偶然间发现了 Capstone 这个开源的反汇编工具，对于我这种常和底层打交道的人来说兴趣简直不要太足。经过简单的调查，发现居然连 Hopper Disassembler 这样的工具也是基于 Capstone 开发，于是就必须亲自玩一下了。
当然我很懒，也不想在源码上捣腾了，就直接用最简单的办法来玩吧，首先在 mac 上进行安装并添加环境变量:
$ brew install capstone
$ export DYLD_LIBRARY_PATH=/usr/local/opt/capstone/lib/:$DYLD_LIBRARY_PATH
然后可以安装相应的 SDK，由于我想使用 Kotlin 进行开发，那么就需要自行编译 JVM 的 Binding：
$ curl 'https://github.com/aquynh/capstone/archive/4.0.1.tar.gz' > capstone.tar.gz
$ tar zxf capstone.tar.gz
$ cd capstone/bindings/java
$ make
然后就可以得到一个名为 capstone.jar 的包，这个包即是我们要的 SDK 了，引用之就可以进行开发了。
踩一个坑
由于编译 capstone.jar 需要引用 jna.jar，然而项目里并没有带，所以直接 make 会出错，报告没有 jna.jar 的异常。这个时候我们需要自行下载该 jar 并放到 /usr/local/share/java/jna/ 目录内，当然了，同时要修改 makefile 内的路径:
原始代码:
JNA = /usr/share/java/jna/jna.jar
ifneq ($(wildcard $(JNA)),)
else
ifneq ($(wildcard /usr/share/java/jna.jar),)
JNA = /usr/share/java/jna.jar
else
JNA =
endif
endif
修改后:
JNA = /usr/local/share/java/jna/jna.jar
ifneq ($(wildcard $(JNA)),)
else
ifneq ($(wildcard /usr/local/share/java/jna.jar),)
JNA = /usr/local/share/java/jna.jar
else
JNA =
endif
endif
这么改是因为 mac 在用户层面对于 /usr/share/ 没有写权限，哪怕是 sudo 也不行，所以必须改去 /usr/local/share/。
这样，我们在建立工程时 ，也会同时需要带上 capstone.jar 和 jna.jar 两个依赖，最终项目结构如下:
Project
|-- lib
| |-- capstone.jar
| |-- jna.jar
|-- src
| |-- main
| | |-- kotlin
| | | |-- Main.kt
| | |-- resources
|-- build.gradle
|-- gradle.properties
|-- settings.gradle
按照官方例子，我们可以写一些代码:
val CODE = byteArrayOf(0x55, 0x48, 0x8b.toByte(), 0x05, 0xb8.toByte(), 0x13, 0x00, 0x00)
fun main(args: Array<String>) {
Capstone(Capstone.CS_ARCH_X86, Capstone.CS_MODE_64)
.disasm(CODE, 0x1000)
.forEach {
println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
}
}
即可得到打印结果:
0x1000: push rbp
0x1001: mov rax, qword ptr [rip + 0x13b8]
我们也可以拿一个自己编译的，Android 端的 so 文件来进行尝试，如下:
fun main(args: Array<String>) {
val code = File("./libsample.so").readBytes()
Capstone(Capstone.CS_ARCH_ARM, Capstone.CS_MODE_THUMB)
.disasm(code, 0x1000)
.forEach {
println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
}
}
只需要注意架构的不同，也是可以轻松得到结果的。
非官方文档
由于 Capstone 官方并没有提供详细的文档，对于初学造成了较大的困难，幸好早有大佬整理出了相关的文档，而且还是中文的，参考这份文档就可以事半功倍了(点击进入)，向先驱者致敬。
