Capstone 初探

偶然间发现了 Capstone 这个开源的反汇编工具，对于我这种常和底层打交道的人来说兴趣简直不要太足。经过简单的调查，发现居然连 Hopper Disassembler 这样的工具也是基于 Capstone 开发，于是就必须亲自玩一下了。

当然我很懒，也不想在源码上捣腾了，就直接用最简单的办法来玩吧，首先在 mac 上进行安装并添加环境变量:

$ brew install capstone
$ export DYLD_LIBRARY_PATH=/usr/local/opt/capstone/lib/:$DYLD_LIBRARY_PATH

然后可以安装相应的 SDK，由于我想使用 Kotlin 进行开发，那么就需要自行编译 JVM 的 Binding：

$ curl 'https://github.com/aquynh/capstone/archive/4.0.1.tar.gz' > capstone.tar.gz
$ tar zxf capstone.tar.gz
$ cd capstone/bindings/java
$ make

然后就可以得到一个名为 capstone.jar 的包，这个包即是我们要的 SDK 了，引用之就可以进行开发了。

踩一个坑

由于编译 capstone.jar 需要引用 jna.jar，然而项目里并没有带，所以直接 make 会出错，报告没有 jna.jar 的异常。这个时候我们需要自行下载该 jar 并放到 /usr/local/share/java/jna/ 目录内，当然了，同时要修改 makefile 内的路径:

原始代码:

JNA = /usr/share/java/jna/jna.jar

ifneq ($(wildcard $(JNA)),)
else
  ifneq ($(wildcard /usr/share/java/jna.jar),)
    JNA = /usr/share/java/jna.jar
  else
    JNA =
  endif
endif

修改后:

JNA = /usr/local/share/java/jna/jna.jar

ifneq ($(wildcard $(JNA)),)
else
  ifneq ($(wildcard /usr/local/share/java/jna.jar),)
    JNA = /usr/local/share/java/jna.jar
  else
    JNA =
  endif
endif

这么改是因为 mac 在用户层面对于 /usr/share/ 没有写权限，哪怕是 sudo 也不行，所以必须改去 /usr/local/share/。

这样，我们在建立工程时 ，也会同时需要带上 capstone.jar 和 jna.jar 两个依赖，最终项目结构如下:

Project
    |-- lib
    |    |-- capstone.jar
    |    |-- jna.jar
    |-- src
    |    |-- main
    |    |    |-- kotlin
    |    |    |    |-- Main.kt
    |    |    |-- resources
    |-- build.gradle
    |-- gradle.properties
    |-- settings.gradle

按照官方例子，我们可以写一些代码:

val CODE = byteArrayOf(0x55, 0x48, 0x8b.toByte(), 0x05, 0xb8.toByte(), 0x13, 0x00, 0x00)

fun main(args: Array<String>) {
    Capstone(Capstone.CS_ARCH_X86, Capstone.CS_MODE_64)
        .disasm(CODE, 0x1000)
        .forEach {
            println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
        }
}

即可得到打印结果:

0x1000: push    rbp
0x1001: mov rax, qword ptr [rip + 0x13b8]

我们也可以拿一个自己编译的，Android 端的 so 文件来进行尝试，如下:

fun main(args: Array<String>) {
    val code = File("./libsample.so").readBytes()
    Capstone(Capstone.CS_ARCH_ARM, Capstone.CS_MODE_THUMB)
        .disasm(code, 0x1000)
        .forEach {
            println("0x${it.address.toHexString()}:\t${it.mnemonic}\t${it.opStr}")
        }
}

只需要注意架构的不同，也是可以轻松得到结果的。

非官方文档

由于 Capstone 官方并没有提供详细的文档，对于初学造成了较大的困难，幸好早有大佬整理出了相关的文档，而且还是中文的，参考这份文档就可以事半功倍了(点击进入)，向先驱者致敬。