Come faccio a smontare il codice macchina x86 a 16 bit non elaborato?

Vorrei smontare l'MBR (primi 512 byte) di un disco x86 avviabile che ho. Ho copiato l'MBR in un file utilizzando

dd if=/dev/my-device of=mbr bs=512 count=1

Qualche suggerimento per un'utilità Linux in grado di smontare il file mbr?

Puoi usare objdump. Secondo questo articolo la sintassi è:

objdump -D -b binary -mi386 -Maddr16,data16 mbr

Lo strumento GNU si chiama objdump , ad esempio:

objdump -D -b binary -m i8086 <file>

Mi piace ndisasmper questo scopo. Viene fornito con l'assembler NASM, che è gratuito e open source e incluso nei repository dei pacchetti della maggior parte delle distribuzioni Linux.

ndisasm -b16 -o7c00h -a -s7c3eh mbr

Spiegazione - dalla pagina di manuale di ndisasm

• -b= Specifica la modalità a 16, 32 o 64 bit. L'impostazione predefinita è la modalità a 16 bit.
• -o= Specifica l'indirizzo di caricamento figurativo per il file. Questa opzione fa sì che ndisasm ottenga gli indirizzi che elenca sul margine sinistro e gli indirizzi di destinazione dei salti e delle chiamate relativi al PC, a destra.
• -a = Abilita la modalità di sincronizzazione automatica (o intelligente), in cui ndisasm tenterà di indovinare dove deve essere eseguita la sincronizzazione, esaminando gli indirizzi di destinazione dei relativi salti e chiamandolo disassembla.
• -s= Specifica manualmente un indirizzo di sincronizzazione, in modo tale che ndisasm non restituisca alcuna istruzione della macchina che includa byte su entrambi i lati dell'indirizzo. Quindi l'istruzione che inizia a quell'indirizzo verrà correttamente smontata.
• mbr = Il file da smontare.

starblue e hlovdal hanno entrambi parti della risposta canonica. Se vuoi disassemblare il codice i8086 grezzo, di solito vuoi la sintassi Intel, non anche la sintassi AT&T, quindi usa:

objdump -D -Mintel,i8086 -b binary -m i386 mbr.bin
objdump -D -Mintel,i386 -b binary -m i386 foo.bin    # for 32-bit code
objdump -D -Mintel,x86-64 -b binary -m i386 foo.bin  # for 64-bit code

Se il tuo codice è ELF (o a.out (o (E) COFF)), puoi utilizzare la forma abbreviata:

objdump -D -Mintel,i8086 a.out  # disassembles the entire file
objdump -d -Mintel,i8086 a.out  # disassembles only code sections

Per il codice a 32 o 64 bit, ometti il ,8086; l'intestazione ELF include già queste informazioni.

ndisasm, come suggerito da jameslin , è anche una buona scelta, ma di objdumpsolito viene fornito con il sistema operativo e può gestire tutte le architetture supportate da GNU binutils (superset di quelle supportate da GCC), e il suo output può solitamente essere inserito in GNU as(di solito ndisasm può essere alimentato nasm, ovviamente).

Peter Cordes suggerisce che “ L'objconv di Agner Fog è molto carino. Mette etichette sulle destinazioni dei rami, rendendo molto più facile capire cosa fa il codice. Può essere disassemblato nella sintassi NASM, YASM, MASM o AT&T (GNU). "

Multimedia che Mike ha già scoperto --adjust-vma; l' ndisasmequivalente è l' -oopzione.

Per disassemblare, ad esempio, sh4codice (ho usato un binario da Debian per testare), usalo con binutils GNU (quasi tutti gli altri disassemblatori sono limitati a una piattaforma, come x86 con ndisasme objconv):

objdump -D -b binary -m sh -EL x

Il -mè la macchina e -ELsignifica Little Endian (per l' sh4ebuso al suo -EBposto), che è rilevante per le architetture che esistono in entrambe le endianness.

Prova questo comando:

sudo dd if=/dev/sda bs=512 count=1 | ndisasm -b16 -o7c00h -