本文就是写写Capstone咋用的(Python)
不涉及原理层面
地址
官方网站
http://www.capstone-engine.org/
Github
https://github.com/aquynh/capstone
介绍
Capstone 是一个轻量级的多平台多架构的反汇编框架。
我们的目标是使 Capstone 成为安全社区中二进制分析和逆向的终极反汇编引擎。
突出特点:
- 支持多架构: Arm, Arm64 (Armv8), BPF, Ethereum Virtual Machine, M68K, M680X, Mips, MOS65XX, PowerPC, RISCV, Sparc, SystemZ, TMS320C64X, Web Assembly, XCore & X86 (包括 X86_64) 。
- 干净/简单/轻量级/直观的API,同时不依赖任何架构。
- 提供汇编指令的详细信息。
- 提供反汇编指令的一些语义,例如读取和写入的隐式寄存器列表。
- 以C/C++实现,可在众多语言里使用:D, Clojure, F#, Common Lisp, Visual Basic, PHP, PowerShell, Haskell, Perl, Python, Ruby, C#, NodeJS, Java, GO, C++, OCaml, Lua, Rust, Delphi, Free Pascal & Vala。
- 原生支持Windows和*nix系统(以下系统已确认支持:Mac OSX, iOS, Android, Linux, *BSD & Solaris。
- 线程安全的设计。
- 特别支持嵌入固件或操作系统内核。
- 高性能 & 适用于恶意软件分析(能够处理各种 X86 恶意软件技巧)。
- 在开源 BSD 许可下分发。
使用
反编译ShellCode(X86)
Input
from capstone import *
CS = Cs(CS_ARCH_X86, CS_MODE_32)
a = CS.disasm(b'1\xc0Ph//shh/bin\x89\xe3PS\x89\xe1\xb0\x0b\xcd\x80', 0)
for i in a:
print(f"{i.mnemonic} {i.op_str}")
Output
xor eax, eax
push eax
push 0x68732f2f
push 0x6e69622f
mov ebx, esp
push eax
push ebx
mov ecx, esp
mov al, 0xb
int 0x80
编译ShellCode(X86-64)
Input
from capstone import *
CS = Cs(CS_ARCH_X86, CS_MODE_64)
a = CS.disasm(b'H1\xd2H\xbb//bin/shH\xc1\xeb\x08SH\x89\xe7PWH\x89\xe6\xb0;\x0f\x05', 0)
for i in a:
print(f"{i.mnemonic} {i.op_str}")
Output
xor rdx, rdx
movabs rbx, 0x68732f6e69622f2f
shr rbx, 8
push rbx
mov rdi, rsp
push rax
push rdi
mov rsi, rsp
mov al, 0x3b
syscall