)責(zé)執(zhí)行可執(zhí)行文件分析、庫檢查、協(xié)議提取與漏洞研究anti-reversing-techniques 技能逆向工程的反面——混淆、反調(diào)試、加殼等對抗技術(shù)與本文的靜態(tài)分析模式互為鏡像memory-forensics 技能進程內(nèi)存取證與動態(tài)分析protocol-reverse-engineering 技能流量捕獲、協(xié)議識別與自定義協(xié)議逆向。安全邊界所有分析必須在授權(quán)范圍內(nèi)進行——安全研究、CTF 競賽、授權(quán)滲透測試、惡意軟件防御與教學(xué)目的。倉庫中的代理與技能均明確聲明只服務(wù)于上述合法場景詳見 reverse-engineer 代理 的「Security Ethics」與 anti-reversing-techniques 技能 的「AUTHORIZED USE ONLY」聲明。安裝該技能有兩種方式通過插件市場安裝整個插件/plugin install reverse-engineering或按 docs/agent-skills.md 的說明單獨安裝技能gh skill install或npx skills add指定--skill binary-analysis-patterns。安裝后當(dāng)遇到未知可執(zhí)行文件、混淆二進制或需要重構(gòu)編譯代碼邏輯的任務(wù)時技能即會自動激活。十二、小結(jié)本文完整繼承了binary-analysis-patterns技能references/details.md章節(jié)的反匯編基礎(chǔ)內(nèi)容并延伸覆蓋了同技能的其余知識體系。掌握這些模式的實戰(zhàn)收益是看到一段陌生架構(gòu)的反匯編能在幾十秒內(nèi)定位函數(shù)邊界、識別參數(shù)與返回值、判斷數(shù)據(jù)結(jié)構(gòu)形態(tài)——這是從「讀匯編」到「懂程序」的關(guān)鍵一躍。建議讀者將本文的匯編模式與 Ghidra/IDA 腳本結(jié)合使用在真實樣本如 CTF 二進制、自有軟件或授權(quán)分析的固件上反復(fù)練習(xí)逐步建立跨架構(gòu)的逆向直覺。【免費下載鏈接】agentsMulti-harness agentic plugin marketplace for Claude Code, Codex, Cursor, OpenCode, GitHub Copilot, and Google Antigravity項目地址: https://gitcode.com/GitHub_Trending/agents24/agents創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 二進制逆向分析基礎(chǔ)：x86-64 與 ARM 指令模式、調(diào)用約定及函數(shù)序言尾聲全解（agents24 reverse-engineering 插件實踐指南）
二進制逆向分析基礎(chǔ)x86-64 與 ARM 指令模式、調(diào)用約定及函數(shù)序言尾聲全解agents24 reverse-engineering 插件實踐指南【免費下載鏈接】agentsMulti-harness agentic plugin marketplace for Claude Code, Codex, Cursor, OpenCode, GitHub Copilot, and Google Antigravity項目地址: https://gitcode.com/GitHub_Trending/agents24/agents本篇技術(shù)指南以 agents24 倉庫中reverse-engineering插件的binary-analysis-patterns技能為核心系統(tǒng)講解反匯編中最基礎(chǔ)也最關(guān)鍵的一環(huán)Disassembly Fundamentals反匯編基礎(chǔ)。你將掌握 x86-64 與 ARM 兩大架構(gòu)下的函數(shù)序言/尾聲識別、System V AMD64 與 Microsoft x64 調(diào)用約定、ARM64/ARM32 寄存器分配規(guī)則并進一步學(xué)會通過控制流、數(shù)據(jù)結(jié)構(gòu)與常見代碼模式快速重構(gòu)程序邏輯具備在 Ghidra、IDA Pro、Binary Ninja 等工具中開展靜態(tài)分析的實戰(zhàn)能力。一、技能背景為什么反匯編基礎(chǔ)如此重要binary-analysis-patterns是 agents24 倉庫reverse-engineering插件見 docs/plugins.md 中 Security 分類提供的四大技能之一官方定位是Master binary analysis patterns including disassembly, decompilation, control flow analysis, and code pattern recognition——即面向已編譯二進制的靜態(tài)分析模式庫包括反匯編、反編譯、控制流分析和代碼模式識別適用于分析未知可執(zhí)行文件、惡意軟件/混淆二進制、識別編譯器引入的模式棧保護 canary、PIC trampoline等場景。值得注意的是本技能采用三層漸進式披露結(jié)構(gòu)progressive disclosure詳見 docs/agent-skills.mdMetadataYAML frontmatter技能名與激活條件始終加載InstructionsSKILL.md 主體核心指導(dǎo)與模式激活時加載Resourcesreferences/details.md按需加載的詳細(xì)資源。根據(jù) docs/harnesses.md 的記錄Claude Code 對技能正文沒有硬性上限而Codex 有 8 KB 的 skill body 硬上限超過該上限的技能在 Codex 加載時會被截斷Skill body 8 KB → split into references/details.md。因此本技能原本位于 SKILL.md 中的約 2047 字節(jié)的「Disassembly Fundamentals」詳細(xì)章節(jié)被遷移至references/details.md從而保證跨 harness 的可移植性——這正是本文檔的由來。本文將完整繼承該章節(jié)的全部內(nèi)容并結(jié)合同技能的其余章節(jié)控制流、數(shù)據(jù)結(jié)構(gòu)、常見代碼模式、反編譯模式、Ghidra/IDA 技巧與最佳實踐做縱深擴充。二、函數(shù)序言與尾聲Function Prologue/Epilogue函數(shù)序言是函數(shù)入口處為建立棧幀而執(zhí)行的一小段指令尾聲則是函數(shù)返回前恢復(fù)棧幀的指令。識別序言/尾聲是定位函數(shù)邊界、理解調(diào)用關(guān)系的第一步。標(biāo)準(zhǔn)序言Standard Prologue; Standard prologue push rbp ; Save base pointer mov rbp, rsp ; Set up stack frame sub rsp, 0x20 ; Allocate local variablespush rbp將調(diào)用者的基址指針壓棧保存為當(dāng)前函數(shù)建立獨立的棧幀鏈mov rbp, rsp將棧指針賦給rbp此后所有局部變量和參數(shù)都可通過[rbp offset]或[rbp - offset]訪問與棧指針的移動無關(guān)sub rsp, 0x20向下開辟 32 字節(jié)0x20局部變量空間。注意 x86-64 下 ABI 要求棧在call指令邊界保持 16 字節(jié)對齊分配空間時需考慮對齊。葉函數(shù)Leaf Function; Leaf function (no calls) ; May skip frame pointer setup sub rsp, 0x18 ; Just allocate locals葉函數(shù)指不再調(diào)用其他函數(shù)的函數(shù)。由于無需在棧幀間穿梭編譯器常省略幀指針frame pointer設(shè)置直接通過sub rsp分配局部空間。從源碼結(jié)構(gòu)看-O2及以上優(yōu)化級別下非葉函數(shù)也可能因「omit frame pointer」優(yōu)化而省略rbp此時局部變量將基于rsp尋址。標(biāo)準(zhǔn)尾聲Standard Epilogue; Standard epilogue mov rsp, rbp ; Restore stack pointer pop rbp ; Restore base pointer ret尾聲與序言嚴(yán)格對稱先恢復(fù)棧指針再彈出基址指針最后ret彈出返回地址并跳轉(zhuǎn)。leave 指令等價形式; Leave instruction (equivalent) leave ; mov rsp, rbp; pop rbp retleave是mov rsp, rbp; pop rbp的單指令等價形式常出現(xiàn)在使用幀指針的函數(shù)中。識別到leave; ret組合即可高度確信此處為函數(shù)出口。reverse-engineer 代理plugins/reverse-engineering/agents/reverse-engineer.md將這些序言/尾聲識別能力列為「Static analysis: Control flow graphs, call graphs, data flow analysis, symbol recovery」的基礎(chǔ)前提。三、調(diào)用約定Calling Conventions調(diào)用約定規(guī)定了參數(shù)傳遞位置、返回值位置、寄存器保存責(zé)任caller/callee-saved以及棧清理責(zé)任。在分析反匯編代碼時識別調(diào)用約定可以直接推斷出哪些寄存器裝載的是參數(shù)、函數(shù)返回時哪個寄存器承載結(jié)果。System V AMD64Linux、macOS這是 Linux、macOS 及所有類 Unix 系統(tǒng) x86-64 平臺的標(biāo)準(zhǔn) ABI; Arguments: RDI, RSI, RDX, RCX, R8, R9, then stack ; Return: RAX (and RDX for 128-bit) ; Caller-saved: RAX, RCX, RDX, RSI, RDI, R8-R11 ; Callee-saved: RBX, RBP, R12-R15 ; Example: func(a, b, c, d, e, f, g) mov rdi, [a] ; 1st arg mov rsi, [b] ; 2nd arg mov rdx, [c] ; 3rd arg mov rcx, [d] ; 4th arg mov r8, [e] ; 5th arg mov r9, [f] ; 6th arg push [g] ; 7th arg on stack call func前 6 個整數(shù)/指針參數(shù)依次放入RDI, RSI, RDX, RCX, R8, R9第 7 個及以后的參數(shù)壓棧傳遞返回值放入RAX128 位返回值用RDX:RAX拼接浮點參數(shù)使用XMM0-XMM7返回值在XMM0調(diào)用者保存caller-savedRAX, RCX, RDX, RSI, RDI, R8-R11——調(diào)用者需在調(diào)用前保存這些寄存器的值被調(diào)用者保存callee-savedRBX, RBP, R12-R15——被調(diào)用函數(shù)若使用它們必須自行保存/恢復(fù)。實際分析技巧在函數(shù)入口處看到mov [rbp-8], rdi、mov [rbp-16], rsi這類把前幾個寄存器存入棧局部的指令基本可斷定該函數(shù)接受至少兩個參數(shù)且參數(shù)類型為整數(shù)/指針詳見后文「函數(shù)簽名恢復(fù)」。Microsoft x64WindowsWindows x64 平臺使用獨立于 System V 的調(diào)用約定; Arguments: RCX, RDX, R8, R9, then stack ; Shadow space: 32 bytes reserved on stack ; Return: RAX ; Example: func(a, b, c, d, e) sub rsp, 0x28 ; Shadow space alignment mov rcx, [a] ; 1st arg mov rdx, [b] ; 2nd arg mov r8, [c] ; 3rd arg mov r9, [d] ; 4th arg mov [rsp0x20], [e] ; 5th arg on stack call func add rsp, 0x28前 4 個整數(shù)/指針參數(shù)依次放入RCX, RDX, R8, R9第 5 個起壓棧Shadow space影子空間調(diào)用者必須在棧上預(yù)留 32 字節(jié)4 個參數(shù)各 8 字節(jié)供被調(diào)用者保存前 4 個參數(shù)即使參數(shù)少于 4 個也不例外本例sub rsp, 0x28即 32 字節(jié) shadow space 8 字節(jié)返回地址對齊16 字節(jié)對齊要求因此mov [rsp0x20], [e]恰好落在 shadow space 之上的第 5 個參數(shù)槽位返回值同為RAX寄存器保存規(guī)則與 System V 不同Windows 下RDI, RSI, RBX, RBP, R12-R15為 callee-saved分析 Windows 二進制時切勿套用 System V 規(guī)則。調(diào)用約定速查對照平臺 / ABI參數(shù)寄存器整數(shù)/指針第 N 個之后的參數(shù)返回值典型場景System V AMD64RDI, RSI, RDX, RCX, R8, R9第 7 個起壓棧RAX128 位用 RDX:RAXLinux / macOSMicrosoft x64RCX, RDX, R8, R9第 5 個起壓棧需 32 字節(jié) shadow spaceRAXWindowsARM64 (AArch64)X0-X7第 9 個起壓棧X0128 位用 X1:X0移動端 / 嵌入式ARM32 (AAPCS)R0-R3第 5 個起壓棧R064 位用 R1:R0舊版移動端 / 嵌入式這一對照關(guān)系可直接對應(yīng)到 reverse-engineer 代理 中記錄的「Calling Conventions」經(jīng)驗表x86 cdecl、x86 stdcall、x64 Windows、x64 System V、ARM用于在不同架構(gòu)間快速切換分析思維。四、ARM 匯編模式ARM 架構(gòu)廣泛存在于移動端、嵌入式與固件中本倉庫另有arm-cortex-microcontrollers插件專注 ARM Cortex-M 固件開發(fā)。ARM 的調(diào)用約定與 x86-64 差異顯著最核心的區(qū)別是返回地址存放在鏈接寄存器LR而非棧上。ARM64AArch64調(diào)用約定; Arguments: X0-X7 ; Return: X0 (and X1 for 128-bit) ; Frame pointer: X29 ; Link register: X30 ; Function prologue stp x29, x30, [sp, #-16]! ; Save FP and LR mov x29, sp ; Set frame pointer ; Function epilogue ldp x29, x30, [sp], #16 ; Restore FP and LR ret前 8 個參數(shù)放入X0-X7第 9 個起壓棧返回值在X0128 位用X1:X0X29 為幀指針FPX30 為鏈接寄存器LR——BL/BLR調(diào)用會把返回地址寫入 X30 而非壓棧stp x29, x30, [sp, #-16]!store pair, pre-index將 FP 與 LR 成對壓棧并同時減 16 字節(jié)!表示預(yù)寫回pre-indexed——一條指令完成「保存兩個寄存器 分配棧幀」兩件事尾聲ldp x29, x30, [sp], #16load pair, post-index對稱恢復(fù)后ret——由于返回地址已在 X30ret無需從棧彈出。從編譯器模式看stp/ldp成對訪存是 AArch64 的標(biāo)志性優(yōu)化編譯器會將兩個相鄰寄存器一次性存取既節(jié)省指令數(shù)又保證原子性。在固件分析中看到stp x29, x30開頭即可確認(rèn)函數(shù)邊界。ARM32 調(diào)用約定; Arguments: R0-R3, then stack ; Return: R0 (and R1 for 64-bit) ; Link register: LR (R14) ; Function prologue push {fp, lr} add fp, sp, #4 ; Function epilogue pop {fp, pc} ; Return by popping PC前 4 個參數(shù)放入R0-R3第 5 個起壓棧返回值在R064 位用R1:R0LR 為 R14作為鏈接寄存器保存返回地址幀指針為 R11fp序言push {fp, lr}將幀指針與鏈接寄存器一起壓棧add fp, sp, #4讓幀指針指向棧上保存的舊幀指針注意偏移 4 是因為壓棧了兩項尾聲pop {fp, pc}是 ARM32 的經(jīng)典技巧把保存的 LR 值直接彈入程序計數(shù)器 PC等價于「恢復(fù)幀指針 跳轉(zhuǎn)返回」兩步合一的寫法。對比可發(fā)現(xiàn)一條通用規(guī)律x86-64 通過棧保存返回地址call/ret而 ARM 通過鏈接寄存器LR/X30保存返回地址——這是跨架構(gòu)逆向時最需要調(diào)整的心智模型。五、控制流模式條件分支、循環(huán)與 Switch延伸自同技能 SKILL.mdbinary-analysis-patterns技能的其余章節(jié)與「反匯編基礎(chǔ)」同屬一個完整知識體系這里繼承其核心內(nèi)容以形成閉環(huán)。識別控制流結(jié)構(gòu)是反匯編閱讀的第二層能力。條件分支; if (a b) cmp eax, ebx jne skip_block ; ... if body ... skip_block: ; if (a b) - signed cmp eax, ebx jge skip_block ; Jump if greater or equal ; ... if body ... skip_block: ; if (a b) - unsigned cmp eax, ebx jae skip_block ; Jump if above or equal ; ... if body ... skip_block:編譯器通常把if條件取反后跳轉(zhuǎn)到跳過分支體branch-if-false。cmp設(shè)置標(biāo)志位后有符號比較用jge/jl/jle/jggreat/less無符號比較用jae/jb/jbe/jaabove/below——這是最常見的分析失誤點看到j(luò)ae就應(yīng)意識到源語言中的比較是無符號語義。循環(huán)模式; for (int i 0; i n; i) xor ecx, ecx ; i 0 loop_start: cmp ecx, [n] ; i n jge loop_end ; ... loop body ... inc ecx ; i jmp loop_start loop_end: ; while (condition) jmp loop_check loop_body: ; ... body ... loop_check: cmp eax, ebx jl loop_body ; do-while loop_body: ; ... body ... cmp eax, ebx jl loop_bodyfor循環(huán)初始化 → 條件檢查在循環(huán)頂部 → 迭代步進在循環(huán)體底部條件不滿足跳出while循環(huán)編譯器常將條件檢查下沉到循環(huán)底部loop rotation 優(yōu)化循環(huán)體前先無條件jmp loop_check從而讓每個迭代只執(zhí)行一次條件比較do-while循環(huán)條件檢查天然在循環(huán)體之后與源碼語義一致是三種循環(huán)中最容易識別的形態(tài)。實際分析時while與do-while的區(qū)分要點是循環(huán)體第一條指令是否為無條件jmp到循環(huán)尾部的條件檢查。Switch 語句模式; Jump table pattern mov eax, [switch_var] cmp eax, max_case ja default_case jmp [jump_table eax*8] ; Sequential comparison (small switch) cmp eax, 1 je case_1 cmp eax, 2 je case_2 cmp eax, 3 je case_3 jmp default_case跳轉(zhuǎn)表jump tablecase 分支較多且密集時編譯器生成一張指針表jmp [jump_table eax*8]按索引一次跳轉(zhuǎn)8 字節(jié)為 x86-64 指針大小。先用cmp/ja做邊界檢查越界走 default再間接跳轉(zhuǎn)順序比較sequential comparisoncase 數(shù)量少或稀疏時編譯器退化為逐個cmpje此時從反匯編恢復(fù)出的就是「if-else 鏈」形態(tài)。六、數(shù)據(jù)結(jié)構(gòu)模式數(shù)組、結(jié)構(gòu)體與鏈表數(shù)組訪問; array[i] - 4-byte elements mov eax, [rbx rcx*4] ; rbxbase, rcxindex ; array[i] - 8-byte elements mov rax, [rbx rcx*8] ; Multi-dimensional array[i][j] ; arr[i][j] base (i * cols j) * element_size imul eax, [cols] add eax, [j] mov edx, [rbx rax*4]x86-64 的比例變址尋址base index*scale disp讓數(shù)組訪問一目了然scale4/8直接暴露元素大小從而推斷數(shù)組類型。多維數(shù)組則先imul計算行偏移再做列偏移累加——看到乘法加法的尋址組合應(yīng)聯(lián)想到多維數(shù)組或結(jié)構(gòu)體數(shù)組。結(jié)構(gòu)體訪問與內(nèi)存對齊struct Example { int a; // offset 0 char b; // offset 4 // padding // offset 5-7 long c; // offset 8 short d; // offset 16 };; Accessing struct fields mov rdi, [struct_ptr] mov eax, [rdi] ; s-a (offset 0) movzx eax, byte [rdi4] ; s-b (offset 4) mov rax, [rdi8] ; s-c (offset 8) movzx eax, word [rdi16] ; s-d (offset 16)這個例子演示了結(jié)構(gòu)體內(nèi)存對齊的經(jīng)典布局int a占 4 字節(jié)、char b占 1 字節(jié)后填充 3 字節(jié) padding偏移 5-7long c從 8 字節(jié)對齊的偏移 8 開始8 字節(jié)short d在偏移 162 字節(jié)整個結(jié)構(gòu)體按 8 字節(jié)對齊補齊到 18 的倍數(shù) → sizeof 為 24。反匯編中字段訪問的偏移量分布出現(xiàn) 4→8→16 的非連續(xù)跳躍正是恢復(fù)結(jié)構(gòu)體定義的直接證據(jù)。鏈表遍歷; while (node ! NULL) list_loop: test rdi, rdi ; node NULL? jz list_done ; ... process node ... mov rdi, [rdi8] ; node node-next (assuming next at offset 8) jmp list_loop list_done:test reg, reg; jz是判空的標(biāo)準(zhǔn)慣用法等價于cmp reg, 0。mov rdi, [rdi8]把當(dāng)前節(jié)點偏移 8 處的指針加載回自身寄存器形成經(jīng)典鏈表步進循環(huán)——next指針在結(jié)構(gòu)體中的偏移此處為 8可據(jù)此確定。七、常見代碼模式字符串、算術(shù)與位操作字符串操作; strlen pattern xor ecx, ecx strlen_loop: cmp byte [rdi rcx], 0 je strlen_done inc ecx jmp strlen_loop strlen_done: ; ecx contains length ; strcpy pattern strcpy_loop: mov al, [rsi] mov [rdi], al test al, al jz strcpy_done inc rsi inc rdi jmp strcpy_loop strcpy_done: ; memcpy using rep movsb mov rdi, dest mov rsi, src mov rcx, count rep movsbstrlen逐字節(jié)與 0 比較、計數(shù)器遞增——見到cmp byte [...], 0 計數(shù)器模式可判為字符串長度計算strcpymov al, [rsi]; mov [rdi], al逐字節(jié)搬運用test al, al; jz判斷是否遇到終止符memcpy編譯器在長度已知或較小時用rep movsb前綴實現(xiàn)高效塊拷貝。rep movsb也可用于識別編譯器對memcpy/memmove內(nèi)聯(lián)優(yōu)化的痕跡。算術(shù)模式編譯器優(yōu)化常數(shù)運算; Multiplication by constant ; x * 3 lea eax, [rax rax*2] ; x * 5 lea eax, [rax rax*4] ; x * 10 lea eax, [rax rax*4] ; x * 5 add eax, eax ; * 2 ; Division by power of 2 (signed) mov eax, [x] cdq ; Sign extend to EDX:EAX and edx, 7 ; For divide by 8 add eax, edx ; Adjust for negative sar eax, 3 ; Arithmetic shift right ; Modulo power of 2 and eax, 7 ; x % 8編譯器用lea的移位加加組合替代乘法指令x*3 x x*2、x*5 x x*4是 -O2 下的高頻優(yōu)化。有符號除以 2 的冪不能簡單右移負(fù)數(shù)需先做補償調(diào)整cdq符號擴展 →and edx, 7取符號位補償 →add→sar 3。識別這套「cdq and add sar」序列即可還原為x / 8有符號。取模 2 的冪則直接and掩碼x % 8 → x 7。位操作; Test specific bit test eax, 0x80 ; Test bit 7 jnz bit_set ; Set bit or eax, 0x10 ; Set bit 4 ; Clear bit and eax, ~0x10 ; Clear bit 4 ; Toggle bit xor eax, 0x10 ; Toggle bit 4 ; Count leading zeros bsr eax, ecx ; Bit scan reverse xor eax, 31 ; Convert to leading zeros ; Population count (popcnt) popcnt eax, ecx ; Count set bits位操作模式直接對應(yīng) C 語言位運算test 條件跳轉(zhuǎn) 位測試or/and/xor 掩碼 置位/清位/翻轉(zhuǎn)。bsr反向位掃描與popcnt置位計數(shù)是底層算法如哈希、熵計算、位圖的典型信號——在惡意軟件分析中popcnt頻繁出現(xiàn)常意味著自定義哈?；蜢貦z測邏輯。八、反編譯模式變量、函數(shù)簽名與類型恢復(fù)反編譯的目標(biāo)是把機器碼還原成可讀的高級語言結(jié)構(gòu)。局部變量恢復(fù); Local variable at rbp-8 mov qword [rbp-8], rax ; Store to local mov rax, [rbp-8] ; Load from local ; Stack-allocated array lea rax, [rbp-0x40] ; Array starts at rbp-0x40 mov [rax], edx ; array[0] value mov [rax4], ecx ; array[1] value使用幀指針時[rbp-8]、[rbp-0x10]等負(fù)偏移即為局部變量槽位lea rax, [rbp-0x40]計算出棧上數(shù)組基址后按偏移寫入可恢復(fù)出棧分配的數(shù)組。函數(shù)簽名恢復(fù); Identify parameters by register usage func: ; rdi used as first param (System V) mov [rbp-8], rdi ; Save param to local ; rsi used as second param mov [rbp-16], rsi ; Identify return by RAX at end mov rax, [result] ret結(jié)合第三節(jié)的調(diào)用約定知識函數(shù)體開頭把rdi、rsi存入局部變量說明它們被當(dāng)作參數(shù)使用System V 下即第 1、2 個參數(shù)函數(shù)末尾把結(jié)果裝入rax后ret則rax承載返回值。從源碼結(jié)構(gòu)看這正對應(yīng) SKILL.md 中「Function Signature Recovery」一節(jié)的核心方法Identify parameters by register usage。類型恢復(fù)按操作寬度推斷; 1-byte operations suggest char/bool movzx eax, byte [rdi] ; Zero-extend byte movsx eax, byte [rdi] ; Sign-extend byte ; 2-byte operations suggest short movzx eax, word [rdi] movsx eax, word [rdi] ; 4-byte operations suggest int/float mov eax, [rdi] movss xmm0, [rdi] ; Float ; 8-byte operations suggest long/double/pointer mov rax, [rdi] movsd xmm0, [rdi] ; Double1 字節(jié)movzx/movsx byte→char/bool2 字節(jié)movzx/movsx word→short4 字節(jié)mov到eax、movss→int/float8 字節(jié)mov到rax、movsd→long/double/指針。movzx零擴展與movsx符號擴展的差異還能揭示變量是否為有符號類型。movss/movsdscalar single/double則是浮點運算的明確信號。九、Ghidra 與 IDA Pro 自動化腳本同技能延伸靜態(tài)分析工具腳本化是提升效率的關(guān)鍵。以下腳本均出自 SKILL.md 的 Ghidra/IDA 章節(jié)。Ghidra 腳本修復(fù)函數(shù)簽名與結(jié)構(gòu)體// In Ghidra scripting // Fix function signature Function func getFunctionAt(toAddr(0x401000)); func.setReturnType(IntegerDataType.dataType, SourceType.USER_DEFINED); // Create structure type StructureDataType struct new StructureDataType(MyStruct, 0); struct.add(IntegerDataType.dataType, field_a, null); struct.add(PointerDataType.dataType, next, null); // Apply to memory createData(toAddr(0x601000), struct);Ghidra 的自動分析對未知函數(shù)常給出錯誤的返回類型默認(rèn)undefined/void。用Function.setReturnType(...)配合SourceType.USER_DEFINED可強制修正StructureDataType用于定義結(jié)構(gòu)體布局createData將定義應(yīng)用到內(nèi)存地址——這些操作在自動化分析批量二進制時非常有效。Ghidra 模式匹配腳本定位危險函數(shù)調(diào)用# Find all calls to dangerous functions for func in currentProgram.getFunctionManager().getFunctions(True): for ref in getReferencesTo(func.getEntryPoint()): if func.getName() in [strcpy, sprintf, gets]: print(fDangerous call at {ref.getFromAddress()})通過遍歷函數(shù)管理器、對每個函數(shù)入口取引用getReferencesTo篩選出對strcpy、sprintf、gets等危險庫函數(shù)的全部調(diào)用點。這是靜態(tài)漏洞掃描如緩沖區(qū)溢出定位的典型實現(xiàn)可用于大規(guī)模安全審計。IDAPython查找指定函數(shù)的所有調(diào)用import idaapi import idautils import idc # Find all function calls def find_calls(func_name): for func_ea in idautils.Functions(): for head in idautils.Heads(func_ea, idc.find_func_end(func_ea)): if idc.print_insn_mnem(head) call: target idc.get_operand_value(head, 0) if idc.get_func_name(target) func_name: print(fCall to {func_name} at {hex(head)}) # Rename functions based on strings def auto_rename(): for s in idautils.Strings(): for xref in idautils.XrefsTo(s.ea): func idaapi.get_func(xref.frm) if func and sub_ in idc.get_func_name(func.start_ea): # Use string as hint for naming passidautils.Functions()遍歷所有函數(shù)idautils.Heads()遍歷函數(shù)內(nèi)指令idc.print_insn_mnem檢查助記符是否為call再解析操作數(shù)確認(rèn)目標(biāo)函數(shù)——構(gòu)成「X 調(diào)用了誰」的完整查詢。字符串交叉引用XrefsTo則可用于把sub_xxxx匿名函數(shù)改名為更有語義的名字。十、分析工作流與常見陷阱七步分析工作流SKILL.md 給出的推薦流程Initial triage初步分類文件類型、架構(gòu)、導(dǎo)入/導(dǎo)出表String analysis字符串分析定位關(guān)鍵字符串、錯誤消息Function identification函數(shù)識別入口點、導(dǎo)出函數(shù)、交叉引用Control flow mapping控制流映射理解程序整體結(jié)構(gòu)Data structure recovery數(shù)據(jù)結(jié)構(gòu)恢復(fù)識別結(jié)構(gòu)體、數(shù)組、全局變量Algorithm identification算法識別加密、哈希、壓縮算法Documentation文檔化注釋、重命名符號、類型定義。這七步與 reverse-engineer 代理 的「Analysis Methodology」四階段Reconnaissance → Static Analysis → Dynamic Analysis → Documentation互為印證靜態(tài)分析階段正是本文所講的反匯編模式識別的主戰(zhàn)場。常見陷阱Optimizer artifacts優(yōu)化器產(chǎn)物優(yōu)化后的代碼可能與源碼結(jié)構(gòu)完全不對應(yīng)切勿強求一一映射Inline functions內(nèi)聯(lián)函數(shù)函數(shù)可能被展開內(nèi)聯(lián)導(dǎo)致反匯編中不存在獨立的函數(shù)邊界Tail call optimization尾調(diào)用優(yōu)化函數(shù)末尾以jmp而非callret調(diào)用另一函數(shù)——看到函數(shù)尾部直接jmp到別的函數(shù)應(yīng)意識到這是尾調(diào)用而非無條件跳轉(zhuǎn)Dead code死代碼優(yōu)化產(chǎn)生的不可達代碼塊如mov rax, 0; jmp next; nop應(yīng)跳過避免誤判為邏輯分支Position-independent code位置無關(guān)代碼PIE/共享庫使用 RIP 相對尋址lea rax, [ripoffset]識別地址時須結(jié)合重定位信息。十一、在 agents24 倉庫中的定位與使用binary-analysis-patterns技能隸屬于 reverse-engineering 插件該插件在 docs/plugins.md 中被歸類為 Security 領(lǐng)域官方描述為「Binary analysis, malware triage, firmware security (authorized)」。圍繞該技能倉庫還提供reverse-engineer 代理精通 IDA Pro、Ghidra、radare2、x64dbg 與二進制格式PE/ELF/Mach-O/DEX負(fù)責(zé)執(zhí)行可執(zhí)行文件分析、庫檢查、協(xié)議提取與漏洞研究anti-reversing-techniques 技能逆向工程的反面——混淆、反調(diào)試、加殼等對抗技術(shù)與本文的靜態(tài)分析模式互為鏡像memory-forensics 技能進程內(nèi)存取證與動態(tài)分析protocol-reverse-engineering 技能流量捕獲、協(xié)議識別與自定義協(xié)議逆向。安全邊界所有分析必須在授權(quán)范圍內(nèi)進行——安全研究、CTF 競賽、授權(quán)滲透測試、惡意軟件防御與教學(xué)目的。倉庫中的代理與技能均明確聲明只服務(wù)于上述合法場景詳見 reverse-engineer 代理 的「Security Ethics」與 anti-reversing-techniques 技能 的「AUTHORIZED USE ONLY」聲明。安裝該技能有兩種方式通過插件市場安裝整個插件/plugin install reverse-engineering或按 docs/agent-skills.md 的說明單獨安裝技能gh skill install或npx skills add指定--skill binary-analysis-patterns。安裝后當(dāng)遇到未知可執(zhí)行文件、混淆二進制或需要重構(gòu)編譯代碼邏輯的任務(wù)時技能即會自動激活。十二、小結(jié)本文完整繼承了binary-analysis-patterns技能references/details.md章節(jié)的反匯編基礎(chǔ)內(nèi)容并延伸覆蓋了同技能的其余知識體系。掌握這些模式的實戰(zhàn)收益是看到一段陌生架構(gòu)的反匯編能在幾十秒內(nèi)定位函數(shù)邊界、識別參數(shù)與返回值、判斷數(shù)據(jù)結(jié)構(gòu)形態(tài)——這是從「讀匯編」到「懂程序」的關(guān)鍵一躍。建議讀者將本文的匯編模式與 Ghidra/IDA 腳本結(jié)合使用在真實樣本如 CTF 二進制、自有軟件或授權(quán)分析的固件上反復(fù)練習(xí)逐步建立跨架構(gòu)的逆向直覺。【免費下載鏈接】agentsMulti-harness agentic plugin marketplace for Claude Code, Codex, Cursor, OpenCode, GitHub Copilot, and Google Antigravity項目地址: https://gitcode.com/GitHub_Trending/agents24/agents創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考