反汇编基础
Ghidra 与 IDA
反汇编基础 是 CoddyKit 上的免费 Ethical Hacking Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Ethical Hacking Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Ethical Hacking Academy 课程共包含 4 节课。
什么是反汇编
反汇编会将二进制文件中的机器代码转换回人类可读的汇编指令。它可以让您准确阅读 CPU 将执行的内容。
当源代码不可用时，这一点至关重要，而恶意软件通常正是这种情况。
反汇编与反编译
反汇编生成汇编代码。反编译则更进一步，将代码还原为近似的类 C 高级伪代码。
伪代码阅读起来更快，汇编代码则更加精确。分析人员会根据需要在两者之间切换。
Ghidra
Ghidra 是 NSA 推出的免费开源逆向工程套件。它可以反汇编多种体系结构，并包含功能强大的反编译器。
凭借免费且功能丰富的特点，它成为大多数分析人员首选的入门工具。
IDA Pro
IDA Pro 是长期以来的商业标准，以强大的反汇编器和（配合 Hex-Rays 插件的）反编译器而闻名。
IDA Free，以及 Binary Ninja 和 radare2/Cutter 等其他工具，都是热门替代方案。
加载二进制文件
将样本导入工具后，工具会自动分析它：识别函数、交叉引用和字符串。
工具会构建一张可供您浏览的程序地图，您可以从入口点或感兴趣的导入项开始查看。
阅读汇编代码
汇编指令会移动数据并对数据执行操作。以下是一些常见的 x86 指令：
mov：复制数据。push / pop：执行栈操作。call / ret：调用函数并返回。cmp / jmp / je：进行比较和分支跳转。
mov eax, [ebp-4]
cmp eax, 0
je short loc_401050交叉引用
交叉引用（xrefs）会显示某个函数或字符串的使用位置。查找对可疑 API（如 CreateRemoteThread）的交叉引用，可以直接跳转到相关代码。
这样，您就可以按照行为进行导航，而不必从头到尾阅读代码。
跟踪 API 调用
导入的 Windows API 调用可以揭示其意图。依次看到 VirtualAlloc、WriteProcessMemory 和 CreateRemoteThread，这是经典的进程注入序列。
识别这些模式是恶意软件逆向分析的核心。
图视图
反汇编器提供图视图，显示基本块及其间的分支。这种视图将函数的控制流可视化，使循环和条件语句易于跟踪。
对于复杂逻辑，它的可读性远高于线性的指令列表。
结合调试
静态反汇编与调试器配合得很好。当代码经过混淆或会自修改时，您可以设置断点，并在运行时单步执行代码，以查看真实的指令。
对于加壳样本来说，这座通向动态分析的桥梁至关重要；下一课将介绍相关内容。
重命名和添加注释
了解函数和变量后，请在反汇编器中重命名它们并添加注释。将 sub_401000 改为 decrypt_config，会让后续分析轻松得多。
分析人员正是通过这种逐步标注的方式，逐渐还原恶意软件样本的完整逻辑。
快速检查
回忆一下 Ghidra 的两种主要输出之间有什么区别。
回顾
现在您已经了解了反汇编的基础知识：
- 反汇编生成汇编代码；反编译生成伪代码。
- Ghidra（免费）和 IDA Pro 是主要工具。
- 使用交叉引用和API 调用模式（例如注入序列），根据行为来定位代码。
- 图视图将控制流可视化；对于混淆代码，应配合调试器使用。
接下来，您将通过脱壳来破解加壳程序。
用 AI 导师学习 Ethical Hacking Academy — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 31
- 课程
- 111
常见问题解答
「反汇编基础」课时是免费的吗？
是的 — 「反汇编基础」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Ethical Hacking Academy 课程的其余内容，请升级到 CoddyKit PRO。 Ethical Hacking Academy 课程共包含 4 节课。
「反汇编基础」这节课中我会学到什么？
Ghidra 与 IDA 你通过在浏览器中直接运行的动手代码来练习 Ethical Hacking Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Ethical Hacking Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Ethical Hacking Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「反汇编基础」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Ethical Hacking Academy 课中编写并运行代码吗？
能。每节 Ethical Hacking Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。