Comment désassembler le code machine x86 16 bits brut?

Je voudrais démonter le MBR (512 premiers octets) d'un disque x86 amorçable que j'ai. J'ai copié le MBR dans un fichier en utilisant

dd if=/dev/my-device of=mbr bs=512 count=1

Des suggestions pour un utilitaire Linux qui peut désassembler le fichier mbr?

Vous pouvez utiliser objdump. Selon cet article, la syntaxe est:

objdump -D -b binary -mi386 -Maddr16,data16 mbr

L'outil GNU s'appelle objdump , par exemple:

objdump -D -b binary -m i8086 <file>

J'aime à ndisasmcet effet. Il est livré avec l'assembleur NASM, qui est gratuit et open source et inclus dans les référentiels de packages de la plupart des distributions Linux.

ndisasm -b16 -o7c00h -a -s7c3eh mbr

Explication - de la page de manuel ndisasm

• -b= Spécifie le mode 16, 32 ou 64 bits. La valeur par défaut est le mode 16 bits.
• -o= Spécifie l'adresse de chargement fictive du fichier. Cette option permet à ndisasm d'obtenir les adresses qu'il répertorie dans la marge de gauche et les adresses cibles des sauts et des appels relatifs au PC, à droite.
• -a = Active le mode de synchronisation automatique (ou intelligente), dans lequel ndisasm tentera de deviner où la synchronisation doit être effectuée, en examinant les adresses cibles des sauts relatifs et en l'appelant à la désassemblage.
• -s= Spécifie manuellement une adresse de synchronisation, de sorte que ndisasm ne sortira aucune instruction machine englobant des octets des deux côtés de l'adresse. Par conséquent, l'instruction qui commence à cette adresse sera correctement démontée.
• mbr = Le fichier à désassembler.

starblue et hlovdal ont tous deux des parties de la réponse canonique. Si vous souhaitez démonter du code i8086 brut, vous voulez généralement la syntaxe Intel, pas la syntaxe AT&T, alors utilisez:

objdump -D -Mintel,i8086 -b binary -m i386 mbr.bin
objdump -D -Mintel,i386 -b binary -m i386 foo.bin    # for 32-bit code
objdump -D -Mintel,x86-64 -b binary -m i386 foo.bin  # for 64-bit code

Si votre code est ELF (ou a.out (ou (E) COFF)), vous pouvez utiliser la forme courte:

objdump -D -Mintel,i8086 a.out  # disassembles the entire file
objdump -d -Mintel,i8086 a.out  # disassembles only code sections

Pour le code 32 bits ou 64 bits, omettez le ,8086; l'en-tête ELF contient déjà ces informations.

ndisasm, comme suggéré par jameslin , est également un bon choix, mais il objdumpest généralement fourni avec le système d'exploitation et peut gérer toutes les architectures prises en charge par GNU binutils (un sur-ensemble de celles prises en charge par GCC), et sa sortie peut généralement être introduite dans GNU as(ndisasm peut généralement être introduit nasmcependant, bien sûr).

Peter Cordes suggère que « l'objconv d'Agner Fog est très gentil. Il met des étiquettes sur les cibles de branche, ce qui facilite beaucoup la compréhension de ce que fait le code. Il peut être désassemblé dans la syntaxe NASM, YASM, MASM ou AT&T (GNU). »

Multimédia Mike a déjà découvert --adjust-vma; l' ndisasméquivalent est l' -ooption.

Pour désassembler, disons, du sh4code (j'ai utilisé un binaire de Debian pour tester), utilisez ceci avec les binutils GNU (presque tous les autres désassembleurs sont limités à une plate-forme, comme x86 avec ndisasmet objconv):

objdump -D -b binary -m sh -EL x

Le -mest la machine, et -ELsignifie Little Endian (à sh4ebutiliser à la -EBplace), ce qui est pertinent pour les architectures qui existent dans les deux endianness.

Essayez cette commande:

sudo dd if=/dev/sda bs=512 count=1 | ndisasm -b16 -o7c00h -