Question

我正在反汇编原生Android库（armeabi-v7a），这些库最有可能是用C ++或C代码创建的，并且被剥离。目标是创建一个函数调用树以供以后分析。

我在理解反汇编输出时遇到了问题。

获取arm-linux-androideabi-objdump -d libledger.so > output.txt

创建的以下汇编代码段

00014988 <_ZSt10__pop_heapIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEENS0_5__ops15_Iter_less_iterEEvT_S9_S9_T0_>: 
   ...
   149e0:   4620        mov r0, r4
   149e2:   f030 fadd   bl  44fa0 <_ZNK10__cxxabiv120__si_class_type_info11__do_upcastEPKNS_17__class_type_infoEPKvRNS1_15__upcast_resultE+0x2a7ec>
   149e6:   e7ff        b.n 149e8 <_ZSt10__pop_heapIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEENS0_5__ops15_Iter_less_iterEEvT_S9_S9_T0_+0x60>
   149e8:   4628        mov r0, r5
   149ea:   f030 fad9   bl  44fa0 <_ZNK10__cxxabiv120__si_class_type_info11__do_upcastEPKNS_17__class_type_infoEPKvRNS1_15__upcast_resultE+0x2a7ec>
   149ee:   f004 fe55   bl  1969c <__cxa_end_cleanup>
   149f2:   bf00        nop
   149f4:   b154        cbz r4, 14a0c <_ZSt16__introsort_loopIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEEiNS0_5__ops15_Iter_less_iterEEvT_S9_T0_T1_+0x14>
   149f6:   0005        movs    r5, r0

000149f8 <_ZSt16__introsort_loopIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEEiNS0_5__ops15_Iter_less_iterEEvT_S9_T0_T1_>:
   149f8:   e92d 4ff0   stmdb   sp!, {r4, r5, r6, r7, r8, r9, sl, fp, lr}
   149fc:   1d07        adds    r7, r0, #4
   149fe:   b085        sub sp, #20
   14a00:   4604        mov r4, r0
   14a02:   4690        mov r8, r2
   14a04:   460e        mov r6, r1
   14a06:   1b35        subs    r5, r6, r4
   14a08:   2d43        cmp r5, #67 ; 0x43
   14a0a:   f340 8095   ble.w   14b38 <_ZSt16__introsort_loopIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEEiNS0_5__ops15_Iter_less_iterEEvT_S9_T0_T1_+0x140>
   14a0e:   f1b8 0f00   cmp.w   r8, #0
   14a12:   d13f        bne.n   14a94 <_ZSt16__introsort_loopIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEEiNS0_5__ops15_Iter_less_iterEEvT_S9_T0_T1_+0x9c>
   14a14:   10ad        asrs    r5, r5, #2
   14a16:   4b4a        ldr r3, [pc, #296]  ; (14b40 <_ZSt16__introsort_loopIN9__gnu_cxx17__normal_iteratorIPSsSt6vectorISsSaISsEEEEiNS0_5__ops15_Iter_less_iterEEvT_S9_T0_T1_+0x148>)
   14a18:   1eaf        subs    r7, r5, #2
   14a1a:   f10d 090c   add.w   r9, sp, #12

在here描述的分支指令中，BL系列的分支指令类似于函数调用，这也是5.3 Subroutine Call的暗示。然后还有SWI的系统调用。然而，有些问题出现在我面前：

我能确定BL指令跳转到的标签总是指向C函数的开头吗？这意味着它们就像调用C函数一样。
C函数调用还有哪些其他说明？
在上面的示例中，它意味着在149e2:处有一个函数调用。我不理解<XY+0x2a7ec>部分。这是否意味着......
- 被调用的函数从addressoff(XY) + 0x2a7ec开始，但不在.dynsym表中，因此反汇编程序没有人称友好名称？
- 这是否意味着调用XY时身体有一个巨大的偏移？
- 或两者都可能？
如何识别功能的开始？对我来说，看起来像00014988 <...>这样的完整地址的部分是函数。虽然我担心这只适用于作为动态符号表一部分的函数，这可以解释上面的巨大偏移。
在149f4，还有一个分支，这次是通过CBZ。这看起来像是一个函数调用到一个不同的函数，并再次与一个偏移量。如果此00014988调用直接跳转到函数而不是开头，则000149f8和CBZ都是函数。这是什么意思？

Answer 1

我可以确定BL指令跳转到的标签总是指向C函数的开头吗？这意味着它们就像调用C函数一样。

是的，大多数时候分支将到函数的开头。

C函数调用还有哪些其他指令？

任何可以改变程序计数器的东西我看到BX, LDR PC,和POP指示。

在上面的例子中，它意味着149e2：有一个函数调用。我不明白这部分。这是否意味着...
被调用的函数从addressoff（XY）+ 0x2a7ec开始，但不在.dynsym表中，因此反汇编程序没有人工友好的名称来引用？

并非每个地址都与来源的行号对齐。偏移量是 map 文件中已知符号的距离，通常是函数名称。

这是否意味着XY被调用其身体有一个巨大的偏移量？

没有。分支的目标与 public 符号偏移。在许多情况下，许多函数不是公共的，因此它们被引用到映射文件中最近的公共符号。

或两者都有可能吗？

见上文。

如何识别功能的开始？

没有一般规则这是一个过程：

打开列表文件（包含汇编语言）。
在汇编语言列表中查找偏移量。
或找到资金，然后添加抵消并查找该地址。

在149f4，还有一个分支，这次是通过CBZ。这看起来像是一个函数调用到一个不同的函数，并再次与一个偏移量。当00014988和000149f8都是函数时，此CBZ调用将直接跳转到函数而不是开头。这是什么意思？

CBZ不是子例程或函数调用。它是另一个地址的分支。预计不会有回报。

分支和链接（BL）以及分支和交换（BX）指令将LR寄存器设置为返回地址（通常是BL之后的下一条指令或BX）。为了返回，LR寄存器中的值被复制到程序计数器（PC）寄存器中，导致执行转移到LR中的地址。这是从函数或子程序调用返回的。

了解ARM ASM中的函数调用

1 个答案: