1. 从一行C代码到一堆汇编指令反汇编到底在干什么很多人第一次接触“反汇编”这个词脑子里浮现的画面大概是电影里黑客盯着一屏绿色字符飞速滚动的场景。但真到自己动手把一段C代码编译出来再用工具打开看到满屏的mov、push、call、jmp第一反应往往是——这都什么跟什么我刚开始学的时候也一样。写了个最简单的int add(int a, int b){ return ab; }编译完丢进反汇编工具里出来十几行指令当时就懵了明明一行代码怎么变成这么多东西后来才慢慢想明白一件事C语言是给人看的汇编是给机器看的反汇编就是把机器执行的东西翻译回人能勉强看懂的形式。这个“勉强看懂”很关键——反汇编出来的结果不是原始C代码它没有变量名、没有函数名除非保留了符号表、没有注释只有寄存器和内存地址在来回倒腾。那学这个有什么用我总结下来大概是三类人需要做底层开发或嵌入式的人有时候编译器生成的代码和你写的不一样你得知道它到底干了什么尤其是涉及硬件寄存器操作、中断处理的时候。搞安全分析的人拿到一个没有源码的可执行文件想搞清楚它的逻辑反汇编是绕不开的基本功。想真正理解C语言的人指针、数组、函数调用、栈帧这些概念光看书是隔了一层纱的看一眼汇编就全通了。这篇文章面向的是零基础想入门反汇编的读者。不需要你懂汇编指令集也不需要你有多深的C语言功底只要能写简单的C程序就行。我会从最基础的工具准备讲起一步步带你走完“写C代码→编译→反汇编→读懂关键指令”的完整流程中间穿插我自己踩过的坑和总结出来的实用技巧。注意本文所有操作均在合法合规的前提下进行仅用于学习C语言底层原理和程序分析方法。请勿将相关技术用于任何未经授权的场景。2. 动手之前先把家伙什备齐工具链选择与环境搭建2.1 编译器选什么gcc还是clang反汇编的第一步是得有个编译出来的二进制文件。Linux下最常用的就是gccmacOS上默认是clangWindows上可以用MinGW或者WSL。我个人的建议是如果你刚开始学直接用Linux环境或者WSL用gcc。原因很简单gcc的反汇编输出格式比较规整网上资料也最多遇到问题容易搜到答案。clang的优化策略和gcc有差异生成的汇编风格也不太一样初学阶段容易给自己增加困惑。安装gcc在大多数Linux发行版上就是一行命令的事# Debian/Ubuntu系 sudo apt install gcc binutils # Red Hat/Fedora系 sudo dnf install gcc binutils这里注意binutils这个包里面包含了后面要用的objdump和readelf工具别只装gcc就完事了。2.2 反汇编工具objdump、gdb和objdump的替代品反汇编工具的选择其实比编译器更多样常用的有这几个工具特点适合场景objdumpbinutils自带命令行操作输出格式清晰静态分析快速查看gdb调试器支持动态反汇编运行时分析配合断点readelf查看ELF文件结构分析节区、符号表nm查看符号表快速定位函数地址初学阶段我强烈建议从objdump开始。它的用法非常直接# 基本反汇编 objdump -d a.out # 带源码混合显示编译时需要-g选项 objdump -d -S a.out # 显示所有节区内容 objdump -D a.out-d和-D的区别值得说一下-d只反汇编包含指令的节区通常是.text-D会反汇编所有节区包括数据段。初学的时候用-d就够了-D出来的东西太多反而干扰。-S这个选项非常有用它会把源代码和汇编指令交错显示前提是编译时加了-g选项保留了调试信息。对于理解“哪行C代码对应哪些汇编指令”来说这个功能简直是救命稻草。2.3 编译选项怎么选-O0、-O2和-g的取舍编译选项直接决定了你看到的汇编代码长什么样。这里有个新手很容易踩的坑默认编译出来的汇编和你想象的可能完全不一样。# 推荐的学习用编译方式 gcc -O0 -g -o test test.c # 发布版本常用的优化方式 gcc -O2 -o test test.c-O0表示关闭优化编译器会老老实实地按照你写的C代码逐句翻译生成的汇编最接近源码逻辑。-O2是常用的优化级别编译器会做大量改写——比如把循环展开、把变量直接放进寄存器、消除“无用”代码等等。我建议初学阶段一律用-O0 -g等你对基本的汇编模式熟悉了再去对比-O2的输出看看编译器到底做了哪些优化。这个对比过程本身就是一个非常好的学习方式。提示如果你在macOS上操作gcc实际上是clang的别名编译选项需要用-O0和-g是一样的但反汇编工具要用otool而不是objdump。为了避免混淆建议初学阶段统一在Linux环境下操作。3. 拿一段最简单的C代码开刀从源码到汇编的完整映射3.1 先写一个“最小可分析”的C程序分析用的C代码不能太复杂否则一上来就被大量指令淹没但也不能太简单否则什么都看不出来。我一般推荐从下面这个程序开始#include stdio.h int add(int a, int b) { int sum a b; return sum; } int main() { int x 3; int y 5; int result add(x, y); printf(result %d\n, result); return 0; }这个程序包含了几个关键要素一个自定义函数add、函数调用过程、局部变量、参数传递、标准库函数调用。麻雀虽小五脏俱全分析它能覆盖大部分基础概念。编译命令gcc -O0 -g -o demo demo.c3.2 用objdump把二进制“拆开”看编译完之后先用objdump -d看看整体objdump -d demo | head -80输出会很长因为链接进来的标准库代码也在一起。我们只关心自己写的两个函数add和main。可以用objdump配合grep来定位objdump -d demo | grep -A 20 add: objdump -d demo | grep -A 40 main:先看add函数的反汇编结果不同编译器版本可能略有差异但结构一致0000000000001139 add: 1139: 55 push %rbp 113a: 48 89 e5 mov %rsp,%rbp 113d: 89 7d fc mov %edi,-0x4(%rbp) 1140: 89 75 f8 mov %esi,-0x8(%rbp) 1143: 8b 55 fc mov -0x4(%rbp),%edx 1146: 8b 45 f8 mov -0x8(%rbp),%eax 1149: 01 d0 add %edx,%eax 114b: 89 45 f4 mov %eax,-0xc(%rbp) 114e: 8b 45 f4 mov -0xc(%rbp),%eax 1151: 5d pop %rbp 1152: c3 ret第一次看这段代码信息量确实有点大。我们一行一行拆解。3.3 逐行拆解add函数的汇编指令前两行是所有函数的“标准开场”push %rbp ; 把调用者的栈基址压入栈 mov %rsp,%rbp ; 把当前栈顶设为新的栈基址这两行的作用是建立当前函数的栈帧。你可以把栈想象成一摞盘子rbp是这摞盘子的“基准位置”rsp是当前最上面那个盘子的位置。每次进入一个新函数都要先保存旧的基准位置再设定新的基准位置。函数返回时再恢复回去。接下来两行是参数处理mov %edi,-0x4(%rbp) ; 把第一个参数a存到栈上 mov %esi,-0x8(%rbp) ; 把第二个参数b存到栈上这里涉及一个关键知识点x86-64架构下函数的前六个整型参数是通过寄存器传递的依次是rdi、rsi、rdx、rcx、r8、r9。edi和esi分别是rdi和rsi的低32位因为int是32位的。在-O0下编译器会把寄存器里的参数立刻存到栈上因为栈上的位置是“稳定”的后续操作更方便。如果开了优化这些存储操作很可能被省略参数会一直留在寄存器里。然后是实际的加法运算mov -0x4(%rbp),%edx ; 把a从栈读到edx mov -0x8(%rbp),%eax ; 把b从栈读到eax add %edx,%eax ; eax eax edx结果存在eax mov %eax,-0xc(%rbp) ; 把结果存到sum变量注意add %edx,%eax这条指令在ATT格式的汇编中源操作数在前目的操作数在后。所以这条指令的意思是eax eax edx结果放在eax里。这一点和Intel格式正好相反初学者非常容易搞混。最后是返回值处理mov -0xc(%rbp),%eax ; 把sum读到eax pop %rbp ; 恢复调用者的栈基址 ret ; 返回x86-64下函数的返回值放在eax寄存器里。所以最后一步必须把计算结果放到eax调用者才能拿到返回值。3.4 栈帧布局为什么偏移量都是负数你可能注意到了所有栈上的变量访问都是-0x4(%rbp)、-0x8(%rbp)这种负数偏移。这是因为栈是从高地址向低地址增长的。rbp指向栈帧的“底部”高地址局部变量分配在rbp以下的位置所以偏移量是负的。具体到add函数栈帧布局大致是这样的地址偏移内容对应变量rbp8返回地址调用时自动压入rbp保存的旧rbppush %rbprbp-4参数aint arbp-8参数bint brbp-12局部变量sumint sum这个布局在-O0下非常典型。理解了它后面看更复杂的函数也就是在这个基础上叠加。4. 函数调用背后的栈操作main函数里藏着什么4.1 main函数的完整反汇编看完add再看main会发现多了不少东西000000000000114e main: 114e: 55 push %rbp 114f: 48 89 e5 mov %rsp,%rbp 1152: 48 83 ec 10 sub $0x10,%rsp 1156: c7 45 fc 03 00 00 00 movl $0x3,-0x4(%rbp) 115d: c7 45 f8 05 00 00 00 movl $0x5,-0x8(%rbp) 1164: 8b 55 f8 mov -0x8(%rbp),%edx 1167: 8b 45 fc mov -0x4(%rbp),%eax 116a: 89 d6 mov %edx,%esi 116c: 89 c7 mov %eax,%edi 116e: e8 c6 ff ff ff call 1139 add 1173: 89 45 f4 mov %eax,-0xc(%rbp) 1176: 8b 45 f4 mov -0xc(%rbp),%eax 1179: 89 c6 mov %eax,%esi 117b: 48 8d 3d 82 0e 00 00 lea 0xe82(%rip),%rdi 1182: b8 00 00 00 00 mov $0x0,%eax 1187: e8 c4 fe ff ff call 1139 printfplt 118c: b8 00 00 00 00 mov $0x0,%eax 1191: c9 leave 1192: c3 ret4.2 栈空间分配sub $0x10,%rsp在做什么第三行sub $0x10,%rsp是main函数特有的——它在栈上预留了16个字节的空间给局部变量。为什么是16而不是12因为x86-64的栈要求16字节对齐编译器会凑整到16的倍数。main函数有三个int局部变量x、y、result一共12字节但编译器分配了16字节。多出来的4字节是填充不浪费什么但保证了栈指针对齐。4.3 参数传递寄存器edi、esi是怎么用的看这几行mov -0x8(%rbp),%edx ; edx y mov -0x4(%rbp),%eax ; eax x mov %edx,%esi ; esi y第二个参数 mov %eax,%edi ; edi x第一个参数 call 1139 add这里有个细节值得注意参数传递的顺序和C源码里写的顺序是一致的——x是第一个参数放ediy是第二个参数放esi。但编译器在读取栈上变量的时候先读了y再读x这只是编译器的调度策略不影响最终结果。call指令做了两件事把当前指令的下一条地址也就是返回地址压入栈然后跳转到目标函数。add函数执行完ret之后CPU会从栈上弹出返回地址回到call的下一条指令继续执行。4.4 printf调用里的eax0是什么讲究看printf调用之前mov $0x0,%eax call printfplt这个eax0不是随便写的。x86-64的调用约定规定调用可变参数函数时al寄存器要存放传递给该函数的向量寄存器数量。printf是可变参数函数这里没有传浮点数所以al设为0。如果不遵守这个约定在某些情况下会导致程序崩溃。这个细节很多教程不会提但你在实际分析中一定会遇到。看到call之前有mov $0x0,%eax基本就是在调用printf或scanf这类可变参数函数。4.5 leave指令函数收尾的快捷方式main函数结尾用了leave指令它等价于mov %rbp,%rsp ; 把栈顶恢复到栈基址 pop %rbp ; 恢复调用者的栈基址而add函数结尾是分开写的pop %rbp没有用leave。两种写法效果一样编译器在不同场景下会选择不同的形式。leave更紧凑但需要rsp和rbp的关系是标准的栈帧结构。5. 优化开关一拨汇编全变了-O2下的世界5.1 同样的代码用-O2编译会怎样把之前的代码用-O2重新编译gcc -O2 -g -o demo_o2 demo.c objdump -d demo_o2 | grep -A 20 add:add函数的反汇编结果变成了这样0000000000001040 add: 1040: 8d 04 37 lea (%rdi,%rsi,1),%eax 1043: c3 ret就两条指令。lea指令本来是用于计算内存地址的但编译器经常拿它来做加法——lea (%rdi,%rsi,1),%eax的意思就是eax rdi rsi * 1也就是a b。然后直接ret返回。栈帧没了参数存储没了局部变量也没了。编译器看穿了整个函数的逻辑把它压缩到了极致。5.2 编译器做了哪些“手脚”对比-O0和-O2的输出可以清楚地看到编译器做了这些优化寄存器分配参数和局部变量不再存到栈上而是尽可能留在寄存器里。常量折叠如果参数是编译期已知的常量直接在编译时算出结果。函数内联对于短小的函数编译器可能直接把它展开到调用处连call都省了。死代码消除如果某个计算结果没有被使用相关指令会被直接删掉。在main函数里-O2下add的调用很可能被完全内联你甚至找不到独立的add函数了。5.3 学反汇编为什么要从-O0开始看到这里你应该明白了-O2下的汇编虽然更“高效”但对初学者来说几乎无法和源码对应。编译器把代码改得面目全非你根本看不出哪条指令对应哪个变量。所以我的建议是先用-O0把基本的栈帧结构、参数传递、返回值处理搞清楚。然后用-O2对比看看编译器做了哪些优化。最后尝试在-O2下反推源码逻辑——这是真正的实战能力。这个过程就像学外语先学标准发音和语法再去听母语者的日常对话最后才能听懂快速口语。6. 反汇编实战中容易踩的坑和排查思路6.1 ATT格式和Intel格式的切换前面提到过objdump默认输出ATT格式的汇编源操作数在前、目的操作数在后。如果你更习惯Intel格式目的操作数在前可以用-M intel选项objdump -d -M intel demo输出就变成了mov edx, DWORD PTR [rbp-0x4] mov eax, DWORD PTR [rbp-0x8] add eax, edx两种格式没有优劣之分但看网上资料的时候一定要注意作者用的是哪种格式否则很容易把加法方向搞反。6.2 符号表被strip了怎么办如果二进制文件被strip过发布版本通常会这么做objdump -d出来的函数名就全变成了地址没有add、main这样的标签。这时候分析难度会大幅上升。应对方法有几个用nm或readelf -s看看还有没有保留的符号。从main函数的特征入手——main通常是被__libc_start_main调用的可以通过查找call指令的交叉引用来定位。结合字符串常量来定位关键函数比如printf的格式字符串。6.3 动态链接库函数的识别在反汇编输出里你会看到call 1139 printfplt这样的写法。plt表示这是通过PLTProcedure Linkage Table进行的动态链接调用。第一次调用时PLT会跳转到动态链接器去解析真正的函数地址之后就直接跳转了。分析的时候不需要深究PLT的机制只要知道plt后缀表示这是一个外部函数调用就行。常见的还有gotGlobal Offset Table用于访问全局变量。6.4 一个实用的排查技巧从字符串反推逻辑拿到一个不熟悉的二进制文件不知道从哪下手的时候我常用的一个技巧是先看字符串strings demo | head -30字符串常量往往能透露程序的功能——比如错误提示、格式字符串、文件名等等。找到关键字符串之后再用objdump搜索引用该字符串的指令就能定位到关键代码区域。# 假设字符串在地址0x2004 objdump -d demo | grep 2004这个方法在分析没有符号信息的二进制时特别管用。7. 从看懂到会用反汇编技能的进阶方向7.1 用gdb做动态反汇编objdump是静态分析工具它只能看编译后的结果。如果你想在程序运行过程中观察寄存器和栈的变化就需要用gdbgdb ./demo (gdb) break add (gdb) run (gdb) disassemble (gdb) info registers (gdb) x/8x $rspdisassemble命令可以反汇编当前函数info registers查看所有寄存器的值x/8x $rsp以十六进制查看栈顶的8个字节。配合单步执行si命令可以一条指令一条指令地跟踪程序执行流程。7.2 分析循环和条件分支基础的函数调用搞明白之后下一步就是分析循环和条件分支。C语言里的if-else通常对应cmp加条件跳转指令je、jne、jg、jl等for和while循环则对应条件跳转加jmp回跳。// 示例一个简单的循环 int sum 0; for (int i 0; i 10; i) { sum i; }对应的汇编里你会看到cmp、jl跳转如果小于、add、jmp这些指令的组合。识别出循环的模式之后分析起来就快多了。7.3 数组和指针的汇编表示数组和指针在汇编层面的表现也很有规律。数组访问通常表现为基址加索引的寻址方式mov -0x20(%rbp,%rax,4),%eax ; 访问int数组的第rax个元素这里的%rax,4表示索引乘以4因为int是4字节。指针的解引用则表现为mov (%rax),%eax这种形式——从rax指向的地址读取值。理解了这些模式你就能在汇编代码里“认出”对应的C语言结构。7.4 推荐的学习路径和练习方法最后说一下我自己的学习路径供参考第一周用-O0编译各种简单函数加法、条件判断、循环对照源码逐行看汇编。第二周学习使用gdb动态调试观察寄存器和栈的变化。第三周对比-O0和-O2的输出理解编译器的优化策略。第四周尝试分析没有源码的小程序从main函数入手逐步还原逻辑。练习材料可以从自己写的代码开始然后尝试分析一些开源的小工具。关键是不要贪多一个函数一个函数地啃啃透了再往下走。我在实际分析中最大的体会是反汇编不是“读”出来的是“猜”出来再验证的。你先根据指令模式猜出大概的逻辑然后用gdb跑一遍验证你的猜测。猜错了就修正猜对了就继续。这个过程反复几十次之后你看汇编代码的速度会有质的飞跃。另外一个小技巧遇到不认识的指令不要急着去查手册。先看它操作了哪些寄存器、影响了哪些标志位结合上下文猜它的作用然后再去验证。这样学到的指令记忆更深刻比死记硬背指令表有效得多。
1. 从一行C代码到一堆汇编指令反汇编到底在干什么很多人第一次接触“反汇编”这个词脑子里浮现的画面大概是电影里黑客盯着一屏绿色字符飞速滚动的场景。但真到自己动手把一段C代码编译出来再用工具打开看到满屏的mov、push、call、jmp第一反应往往是——这都什么跟什么我刚开始学的时候也一样。写了个最简单的int add(int a, int b){ return ab; }编译完丢进反汇编工具里出来十几行指令当时就懵了明明一行代码怎么变成这么多东西后来才慢慢想明白一件事C语言是给人看的汇编是给机器看的反汇编就是把机器执行的东西翻译回人能勉强看懂的形式。这个“勉强看懂”很关键——反汇编出来的结果不是原始C代码它没有变量名、没有函数名除非保留了符号表、没有注释只有寄存器和内存地址在来回倒腾。那学这个有什么用我总结下来大概是三类人需要做底层开发或嵌入式的人有时候编译器生成的代码和你写的不一样你得知道它到底干了什么尤其是涉及硬件寄存器操作、中断处理的时候。搞安全分析的人拿到一个没有源码的可执行文件想搞清楚它的逻辑反汇编是绕不开的基本功。想真正理解C语言的人指针、数组、函数调用、栈帧这些概念光看书是隔了一层纱的看一眼汇编就全通了。这篇文章面向的是零基础想入门反汇编的读者。不需要你懂汇编指令集也不需要你有多深的C语言功底只要能写简单的C程序就行。我会从最基础的工具准备讲起一步步带你走完“写C代码→编译→反汇编→读懂关键指令”的完整流程中间穿插我自己踩过的坑和总结出来的实用技巧。注意本文所有操作均在合法合规的前提下进行仅用于学习C语言底层原理和程序分析方法。请勿将相关技术用于任何未经授权的场景。2. 动手之前先把家伙什备齐工具链选择与环境搭建2.1 编译器选什么gcc还是clang反汇编的第一步是得有个编译出来的二进制文件。Linux下最常用的就是gccmacOS上默认是clangWindows上可以用MinGW或者WSL。我个人的建议是如果你刚开始学直接用Linux环境或者WSL用gcc。原因很简单gcc的反汇编输出格式比较规整网上资料也最多遇到问题容易搜到答案。clang的优化策略和gcc有差异生成的汇编风格也不太一样初学阶段容易给自己增加困惑。安装gcc在大多数Linux发行版上就是一行命令的事# Debian/Ubuntu系 sudo apt install gcc binutils # Red Hat/Fedora系 sudo dnf install gcc binutils这里注意binutils这个包里面包含了后面要用的objdump和readelf工具别只装gcc就完事了。2.2 反汇编工具objdump、gdb和objdump的替代品反汇编工具的选择其实比编译器更多样常用的有这几个工具特点适合场景objdumpbinutils自带命令行操作输出格式清晰静态分析快速查看gdb调试器支持动态反汇编运行时分析配合断点readelf查看ELF文件结构分析节区、符号表nm查看符号表快速定位函数地址初学阶段我强烈建议从objdump开始。它的用法非常直接# 基本反汇编 objdump -d a.out # 带源码混合显示编译时需要-g选项 objdump -d -S a.out # 显示所有节区内容 objdump -D a.out-d和-D的区别值得说一下-d只反汇编包含指令的节区通常是.text-D会反汇编所有节区包括数据段。初学的时候用-d就够了-D出来的东西太多反而干扰。-S这个选项非常有用它会把源代码和汇编指令交错显示前提是编译时加了-g选项保留了调试信息。对于理解“哪行C代码对应哪些汇编指令”来说这个功能简直是救命稻草。2.3 编译选项怎么选-O0、-O2和-g的取舍编译选项直接决定了你看到的汇编代码长什么样。这里有个新手很容易踩的坑默认编译出来的汇编和你想象的可能完全不一样。# 推荐的学习用编译方式 gcc -O0 -g -o test test.c # 发布版本常用的优化方式 gcc -O2 -o test test.c-O0表示关闭优化编译器会老老实实地按照你写的C代码逐句翻译生成的汇编最接近源码逻辑。-O2是常用的优化级别编译器会做大量改写——比如把循环展开、把变量直接放进寄存器、消除“无用”代码等等。我建议初学阶段一律用-O0 -g等你对基本的汇编模式熟悉了再去对比-O2的输出看看编译器到底做了哪些优化。这个对比过程本身就是一个非常好的学习方式。提示如果你在macOS上操作gcc实际上是clang的别名编译选项需要用-O0和-g是一样的但反汇编工具要用otool而不是objdump。为了避免混淆建议初学阶段统一在Linux环境下操作。3. 拿一段最简单的C代码开刀从源码到汇编的完整映射3.1 先写一个“最小可分析”的C程序分析用的C代码不能太复杂否则一上来就被大量指令淹没但也不能太简单否则什么都看不出来。我一般推荐从下面这个程序开始#include stdio.h int add(int a, int b) { int sum a b; return sum; } int main() { int x 3; int y 5; int result add(x, y); printf(result %d\n, result); return 0; }这个程序包含了几个关键要素一个自定义函数add、函数调用过程、局部变量、参数传递、标准库函数调用。麻雀虽小五脏俱全分析它能覆盖大部分基础概念。编译命令gcc -O0 -g -o demo demo.c3.2 用objdump把二进制“拆开”看编译完之后先用objdump -d看看整体objdump -d demo | head -80输出会很长因为链接进来的标准库代码也在一起。我们只关心自己写的两个函数add和main。可以用objdump配合grep来定位objdump -d demo | grep -A 20 add: objdump -d demo | grep -A 40 main:先看add函数的反汇编结果不同编译器版本可能略有差异但结构一致0000000000001139 add: 1139: 55 push %rbp 113a: 48 89 e5 mov %rsp,%rbp 113d: 89 7d fc mov %edi,-0x4(%rbp) 1140: 89 75 f8 mov %esi,-0x8(%rbp) 1143: 8b 55 fc mov -0x4(%rbp),%edx 1146: 8b 45 f8 mov -0x8(%rbp),%eax 1149: 01 d0 add %edx,%eax 114b: 89 45 f4 mov %eax,-0xc(%rbp) 114e: 8b 45 f4 mov -0xc(%rbp),%eax 1151: 5d pop %rbp 1152: c3 ret第一次看这段代码信息量确实有点大。我们一行一行拆解。3.3 逐行拆解add函数的汇编指令前两行是所有函数的“标准开场”push %rbp ; 把调用者的栈基址压入栈 mov %rsp,%rbp ; 把当前栈顶设为新的栈基址这两行的作用是建立当前函数的栈帧。你可以把栈想象成一摞盘子rbp是这摞盘子的“基准位置”rsp是当前最上面那个盘子的位置。每次进入一个新函数都要先保存旧的基准位置再设定新的基准位置。函数返回时再恢复回去。接下来两行是参数处理mov %edi,-0x4(%rbp) ; 把第一个参数a存到栈上 mov %esi,-0x8(%rbp) ; 把第二个参数b存到栈上这里涉及一个关键知识点x86-64架构下函数的前六个整型参数是通过寄存器传递的依次是rdi、rsi、rdx、rcx、r8、r9。edi和esi分别是rdi和rsi的低32位因为int是32位的。在-O0下编译器会把寄存器里的参数立刻存到栈上因为栈上的位置是“稳定”的后续操作更方便。如果开了优化这些存储操作很可能被省略参数会一直留在寄存器里。然后是实际的加法运算mov -0x4(%rbp),%edx ; 把a从栈读到edx mov -0x8(%rbp),%eax ; 把b从栈读到eax add %edx,%eax ; eax eax edx结果存在eax mov %eax,-0xc(%rbp) ; 把结果存到sum变量注意add %edx,%eax这条指令在ATT格式的汇编中源操作数在前目的操作数在后。所以这条指令的意思是eax eax edx结果放在eax里。这一点和Intel格式正好相反初学者非常容易搞混。最后是返回值处理mov -0xc(%rbp),%eax ; 把sum读到eax pop %rbp ; 恢复调用者的栈基址 ret ; 返回x86-64下函数的返回值放在eax寄存器里。所以最后一步必须把计算结果放到eax调用者才能拿到返回值。3.4 栈帧布局为什么偏移量都是负数你可能注意到了所有栈上的变量访问都是-0x4(%rbp)、-0x8(%rbp)这种负数偏移。这是因为栈是从高地址向低地址增长的。rbp指向栈帧的“底部”高地址局部变量分配在rbp以下的位置所以偏移量是负的。具体到add函数栈帧布局大致是这样的地址偏移内容对应变量rbp8返回地址调用时自动压入rbp保存的旧rbppush %rbprbp-4参数aint arbp-8参数bint brbp-12局部变量sumint sum这个布局在-O0下非常典型。理解了它后面看更复杂的函数也就是在这个基础上叠加。4. 函数调用背后的栈操作main函数里藏着什么4.1 main函数的完整反汇编看完add再看main会发现多了不少东西000000000000114e main: 114e: 55 push %rbp 114f: 48 89 e5 mov %rsp,%rbp 1152: 48 83 ec 10 sub $0x10,%rsp 1156: c7 45 fc 03 00 00 00 movl $0x3,-0x4(%rbp) 115d: c7 45 f8 05 00 00 00 movl $0x5,-0x8(%rbp) 1164: 8b 55 f8 mov -0x8(%rbp),%edx 1167: 8b 45 fc mov -0x4(%rbp),%eax 116a: 89 d6 mov %edx,%esi 116c: 89 c7 mov %eax,%edi 116e: e8 c6 ff ff ff call 1139 add 1173: 89 45 f4 mov %eax,-0xc(%rbp) 1176: 8b 45 f4 mov -0xc(%rbp),%eax 1179: 89 c6 mov %eax,%esi 117b: 48 8d 3d 82 0e 00 00 lea 0xe82(%rip),%rdi 1182: b8 00 00 00 00 mov $0x0,%eax 1187: e8 c4 fe ff ff call 1139 printfplt 118c: b8 00 00 00 00 mov $0x0,%eax 1191: c9 leave 1192: c3 ret4.2 栈空间分配sub $0x10,%rsp在做什么第三行sub $0x10,%rsp是main函数特有的——它在栈上预留了16个字节的空间给局部变量。为什么是16而不是12因为x86-64的栈要求16字节对齐编译器会凑整到16的倍数。main函数有三个int局部变量x、y、result一共12字节但编译器分配了16字节。多出来的4字节是填充不浪费什么但保证了栈指针对齐。4.3 参数传递寄存器edi、esi是怎么用的看这几行mov -0x8(%rbp),%edx ; edx y mov -0x4(%rbp),%eax ; eax x mov %edx,%esi ; esi y第二个参数 mov %eax,%edi ; edi x第一个参数 call 1139 add这里有个细节值得注意参数传递的顺序和C源码里写的顺序是一致的——x是第一个参数放ediy是第二个参数放esi。但编译器在读取栈上变量的时候先读了y再读x这只是编译器的调度策略不影响最终结果。call指令做了两件事把当前指令的下一条地址也就是返回地址压入栈然后跳转到目标函数。add函数执行完ret之后CPU会从栈上弹出返回地址回到call的下一条指令继续执行。4.4 printf调用里的eax0是什么讲究看printf调用之前mov $0x0,%eax call printfplt这个eax0不是随便写的。x86-64的调用约定规定调用可变参数函数时al寄存器要存放传递给该函数的向量寄存器数量。printf是可变参数函数这里没有传浮点数所以al设为0。如果不遵守这个约定在某些情况下会导致程序崩溃。这个细节很多教程不会提但你在实际分析中一定会遇到。看到call之前有mov $0x0,%eax基本就是在调用printf或scanf这类可变参数函数。4.5 leave指令函数收尾的快捷方式main函数结尾用了leave指令它等价于mov %rbp,%rsp ; 把栈顶恢复到栈基址 pop %rbp ; 恢复调用者的栈基址而add函数结尾是分开写的pop %rbp没有用leave。两种写法效果一样编译器在不同场景下会选择不同的形式。leave更紧凑但需要rsp和rbp的关系是标准的栈帧结构。5. 优化开关一拨汇编全变了-O2下的世界5.1 同样的代码用-O2编译会怎样把之前的代码用-O2重新编译gcc -O2 -g -o demo_o2 demo.c objdump -d demo_o2 | grep -A 20 add:add函数的反汇编结果变成了这样0000000000001040 add: 1040: 8d 04 37 lea (%rdi,%rsi,1),%eax 1043: c3 ret就两条指令。lea指令本来是用于计算内存地址的但编译器经常拿它来做加法——lea (%rdi,%rsi,1),%eax的意思就是eax rdi rsi * 1也就是a b。然后直接ret返回。栈帧没了参数存储没了局部变量也没了。编译器看穿了整个函数的逻辑把它压缩到了极致。5.2 编译器做了哪些“手脚”对比-O0和-O2的输出可以清楚地看到编译器做了这些优化寄存器分配参数和局部变量不再存到栈上而是尽可能留在寄存器里。常量折叠如果参数是编译期已知的常量直接在编译时算出结果。函数内联对于短小的函数编译器可能直接把它展开到调用处连call都省了。死代码消除如果某个计算结果没有被使用相关指令会被直接删掉。在main函数里-O2下add的调用很可能被完全内联你甚至找不到独立的add函数了。5.3 学反汇编为什么要从-O0开始看到这里你应该明白了-O2下的汇编虽然更“高效”但对初学者来说几乎无法和源码对应。编译器把代码改得面目全非你根本看不出哪条指令对应哪个变量。所以我的建议是先用-O0把基本的栈帧结构、参数传递、返回值处理搞清楚。然后用-O2对比看看编译器做了哪些优化。最后尝试在-O2下反推源码逻辑——这是真正的实战能力。这个过程就像学外语先学标准发音和语法再去听母语者的日常对话最后才能听懂快速口语。6. 反汇编实战中容易踩的坑和排查思路6.1 ATT格式和Intel格式的切换前面提到过objdump默认输出ATT格式的汇编源操作数在前、目的操作数在后。如果你更习惯Intel格式目的操作数在前可以用-M intel选项objdump -d -M intel demo输出就变成了mov edx, DWORD PTR [rbp-0x4] mov eax, DWORD PTR [rbp-0x8] add eax, edx两种格式没有优劣之分但看网上资料的时候一定要注意作者用的是哪种格式否则很容易把加法方向搞反。6.2 符号表被strip了怎么办如果二进制文件被strip过发布版本通常会这么做objdump -d出来的函数名就全变成了地址没有add、main这样的标签。这时候分析难度会大幅上升。应对方法有几个用nm或readelf -s看看还有没有保留的符号。从main函数的特征入手——main通常是被__libc_start_main调用的可以通过查找call指令的交叉引用来定位。结合字符串常量来定位关键函数比如printf的格式字符串。6.3 动态链接库函数的识别在反汇编输出里你会看到call 1139 printfplt这样的写法。plt表示这是通过PLTProcedure Linkage Table进行的动态链接调用。第一次调用时PLT会跳转到动态链接器去解析真正的函数地址之后就直接跳转了。分析的时候不需要深究PLT的机制只要知道plt后缀表示这是一个外部函数调用就行。常见的还有gotGlobal Offset Table用于访问全局变量。6.4 一个实用的排查技巧从字符串反推逻辑拿到一个不熟悉的二进制文件不知道从哪下手的时候我常用的一个技巧是先看字符串strings demo | head -30字符串常量往往能透露程序的功能——比如错误提示、格式字符串、文件名等等。找到关键字符串之后再用objdump搜索引用该字符串的指令就能定位到关键代码区域。# 假设字符串在地址0x2004 objdump -d demo | grep 2004这个方法在分析没有符号信息的二进制时特别管用。7. 从看懂到会用反汇编技能的进阶方向7.1 用gdb做动态反汇编objdump是静态分析工具它只能看编译后的结果。如果你想在程序运行过程中观察寄存器和栈的变化就需要用gdbgdb ./demo (gdb) break add (gdb) run (gdb) disassemble (gdb) info registers (gdb) x/8x $rspdisassemble命令可以反汇编当前函数info registers查看所有寄存器的值x/8x $rsp以十六进制查看栈顶的8个字节。配合单步执行si命令可以一条指令一条指令地跟踪程序执行流程。7.2 分析循环和条件分支基础的函数调用搞明白之后下一步就是分析循环和条件分支。C语言里的if-else通常对应cmp加条件跳转指令je、jne、jg、jl等for和while循环则对应条件跳转加jmp回跳。// 示例一个简单的循环 int sum 0; for (int i 0; i 10; i) { sum i; }对应的汇编里你会看到cmp、jl跳转如果小于、add、jmp这些指令的组合。识别出循环的模式之后分析起来就快多了。7.3 数组和指针的汇编表示数组和指针在汇编层面的表现也很有规律。数组访问通常表现为基址加索引的寻址方式mov -0x20(%rbp,%rax,4),%eax ; 访问int数组的第rax个元素这里的%rax,4表示索引乘以4因为int是4字节。指针的解引用则表现为mov (%rax),%eax这种形式——从rax指向的地址读取值。理解了这些模式你就能在汇编代码里“认出”对应的C语言结构。7.4 推荐的学习路径和练习方法最后说一下我自己的学习路径供参考第一周用-O0编译各种简单函数加法、条件判断、循环对照源码逐行看汇编。第二周学习使用gdb动态调试观察寄存器和栈的变化。第三周对比-O0和-O2的输出理解编译器的优化策略。第四周尝试分析没有源码的小程序从main函数入手逐步还原逻辑。练习材料可以从自己写的代码开始然后尝试分析一些开源的小工具。关键是不要贪多一个函数一个函数地啃啃透了再往下走。我在实际分析中最大的体会是反汇编不是“读”出来的是“猜”出来再验证的。你先根据指令模式猜出大概的逻辑然后用gdb跑一遍验证你的猜测。猜错了就修正猜对了就继续。这个过程反复几十次之后你看汇编代码的速度会有质的飞跃。另外一个小技巧遇到不认识的指令不要急着去查手册。先看它操作了哪些寄存器、影响了哪些标志位结合上下文猜它的作用然后再去验证。这样学到的指令记忆更深刻比死记硬背指令表有效得多。
