Capstone - The Ultimate Disassembler

Сейчас на форуме: bartolomeo, -Sanchez-, morgot, sashalogout (+5 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . >>

Посл.ответ	Сообщение
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 03 марта 2017 00:47 · Личное сообщение · #1 2 марта 2017 года, была выпущена версия 3.0.5-rc2 дизассемблера Capstone. Предыдущий релиз был в 2015 году. Скачать: www.capstone-engine.org/download.html Компактный пример на питоне: Code: # test1.py 2 from capstone import * 3 4 CODE = b"\x55\x48\x8b\x05\xb8\x13\x00\x00" 5 6 md = Cs(CS_ARCH_X86, CS_MODE_64) 7 for i in md.disasm(CODE, 0x1000): 8 print("0x%x:\t%s\t%s" %(i.address, i.mnemonic, i.op_str)) Запуск и выхлоп: Code: $ python test1.py 0x1000: push rbp 0x1001: mov rax, qword ptr [rip + 0x13b8] Описание изменений: www.capstone-engine.org/changelog.html Version 3.0.5-rc2 March 2, 2017 Release 3.0.5-RC2 is a release candidate version, with important fixes in the core & several bindings. Library Fix build for Visual Studio 2012 Fix X86_REL_ADDR macro Add CS_VERSION_MAJOR, CS_VERSION_MINOR, CS_VERSION_EXTRA Better support for embedding Capstone into Windows kernel drivers Support to embedded Capstone into MacOS kernel Support MacOS 10.11 and up Better support for Cygwin Support build packages for FreeBSD & DragonflyBSD Add a command-line tool "cstool" Properly handle switching to Endian mode at run-time for Arm, Arm64, Mips & Sparc X86 Some random 16-bit code can be handled wrongly. Remove abundant operand type X86_OP_FP Fix instructions MOVQ, LOOP, LOOPE, LOOPNE, CALL/JMP rel16, REPNE LODSD, MOV AX, MOFFS, FAR JMP/CALL Add X86_REG_EFLAGS for STC and STD Fix instruction attributes for SYSEXIT, MOVW, ROL, LGS, SLDT Rename registers ST0-ST7 to be consistent with asm output Arm* Properly handle IT instruction Fix LDRSB Fix writeback for LDR Fix Thumb BigEndian setup Fix arith extender Fix writeback for LDR Rename enum arm64_mrs_reg to arm64_sysreg PowerPC Print 0 offset for memory operand Sparc Fix POPC instruction Python binding Better PyPy support Add __version__ Better support for Python 3 Fix CS_SKIPDATA_CALLBACK prototype Cast skipdata function inside binding to simplify the API Java binding Better handle input with invalid code PowerShell binding New binding ----- EnJoy! \| Сообщение посчитали полезным: Abraham, plutos, oldman, nice, DenCoder

difexacaw Ранг: 337.5 (мудрец), 348thx Активность: 2.11↗2.42 Статус: Участник	Создано: 25 февраля 2018 12:19 · Личное сообщение · #2 Vamit Вы меня походу игнорите, но не в этом суть. Ранее для тестов дизасма длин использовалась железячная фича(страничная ловушка). Только так можно было протестить на стабильность декодер - он крутился часами на рандом буфере, длина сравнивалась с тестируемым декодером. Крутившись в цикле десятки часов, оказалось что викс мотор(Malum) декодирует длину без ошибок. Остальные декодеры данный тест не проходили. ----- vx
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 25 февраля 2018 12:37 · Поправил: Bronco · Личное сообщение · #3 Vamit пишет: но вывод в ГУИ неверный. "зудис_зудис, где_ты_где_ты" в сдк статик либ нет, намёков на апи не заметил пока, или у меня сдк не свежий, в снапе библы зудиса нет, есть парсер в сорцах отладчика. где чего нажать, чтоб зудис проснулся? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Vamit Ранг: 331.1 (мудрец), 561thx Активность: 0.19↘0.06 Статус: Участник	Создано: 25 февраля 2018 12:48 · Личное сообщение · #4 Bronco Там исходники небольшие компилируются сразу в сам дбж. Пока только такой вызов Zydis через командную строку dbg: zydis addr дизасмит инструкцию по указанному адресу и выдает инфу в лог. Но в плаг можно подключить весь Zydis. ----- Everything is relative... \| Сообщение посчитали полезным: Bronco
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 25 февраля 2018 13:08 · Поправил: Bronco · Личное сообщение · #5 Vamit пишет: dbg: zydis addr дас..феньк конечно, но в лог можно было бы и получше оформить, хотя бы так: x64 BTC BX, 0xE7 Code: ++++++( 1 )++++++ 0000000130000023: BTC BX, -0x19 instruction->size : 0x05 byte CS_AC_READ \| CS_AC_WRITE ( 3 ) x86->operands[0].type: X86_OP_REG x86->operands[0].reg : X86_REG_BX x86->operands[0].size: 0x02 byte x86->operands[1].type: X86_OP_IMM x86->operands[1].imm: 0xFFFFFFFFFFFFFFE7 REG WRITE:[0] X86_REG_RFLAGS (0x1b0000000002)\| mak пишет: x64 btc bx,E7 та же самая ебала, ипать это подстава, мигрируем на зудис хз значит надо имм сводит в инт. а что делать с имм где знака нет? add ахах, сюрпрайзы то не все, "BTC BX, -0x19" асмил через фейс дбг, в окне диза "btc bx,E7", куда теперь мигрировать? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 25 февраля 2018 17:58 · Поправил: mak · Личное сообщение · #6 Vamit пишет: а Capstone уже почти год как не обновлялся. Latest commit aeda70f 5 days ago Vamit пишет: !!!ошибка на размере 2го операнда, в итоге берется его значение FFE7 вместо требуемого E7 Мог бы и отписать на гитхаб, с размерами у них почему-то уже годами одинаковые проблемы, вот новый тест на новой длл 5ти дневной давности. x86 - btc bx,E7 Code: cstool -d x32 "66 0F BA FB E7" 0 660fbafbe7 btc bx, -0x19 Prefix:0x00 0x00 0x66 0x00 Opcode:0x0f 0xba 0x00 0x00 rex: 0x0 addr_size: 4 modrm: 0xfb disp: 0x0 sib: 0x0 imm_count: 1 imms[1]: 0xffffffffffffffe7 op_count: 2 operands[0].type: REG = bx operands[0].size: 2 operands[1].type: IMM = 0xffffffffffffffe7 operands[1].size: 2 x64 btc bx,E7 Code: cstool -d x64 "66 0F BA FB E7" 0 660fbafbe7 btc bx, -0x19 Prefix:0x00 0x00 0x66 0x00 Opcode:0x0f 0xba 0x00 0x00 rex: 0x0 addr_size: 8 modrm: 0xfb disp: 0x0 sib: 0x0 imm_count: 1 imms[1]: 0xffffffffffffffe7 op_count: 2 operands[0].type: REG = bx operands[0].size: 2 operands[1].type: IMM = 0xffffffffffffffe7 operands[1].size: 2 Code: \| 6A A7 \| PUSH FFFFFFFFFFFFFFA7 \| \| 68 A7 00 00 00 \| PUSH A7 \| x86 - push FFFFFFA7 Code: cstool -d x32 "6A A7" 0 6aa7 push -0x59 Prefix:0x00 0x00 0x00 0x00 Opcode:0x6a 0x00 0x00 0x00 rex: 0x0 addr_size: 4 modrm: 0x0 disp: 0x0 sib: 0x0 imm_count: 1 imms[1]: 0xffffffffffffffa7 op_count: 1 operands[0].type: IMM = 0xffffffffffffffa7 operands[0].size: 4 Groups: not64bitmode x64 - push FFFFFFA7 Code: cstool -d x64 "6A A7" 0 6aa7 push 0xa7 Prefix:0x00 0x00 0x00 0x00 Opcode:0x6a 0x00 0x00 0x00 rex: 0x0 addr_size: 8 modrm: 0x0 disp: 0x0 sib: 0x0 imm_count: 1 imms[1]: 0xa7 op_count: 1 operands[0].type: IMM = 0xa7 operands[0].size: 1 Groups: mode64 ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Vamit Ранг: 331.1 (мудрец), 561thx Активность: 0.19↘0.06 Статус: Участник	Создано: 25 февраля 2018 20:50 · Личное сообщение · #7 mak пишет: вот новый тест на новой длл 5ти дневной давности Ну практически всё то же самое, как были глюки, так и остались, только на х64 push А7 показывает правильно, но х64 я не смотрел, может там и раньше это работало. ----- Everything is relative...
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 25 февраля 2018 20:50 · Поправил: Bronco · Личное сообщение · #8 Vamit, тут наверное проще свитч тыкнуть при дизе инструкции, чем таблицы мутить, для эмуля больше же и не надо. //исправил, так для кворда не потери данных Code: switch (insn[i].detail->x86.operands->size) { case 1: if ((BYTE)insn[i].detail->x86.operands[1].imm < 0) sprintf(current->instruction->op_str, "%s, -0x%llx", cs_reg_name(handle, current->instruction->detail->x86.operands->reg), -1 * (BYTE)insn[i].detail->x86.operands[1].imm); current->instruction->detail->x86.operands[1].imm = (BYTE)insn[i].detail->x86.operands[1].imm; break; case 2: if ((WORD)insn[i].detail->x86.operands[1].imm < 0) sprintf(current->instruction->op_str, "%s, -0x%llx", cs_reg_name(handle, current->instruction->detail->x86.operands->reg), -1 * (WORD)insn[i].detail->x86.operands[1].imm); current->instruction->detail->x86.operands[1].imm = (WORD)insn[i].detail->x86.operands[1].imm; break; case 4: if ((DWORD)insn[i].detail->x86.operands[1].imm < 0) sprintf(current->instruction->op_str, "%s, -0x%llx", cs_reg_name(handle, current->instruction->detail->x86.operands->reg), -1 * (DWORD)insn[i].detail->x86.operands[1].imm); current->instruction->detail->x86.operands[1].imm = (DWORD)insn[i].detail->x86.operands[1].imm; break; case 8: if (insn[i].detail->x86.operands[1].imm < 0) sprintf(current->instruction->op_str, "%s, -0x%llx", cs_reg_name(handle, current->instruction->detail->x86.operands->reg), -1 * insn[i].detail->x86.operands[1].imm); current->instruction->detail->x86.operands[1].imm = insn[i].detail->x86.operands[1].imm; break; } раньше ксед отказывал в асме, если в оп_стр было отрицательное число без знака (в 16ричном) и вот прикол с асмом, где в инструкции с имм есть знак, я пока не знаю как разруливать. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Vamit Ранг: 331.1 (мудрец), 561thx Активность: 0.19↘0.06 Статус: Участник	Создано: 25 февраля 2018 20:58 · Личное сообщение · #9 Bronco пишет: в окне диза "btc bx,E7", куда теперь мигрировать? Я же говорил что в окно диза выводится Zydis Добавлено спустя 4 минуты Bronco пишет: где в инструкции с имм есть знак, я пока не знаю как разруливать Там ничего делать не нужно, всё работает правильно, т.к. число должно быть sign-extended то так капстон и делает, а размер его тут в принципе не имеет значения, т.к. в любом формате будет правильное значение. ----- Everything is relative...
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 25 февраля 2018 21:04 · Поправил: Bronco · Личное сообщение · #10 Vamit, погоди, тут вздроч какой-то, зудис это диз, а я асемблю, причём сознательно в строке число со знаком,а в листинге дизасма, оно уже без знака. упс...кажется вкурил, для каждого размера операнда свой предел максимального числа без знака. для imm32 = 0x80000000, и тп. add Vamit,зачем так знущаться? BX - это слово, 2 байта. 0хFFE7, это тоже правильный формат, число со знаком. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 12 апреля 2018 14:39 · Поправил: Bronco · Личное сообщение · #11 обратил внимание что при cs_option() диз становиться шибко прожорлив с памятью. что не так делаю? в отладчике сам файл то побольше. выделил листинг на 3,5 мг, это порядка ляма инструкций Code: err = cs_open(CS_ARCH_X86, (cs_mode)MODE, &cs_handle); cs_option(cs_handle, CS_OPT_DETAIL, CS_OPT_ON); count = cs_disasm_ex(cs_handle, (const uint8_t*)selectbin, (size_t)code_size, (int64_t)addr_start, (size_t)0, &insn); после прохода апи, в памяти процесса порядка 2,5 гига. это нормально? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 12 апреля 2018 17:34 · Личное сообщение · #12 Bronco Попробуй в цикле дизасмить меньшими блоками ----- EnJoy!
rmn Ранг: 158.4 (ветеран), 123thx Активность: 0.14↗0.49 Статус: Участник	Создано: 12 апреля 2018 18:47 · Личное сообщение · #13 Bronco пишет: это нормально? Да, он же, вроде, при детальном декодировании в каждую инструкцию чуть ли не из интеловских манов описание копирует.
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 12 апреля 2018 20:05 · Личное сообщение · #14 Jupiter пишет: Попробуй в цикле дизасмить меньшими блоками дык...)) смысл в том, чтобы всё и сразу, выделение кода ведь интерактивное. rmn пишет: при детальном декодировани хз, как то много на 1 инстр, где то 3 кб описания, по самой структуре инстр, так не скажешь. ?ну байткод понятно, но он весь на 3 мега. ?и не уверен, что лям строк на гигабайты потянет. есть опции, но мало описания для них. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
rmn Ранг: 158.4 (ветеран), 123thx Активность: 0.14↗0.49 Статус: Участник	Создано: 12 апреля 2018 20:23 · Личное сообщение · #15 Bronco пишет: по самой структуре инстр, так не скажешь Она не фиксированного размера. Выделяется необходимый буфер, в начале которого находится структура инстр (типа header), а в самой структуре хранятся указатели на данные после структуры. \| Сообщение посчитали полезным: Bronco
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 13 апреля 2018 15:19 · Личное сообщение · #16 rmn пишет: Она не фиксированного размера. мне кажется фиксированного, по энумам видно, макси размер полей. без описалова никуда не деться, но и такой мешок такскать нет желания. млять, надо смотреть что у зудиса с этим. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
rmn Ранг: 158.4 (ветеран), 123thx Активность: 0.14↗0.49 Статус: Участник	Создано: 13 апреля 2018 16:46 · Личное сообщение · #17 Щас глянул - там даже без детальной инфы больше 200 байт на инструкцию выделяется. Code: typedef struct cs_detail { uint8_t regs_read[12]; uint8_t regs_read_count; uint8_t regs_write[20]; uint8_t regs_write_count; uint8_t groups[8]; uint8_t groups_count; union { cs_x86 x86; cs_arm64 arm64; cs_arm arm; cs_mips mips; cs_ppc ppc; cs_sparc sparc; cs_sysz sysz; cs_xcore xcore; }; } cs_detail; typedef struct cs_insn { unsigned int id; uint64_t address; uint16_t size; uint8_t bytes[16]; char mnemonic[32]; char op_str[160]; cs_detail *detail; } cs_insn; Bronco пишет: но и такой мешок такскать нет желания Зато в резюме добавишь модный сейчас пункт - bigdata
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 13 апреля 2018 20:42 · Личное сообщение · #18 rmn пишет: добавишь модный сейчас пункт - bigdata не полегчало.. тотал мигрейшен может выручит, но куда? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
awlost Ранг: 33.8 (посетитель), 11thx Активность: 0.02↘0.01 Статус: Участник	Создано: 14 апреля 2018 07:58 · Личное сообщение · #19 Bronco, используйте Code: bool CAPSTONE_API cs_disasm_iter(csh handle, const uint8_t *code, size_t size,uint64_t address, cs_insn insn); размещая cs_insn, cs_detail на стеке. Затем, если необходимо, конвертируйте в свои структуры, избавляясь от массивов \| Сообщение посчитали полезным: Bronco
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 14 апреля 2018 08:47 · Личное сообщение · #20 awlost пишет: избавляясь от массивов феньк, мешок таскать не надо, уже хорошо, а структуру распишем ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 14 апреля 2018 21:54 · Личное сообщение · #21 Bronco, я же тебе ровно то же самое предложил в #12 ) Jupiter пишет: Попробуй в цикле дизасмить меньшими блоками ----- EnJoy!
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 14 апреля 2018 22:07 · Личное сообщение · #22 Jupiter,сорян, я то понял буквально, а про эту апи забыл, как то пробовал её в цикле, вроде по одной инструкции можно юзать, это дольше, но мешка такого нет.. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 18 апреля 2018 04:56 · Личное сообщение · #23 awlost пишет: конвертируйте в свои структуры памяти реально раз в 5 меньше, но... хз почему, но в связке с опциями не очень стабильна. на последней инструкции, при выходе из цикла, у меня "ломается", всё детальное описание в списке. без конверта в свои структуры по ходу никак. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
RoKZaR Ранг: 14.3 (новичок), 5thx Активность: 0.07↘0 Статус: Участник	Создано: 18 апреля 2018 09:05 · Личное сообщение · #24 Здравствуйте) Возможно не слишком по теме, но как прикрутить этот диз к x64dbg? И стоит ли это того?
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 18 апреля 2018 09:14 · Личное сообщение · #25 RoKZaR пишет: но как прикрутить этот диз к x64dbg? Оформить в виде плагина... ----- IZ.RU
RoKZaR Ранг: 14.3 (новичок), 5thx Активность: 0.07↘0 Статус: Участник	Создано: 18 апреля 2018 09:27 · Личное сообщение · #26 Это я понял. Вопрос как реализовать?
dsrabot1 Ранг: 9.0 (гость), 6thx Активность: 0.03↘0.02 Статус: Участник	Создано: 18 апреля 2018 10:18 · Личное сообщение · #27 RoKZaR пишет: как прикрутить этот диз к x64dbg Так он же там по дефолту используется в качестве дизасм-двига, не ? Или что изменилось ?!
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 18 апреля 2018 10:20 · Личное сообщение · #28 Да вот интересно - зачем его прикручивать, если на странице x64Dbg он уже там? Во Features прописан как Fast disassembler (Capstone) Добавлено спустя 2 минуты Хотя из билдов вроде как он удалён (Remove capstone) ----- IZ.RU
dsrabot1 Ранг: 9.0 (гость), 6thx Активность: 0.03↘0.02 Статус: Участник	Создано: 18 апреля 2018 10:29 · Личное сообщение · #29 DenCoder пишет: Во Features прописан как Fast disassembler (Capstone) Беда, только что спросил в телеге, ответили, что используется Zydis: _ttps://github.com/zyantific/zydis
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 18 апреля 2018 13:32 · Личное сообщение · #30 RoKZaR пишет: И стоит ли это того? по морде экспорта диз прост до безобразия, как и все разработки этого автора. слабые места, память при больших объёмах и детальном описании, и имм. возможно из-за этого из проекта отладчика с месяц как снесли. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
RoKZaR Ранг: 14.3 (новичок), 5thx Активность: 0.07↘0 Статус: Участник	Создано: 18 апреля 2018 13:34 · Личное сообщение · #31 В этом и проблема. Почему нельзя выбрать Диз который хочется? Хочется испытать и выбрать для себя подходящий.

<< . 1 . 2 . 3 . 4 . 5 . >>

Для печати