搜索

[9743] 2016-01-16_适用于IDAPro的CGEN框架介绍

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-01-16_适用于IDAPro的CGEN框架介绍 适 用 于 I D A   P r o 的 C G E N 框 架 介 绍 F r e e B u f   2 0 1 6 - 0 1 - 1 6 一 切 都 始 于 我 想 要 分 析 一 些 一 切 都 始 于 我 想 要 分 析 一 些 M e P 代 码 的 时 候 。 我 通 常 在 代 码 的 时 候 。 我 通 常 在 I D A   P r o 中 做 逆 向 工 作 ， 但 是 有 一 小 部 分 处 理 器 中 做 逆 向 工 作 ， 但 是 有 一 小 部 分 处 理 器 I D A 并 不 支 并 不 支 持 。 幸 运 的 是 ， 持 。 幸 运 的 是 ， o b j d u m p 可 以 支 持 这 些 小 众 的 处 理 器 架 构 。 经 过 一 番 摸 索 之 后 ， 我 确 定 将 这 些 反 汇 编 代 码 移 植 到 可 以 支 持 这 些 小 众 的 处 理 器 架 构 。 经 过 一 番 摸 索 之 后 ， 我 确 定 将 这 些 反 汇 编 代 码 移 植 到 I D A 中 会 比 直 接 在 中 会 比 直 接 在 o b j d u m p 的 输 出 中 做 一 些 标 注 和 修 改 更 好 一 些 。 的 输 出 中 做 一 些 标 注 和 修 改 更 好 一 些 。 过 程 过 程 互 联 网 上 很 少 有 关 于 编 写 I D A 处 理 模 块 的 资 料 。 S D K 说 明 文 档 太 简 单 了 （ 只 是 让 你 去 读 示 例 代 码 和 头 文 件 ） 关 联 到 两 个 文 档 ： O n l i n e   g i d e 已 经 找 不 到 了 和 C h r i s   E a g l e 写 的 《 I D A 权 威 指 南 》 。 打 开 这 本 书 关 于 编 写 处 理 器 模 块 的 章 节 （ 1 9 章 ） ， 在 多 次 失 败 的 尝 试 之 后 你 可 能 会 打 退 堂 鼓 （ 只 是 记 录 一 下 缺 乏 相 关 的 文 档 做 不 出 来 ） 。 C h r i s   E a g l e 中 《 I D A 权 威 指 南 》 中 提 到 ： 编 写 处 理 器 模 块 的 难 处 在 于 p r o c e s s o r _ t 结 构 包 含 5 6 个 需 要 被 初 始 化 的 字 段 ， 而 且 其 中 2 6 个 字 段 是 函 数 指 针 ， 其 中 一 个 指 针 指 向 了 一 个 指 针 数 组 ， 里 面 又 包 含 了 5 9 个 字 段 指 向 不 同 的 结 构 （ a s m _ t ） 需 要 被 初 始 化 。 是 不 是 很 简 单 啊 ？ 但 是 ， 我 不 是 那 么 容 易 放 弃 的 ， 继 续 读 下 去 并 逐 渐 熟 悉 了 创 建 一 个 处 理 器 模 块 的 过 程 。 我 不 打 算 详 细 的 描 述 这 个 过 程 ， 因 为 C h r i s 已 经 中 书 上 写 的 很 清 楚 了 ， 但 我 会 给 出 一 个 简 要 的 提 纲 。 I D A 处 理 器 模 块 处 理 器 模 块 处 理 器 模 块 由 四 个 部 分 组 成 。 “ 分 析 器 ” 解 析 机 器 码 的 二 进 制 数 据 并 生 成 指 令 信 息 。 “ 仿 真 器 ” 使 用 这 些 信 息 来 帮 助 I D A 做 下 一 步 的 分 析 。 举 个 例 子 ， 如 一 个 指 令 引 用 数 据 ， 你 的 模 块 可 以 告 诉 I D A 查 找 那 个 地 址 上 的 数 据 。 如 果 那 个 指 令 执 行 函 数 调 用 ， 你 的 模 块 可 以 让 I D A 创 建 一 个 函 数 。 与 它 的 名 字 相 反 ， 它 其 实 并 没 有 真 正 的 模 拟 指 令 集 。 “ 输 出 者 ” 只 是 给 出 分 析 器 生 成 的 数 据 ， 向 用 户 输 出 汇 编 代 码 。 最 后 是 架 构 信 息 ， 虽 然 在 别 的 地 方 不 认 为 它 是 一 个 组 件 ， 但 我 认 为 它 是 一 个 组 件 。 这 些 不 是 代 码 ， 但 是 是 一 些 静 态 结 构 告 诉 I D A 一 些 有 用 的 信 息 比 如 寄 存 器 的 名 字 ， 指 令 助 记 符 ， 对 齐 等 等 。 C G E N M e P 的 的 b i n u t i l s （ （ o b j d u m p ） 是 ） 是 C G E N 框 架 机 器 生 成 的 。 框 架 机 器 生 成 的 。 C G E N 试 图 将 编 写 试 图 将 编 写 C P U （ （ a s s e m b l e r s , d i s a s s e m b l e r s , s i m u l a t o r s 等 等 等 ） 的 工 具 抽 象 成 一 些 编 写 等 ） 的 工 具 抽 象 成 一 些 编 写 C P U 的 定 义 。 这 些 定 义 使 用 的 定 义 。 这 些 定 义 使 用 S c h e m e 语 言 对 语 言 对 C P U （ 包 括 硬 件 元 素 ， 指 令 集 ， 操 作 符 等 等 ） （ 包 括 硬 件 元 素 ， 指 令 集 ， 操 作 符 等 等 ） 进 行 描 述 。 进 行 描 述 。 C G E N 为 所 有 需 要 的 C P U 工 具 进 行 定 义 并 输 出 C / C + + 代 码 。 开 始 我 想 绕 开 C G E N 只 是 将 b i n u t i l s 代 码 包 含 到 I D A 模 块 中 。 理 论 上 你 的 模 块 没 有 必 要 依 照 上 面 的 方 法 。 你 可 以 让 分 析 器 记 录 二 进 制 数 据 ， 仿 真 器 什 么 也 不 做 ， 输 出 器 使 用 b u n u t i l s 去 生 成 完 整 的 一 行 然 后 进 行 输 出 。 然 而 这 样 做 的 话 ， 你 本 质 上 并 没 有 使 用 到 I D A 的 强 大 功 能 （ 寻 找 交 叉 引 用 ， 栈 空 间 布 局 等 等 ） 。 没 用 使 用 到 C G E N   C P U 定 义 给 出 的 信 息 也 是 很 可 惜 的 。 理 论 上 这 些 定 义 足 够 强 大 能 够 生 成 R T L 代 码 来 完 成 这 个 过 程 ， 所 以 我 们 会 尽 可 能 的 向 I D A 提 供 信 息 。 C G E N 生 成 器 生 成 器 生 成 器 也 是 用 S c h e m e 语 言 写 的 （ C G E N 的 文 档 将 生 成 器 定 义 为 “ 应 用 ” ） 。 我 之 前 一 行 功 能 代 码 也 没 有 写 过 ， 所 以 我 花 了 一 天 的 时 间 去 理 解 一 个 很 小 的 代 码 库 。 C G E N 自 定 义 了 一 个 叫 做 C O S 的 对 象 系 统 。 C P U 相 关 的 所 有 定 义 都 变 成 了 对 象 ， 并 且 每 个 生 成 器 都 给 这 些 对 象 一 个 输 出 自 己 的 方 法 。 例 如 ： 模 拟 器 会 给 操 作 对 象 一 个 “ 生 成 代 码 来 获 得 值 ” 的 方 法 。 然 后 通 过 指 令 的 语 义 来 生 成 C 代 码 会 用 到 这 个 对 象 的 方 法 。 就 像 一 个 软 件 工 程 师 一 样 ， 我 将 模 拟 器 ， 反 汇 编 器 ， 架 构 描 述 相 关 的 代 码 单 独 分 割 出 来 ， 然 后 写 代 码 将 他 们 整 合 到 一 起 来 生 成 I D A 模 块 的 各 个 组 件 。
分 析 器 作 为 基 础 来 模 拟 指 令 解 码 生 成 器 。 我 必 须 修 改 C G E N 来 记 录 指 令 语 法 中 指 定 操 作 数 的 顺 序 （ 只 有 一 个 地 方 是 修 改 C G E N 自 身 ， 其 他 都 是 添 加 的 ） 。 然 后 我 重 写 了 模 拟 器 从 指 令 中 提 取 操 作 数 的 方 法 来 填 充 I D A 的 ” c m d ” 结 构 （ 需 要 被 指 定 的 操 作 数 ） 。 模 拟 器 使 用 了 模 拟 模 块 生 成 最 基 本 的 信 息 ， 这 是 最 难 写 的 地 方 （ 在 代 码 复 杂 度 方 面 ） 。 主 要 问 题 在 于 当 模 拟 器 生 成 后 期 望 代 码 有 序 运 行 并 存 储 状 态 信 息 ， I D A 的 模 拟 器 并 不 存 储 状 态 信 息 ， 并 且 I D A 无 法 保 证 模 拟 器 像 指 令 描 述 的 那 样 运 行 。 这 意 味 着 我 们 不 能 依 赖 于 状 态 ， 我 们 的 模 拟 器 只 能 基 于 指 令 单 独 运 行 。 由 于 我 们 只 关 心 通 过 模 拟 器 寻 找 数 据 和 代 码 引 用 ， 我 们 可 以 做 如 下 简 化 ： 1 . 任 何 条 件 都 有 可 能 被 剥 离 并 且 所 有 路 径 都 可 能 被 采 用 2 . 使 用 从 寄 存 器 取 出 的 任 何 值 将 会 使 模 拟 器 停 止 并 立 即 返 回 3 . 对 寄 存 器 设 置 任 何 的 值 都 将 会 对 其 值 进 行 评 估 ， 但 是 会 将 结 果 抛 弃 第 一 点 允 许 我 们 不 需 要 条 件 即 可 找 到 引 用 。 举 个 例 子 ， 一 个 条 件 分 支 将 会 允 许 代 码 引 用 被 生 成 。 第 二 点 说 的 是 由 于 我 们 不 知 道 状 态 ， 所 以 任 何 依 赖 于 寄 存 器 值 的 条 件 没 有 被 剔 除 的 话 将 会 使 查 找 引 用 变 得 困 难 。 其 实 我 们 可 以 一 直 使 用 这 个 方 法 来 找 到 偏 移 引 用 ， 但 是 我 们 必 须 知 道 只 有 加 减 法 的 使 用 以 及 单 寄 存 器 的 使 用 会 增 加 复 杂 性 。 第 三 点 允 许 我 们 捕 获 内 存 读 取 的 动 作 。 通 过 这 些 简 化 方 法 ， 我 们 可 以 知 道 在 状 态 未 知 的 情 况 下 找 到 的 任 何 内 存 的 读 写 和 任 何 P C 读 写 都 能 够 被 转 换 成 交 叉 引 用 。 输 出 器 使 用 语 法 分 析 （ b i n u t i l s 的 操 作 码 构 建 器 ） 作 为 基 础 。 它 读 取 指 令 序 列 来 输 出 正 确 的 括 号 序 列 ， 命 令 等 等 。 我 只 是 替 换 了 硬 件 对 象 生 成 输 出 方 法 来 生 成 I D A 输 出 函 数 。 结 果 结 果 在 所 有 基 础 层 级 ， 你 的 生 成 模 块 会 输 出 你 所 预 期 的 跟 o b j d u m p 中 一 样 的 输 出 。 分 析 器 会 找 到 操 作 数 的 正 确 类 型 。 模 拟 器 试 图 找 到 所 有 常 量 地 址 和 加 法 指 令 的 引 用 （ 代 码 引 用 和 数 据 引 用 ） 。 输 出 器 会 输 出 所 有 正 确 的 指 令 ， 如 果 需 要 的 话 还 会 输 出 操 作 数 正 确 的 类 型 / 大 小 / 名 字 。 无 法 正 确 执 行 的 最 主 要 的 东 西 是 没 有 办 法 保 持 对 栈 指 针 的 追 踪 。 另 外 也 没 有 做 到 跳 转 和 调 用 分 支 的 标 识 （ 需 要 C F _ C A L L 标 签 ） 。 也 没 有 办 法 标 识 指 令 如 果 没 有 继 续 执 行 流 的 话 （ 需 要 C F _ S T O P 标 签 ） （ 添 加 这 些 东 西 其 实 是 件 小 事 ， 但 难 点 在 于 将 其 添 加 到 其 他 生 成 器 而 不 引 入 模 拟 器 代 码 。 由 于 人 工 标 识 指 令 很 容 易 ， 所 以 我 决 定 不 实 现 ） 。 使 用 使 用 一 旦 你 生 成 I D A 模 块 组 件 ， 你 仍 然 需 要 人 工 编 写 p r o c e s s o r _ t 结 构 ， 与 n o t i f y ( ) 函 数 相 关 ， 并 且 实 现 特 殊 的 输 出 函 数 （ 按 C P U 定 义 的 来 ） 。 然 后 你 可 以 从 b i n u t i l s 拷 贝 C G E N 头 并 用 I D A   S D K 进 行 编 译 。 将 M e P 模 块 作 为 例 子 。 你 可 以 重 复 大 部 分 未 生 成 的 代 码 （ 只 改 变 一 些 字 符 串 和 常 量 ） 。 如 果 你 在 运 行 过 程 中 碰 到 任 何 问 题 ， 请 联 系 我 。 我 并 没 有 在 M e P 以 外 的 任 何 情 况 下 做 测 试 由 于 我 太 懒 了 ， 但 是 我 希 望 这 个 代 码 能 够 更 通 用 一 些 。
*   原 文 链 接 ： y i f a n . l u ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理