Capstone 初探

Posted by rarnu on 02-15,2020

偶然间发现了 Capstone 这个开源的反汇编工具,对于我这种常和底层打交道的人来说兴趣简直不要太足。经过简单的调查,发现居然连 Hopper Disassembler 这样的工具也是基于 Capstone 开发,于是就必须亲自玩一下了。

当然我很懒,也不想在源码上捣腾了,就直接用最简单的办法来玩吧,首先在 mac 上进行安装并添加环境变量:

$ brew install capstone
$ export DYLD_LIBRARY_PATH=/usr/local/opt/capstone/lib/:$DYLD_LIBRARY_PATH

然后可以安装相应的 SDK,由于我想使用 Kotlin 进行开发,那么就需要自行编译 JVM 的 Binding:

$ curl 'https://github.com/aquynh/capstone/archive/4.0.1.tar.gz' > capstone.tar.gz
$ tar zxf capstone.tar.gz
$ cd capstone/bindings/java
$ make

然后就可以得到一个名为 capstone.jar 的包,这个包即是我们要的 SDK 了,引用之就可以进行开发了。

踩一个坑

由于编译 capstone.jar 需要引用 jna.jar,然而项目里并没有带,所以直接 make 会出错,报告没有 jna.jar 的异常。这个时候我们需要自行下载该 jar 并放到 /usr/local/share/java/jna/ 目录内,当然了,同时要修改 makefile 内的路径:

原始代码:

JNA = /usr/share/java/jna/jna.jar

ifneq ($(wildcard $(JNA)),)
else
  ifneq ($(wildcard /usr/share/java/jna.jar),)
    JNA = /usr/share/java/jna.jar
  else
    JNA =
  endif
endif

修改后:

JNA = /usr/local/share/java/jna/jna.jar

ifneq ($(wildcard $(JNA)),)
else
  ifneq ($(wildcard /usr/local/share/java/jna.jar),)
    JNA = /usr/local/share/java/jna.jar
  else
    JNA =
  endif
endif

这么改是因为 mac 在用户层面对于 /usr/share/ 没有写权限,哪怕是 sudo 也不行,所以必须改去 /usr/local/share/

这样,我们在建立工程时 ,也会同时需要带上 capstone.jarjna.jar 两个依赖,最终项目结构如下:

Project
    |-- lib
    |    |-- capstone.jar
    |    |-- jna.jar
    |-- src
    |    |-- main
    |    |    |-- kotlin
    |    |    |    |-- Main.kt
    |    |    |-- resources
    |-- build.gradle
    |-- gradle.properties
    |-- settings.gradle

按照官方例子,我们可以写一些代码:

val CODE = byteArrayOf(0x55, 0x48, 0x8b.toByte(), 0x05, 0xb8.toByte(), 0x13, 0x00, 0x00)

fun main(args: Array<String>) {
    Capstone(Capstone.CS_ARCH_X86, Capstone.CS_MODE_64)
        .disasm(CODE, 0x1000)
        .forEach {
            println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
        }
}

即可得到打印结果:

0x1000:	push	rbp
0x1001:	mov	rax, qword ptr [rip + 0x13b8]

我们也可以拿一个自己编译的,Android 端的 so 文件来进行尝试,如下:

fun main(args: Array<String>) {
    val code = File("./libsample.so").readBytes()
    Capstone(Capstone.CS_ARCH_ARM, Capstone.CS_MODE_THUMB)
        .disasm(code, 0x1000)
        .forEach {
            println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
        }
}

只需要注意架构的不同,也是可以轻松得到结果的。

非官方文档

由于 Capstone 官方并没有提供详细的文档,对于初学造成了较大的困难,幸好早有大佬整理出了相关的文档,而且还是中文的,参考这份文档就可以事半功倍了(点击进入),向先驱者致敬。