分析可执行文件与汇编代码时识别控制流…

在逆向未知可执行文件、分析恶意软件或对二进制做静态分析时，从汇编还原程序逻辑与数据结构。

适用场景

解决思路

1. 按初始分类流程分析：先看文件类型、架构、导入/导出表，再分析字符串（错误信息等），再识别入口点、导出函数与交叉引用，然后映射控制流、恢复数据结构、识别算法（加密/哈希/压缩），最后写注释、重命名符号、定义类型。
2. 识别条件分支模式：cmp 后 jne 跳过为 if (a==b)；cmp 后 jge 跳过为有符号 if (a<b)；cmp 后 jae 跳过为无符号 if (a<b)。
3. 识别循环模式：for 循环用 xor ecx,ecx 初始化、cmp ecx,[n]、jge loop_end、inc ecx、jmp loop_start；while 循环先 jmp loop_check，循环体后 loop_check 处 cmp 加 jl loop_body；do-while 循环体在前，cmp 后 jl loop_body。
4. 识别 switch 模式：大 switch 用跳转表 mov eax,[switch_var]、cmp eax,max_case、ja default_case、jmp [jump_table+eax*8]；小 switch 用连续 cmp/je 比较后 jmp default_case。
5. 识别数组访问：4 字节元素用 mov eax,[rbx+rcx*4]；8 字节元素用 mov rax,[rbx+rcx*8]；多维数组按 base+(i*cols+j)*element_size 计算，用 imul eax,[cols]、add eax,[j]、mov edx,[rbx+rax*4]。
6. 识别结构体字段访问：按偏移读取，如 [rdi] 为 offset 0、byte [rdi+4] 为 offset 4、[rdi+8] 为 offset 8、word [rdi+16] 为 offset 16，注意字段间填充。
7. 识别链表遍历：test rdi,rdi 判断 node==NULL，jz 结束，处理节点后 mov rdi,[rdi+8] 取 next（假设 next 在 offset 8），再 jmp 回循环。
8. 识别字符串操作：strlen 用 xor ecx,ecx 后逐字节 cmp byte [rdi+rcx],0、inc ecx；strcpy 用 mov al,[rsi]、mov [rdi],al、test al,al、jz 结束、inc rsi、inc rdi；memcpy 用 mov rdi,dest、mov rsi,src、mov rcx,count、rep movsb。
9. 识别常量乘法优化：x*3 用 lea eax,[rax+rax*2]；x*5 用 lea eax,[rax+rax*4]；x*10 用 lea eax,[rax+rax*4] 后 add eax,eax。
10. 识别 2 的幂除法与取模：有符号除以 8 用 cdq、and edx,7、add eax,edx、sar eax,3；取模 8 用 and eax,7。
11. 识别位操作：test eax,0x80 测第 7 位；or eax,0x10 置位；and eax,~0x10 清位；xor eax,0x10 翻转位；bsr eax,ecx 后 xor eax,31 求前导零；popcnt eax,ecx 统计置位数。
12. 恢复局部变量：rbp-8 等位置为局部变量，mov qword [rbp-8],rax 为存储、mov rax,[rbp-8] 为读取；栈数组用 lea rax,[rbp-0x40] 定位，再按偏移写入。
13. 恢复函数签名：按寄存器使用判断参数（System V 下 rdi 为第一参数、rsi 为第二参数），保存到局部变量；函数末尾 rax 为返回值。
14. 恢复类型：1 字节操作用 movzx/movsx byte 推断 char/bool；2 字节用 movzx/movsx word 推断 short；4 字节用 mov eax 或 movss xmm0 推断 int/float；8 字节用 mov rax 或 movsd xmm0 推断 long/double/指针。
15. 在 Ghidra 中改进反编译：用 getFunctionAt(toAddr(0x401000)) 获取函数并 setReturnType 修正返回类型；用 StructureDataType 创建结构体并 add 字段；用 createData(toAddr(0x601000), struct) 应用到内存。
16. 在 Ghidra 中做模式匹配：遍历 getFunctionManager().getFunctions(True)，对每个函数用 getReferencesTo 检查引用，若函数名在 ["strcpy","sprintf","gets"] 中则打印危险调用地址。
17. 在 IDA Pro 中用 IDAPython 查找调用：遍历 idautils.Functions()，对每个函数用 idautils.Heads 遍历指令，若助记符为 call 则取 get_operand_value(head,0)，匹配目标函数名后打印地址。
18. 在 IDA Pro 中按字符串自动重命名：遍历 idautils.Strings()，对每个字符串用 idautils.XrefsTo 找引用，用 idaapi.get_func 定位函数，若函数名含 sub_ 则用字符串作为命名线索。
19. 注意常见陷阱：优化器产物可能与源码结构不符；内联函数会被展开；尾调用优化会以 jmp 代替 call+ret；存在不可达死代码；PIC 代码使用 RIP 相对寻址。

适用边界 · 注意事项

• 没有二进制分析工具（如 Ghidra、IDA Pro、Binary Ninja）或无法运行反汇编/反编译环境时，难以直接应用这些模式。
• 面对高度混淆、加壳或虚拟化保护的二进制时，常规模式识别可能失效，需要先脱壳或反混淆。
• 仅做源码级调试或不需要理解编译后代码时，不必使用这些汇编模式。