dispeとは

Windows の実行ファイル及び DLL を解析することを目的に作成しているプログラムです．

単なるバイナリ単位の１ライン逆アセンブルではなく，人間が解析するように命令の流れを追ってコード領域やデータ領域を判別します．
他にも機械的に解析できる部分は解析して，人間が理解し易いように出力します．

PEのヘッダからExportやImportテーブルまで，出来るだけEXEのファイルイメージに忠実に出力するようにしているため，異常なエントリーポイントを持つような規格外の(普通の逆アセンブラでは展開することが出来ない)ファイルにも対応．
出力はNASM準拠．

最終的には C のソースを出力するのが目標です．
無謀？

実装している処理

• プログラムを解析してコード，データ領域を自動判別
• ラベル割り当て
• 文字列自動認識
• アドレステーブル自動認識
• if-elseやループのブロックを認識し，出力を構造化
• Import,Export テーブルの解析
• エントリーポイントが異常でも解析
• diswinが未対応の命令にも新たに対応
• 再アセンブル可能な形式で出力可能(例外有り)

スナップショット

; subroutine --------------------------------------------------------------------------
; using      F0040aa5c() F00401340()
; referrer   F00401570()

F00402a80:      call    near F00401340
                mov     cl,[L0041b120]
                test    cl,cl
                jz      C00402ac7
; if {
                 test    eax,eax
                 jl      C00402ab6
;   if {
                  push    eax
                  mov     eax,[L0041afa8]
                  push    dword S00415e10
                  push    eax
C00402a9f:        call    near F0040aa5c
                  mov     ecx,dword [L0041afa8]
                  add     esp,byte +00ch
                  add     ecx,eax
                  mov     dword [L0041afa8],ecx
                  ret
;   }
C00402ab6:       mov     ecx,dword [L0041afa8]
                 neg     eax
                 push    eax
                 push    dword S00415e00
                 push    ecx
                 jmp     short C00402a9f
; }
C00402ac7:      test    eax,eax
                jl      C00402ada
; if {
                 mov     edx,dword [L0041afa4]
                 push    eax
                 push    dword S00415e10
                 push    edx
                 jmp     short C00402ae8
; }
; else {
C00402ada:       neg     eax
                 push    eax
                 mov     eax,[L0041afa4]
                 push    dword S00415e00
                 push    eax
; }
C00402ae8:      call    near F0040aa5c
                mov     ecx,dword [L0041afa4]
                add     esp,byte +00ch
                add     ecx,eax
                mov     dword [L0041afa4],ecx
                ret

                align 16,nop

dispe.exeをdispeによって逆アセンブルしたdispe.exe.asm結果の一部．
msblast.exeも逆アセンブルしてみた．両方とも再アセンブルして正常動作する模様．

ダウンロード

• dispe20030818.zip 74.18KB -
  msblaster大流行記念．
  
  * -eオプションで出力したasmをnasmで再アセンブル可能な形になるように修正．
  + xadd命令の第2オペランドのデコードが間違っていたのを修正．(Thanx YAMAMOTO Akishigeさん)
  + opcodeが32bitであるにも関わらずmovsdではなくmovswを出力していたのを修正．
  + fldcw等のオペランドがdword扱いなっていたのを修正．
  + データ領域からのコード探索のリトライ回数を増やした(以前は1回のみだったが可能性がなくなるまで繰り返すようにした)．
  + resbで出力したものをtimes+dbに変更(アセンブル時のwarning対策)．
  
  
  
• dispe20011205r1.zip 72.04KB - さむい〜
  超どうでも良さそうなエンバグの修正．
  
  + インポートするDLLが存在しないとき落ちるのを修正
  
  
  
• dispe20011205.zip 72.04KB - 師走
  
  大きな変更点はないですが，その分動作チェックを非常に限られたコードに対してしか行っていないので，
  テストリリースとします．
  
  [email protected]を解析するために幾つか機能を追加．
  
  * PEのメモリイメージを読み込みに対応(-iオプション)
  + 未解析領域からコードを探すとき，検索範囲がセクション0のみだったので，ヘッダを除く全域に変更
  + 一部命令(push [disp32]等)でラベル生成を行っていなかったのを修正
  + 00hのバイトデータが8個以上続くとき，resbで出力するようにした
  
  
  
• dispe20010921.zip 71.37KB - 前期期末試験
  
  TAMURA Kent 氏からDLLの解析で無限ループに陥ることがあると指摘されたので
  それらしきところを修正．
  
  + Entry PointがNULLのとき，Entry Pointからの解析を止めるように修正．
  + ネスト処理関係で無限ループ，無限メモリ消費に陥ることがあったのを修正．
  
  今まで，ブロックごとに分割→ブロックごとに構文木作成，でなんとかなると考えていたけどよくよく考えたらそれじゃ全然ダメかも．
  つーか，事前にブロック分割する必要性ってない気がしてきた．ああ作り直しの予感．しかし考えただけでその作業量にぞっとする．
  
  
  
• dispe20010917.zip 71.24KB - ＠前期期末試験
  
  + アルゴリズムの見直しによるブロック認識率の向上
  + 関数なのにF〜が割り当てられないことがあったのを修正
  + 途中経過とリソース解析の記録をfilename.infoに保存するようにした
  * リソースのstring,dialogを解析
  + nopコード未到達領域に2^n(n<=4)バイト境界を埋めるようにnop,int3がある場合，align命令で表示
  + byte表示を1行8byteから1行16byteに変更
  + 文字列長が一定以上だとハングすることがあったのを修正
  + exportしているアドレスを関数として認識していなかったのを修正
  + 解釈できない分岐命令にgotoのコメントを付加するようにした
  + 関数外へ飛んでいる分岐命令にoverfuncのコメントを付加するようにした
  
  
  
• 20010801 - 夏だねぇ
  
  
  * if,else,do,loopブロックを認識するようにした．
  + ジャンプテーブルなどで生じるラベル割り当ての失敗を修正
  + 文字列の認識率アップ
  + ラベル名を，関数ならF〜，それ以外の命令ならC〜，文字列ならS〜，他はL〜にした．
  
  
  
• 20010508
  
  * hexdump
  * サブルーチンの認識
  + コードとデータの識別率の向上
  + cmove等の命令に対応
  + movsx,movzxのデータサイズの表記の修正
  + 不要なラベルの除去
  
  
  
• 20010407
  
  * 初代
  
  

使用法

Windows 用で拡張子が EXE,DLL のファイルをコマンドラインで渡してやるだけです．
一切パラメータを渡す必要はありません．
例えば，

>dispe c:/winnt/explorer.exe

とやれば explorer の解析結果が explorer.exe.asm というファイルに出力されます．
解析の途中記録とリソースの情報は explorer.exe.info というファイルに記録されます．

>dispe -p1024

というように実行中のプロセスIDを10進数で指定することもできます (NT/2000専用) ．
プロセス ID はタスクマネージャのプロセスの PID を見てください．

-eオプションでhexdumpを無効に出来ます．
この形で出力したasmはnasmで再アセンブルが可能です(いい加減なので出来ない方が多いです)．

>dispe -e foo.exe
foo.exe.asmが出力される．
>nasmw -f bin foo.exe.asm -o foo.asm.exe
foo.exe.asmをfoo.asm.exeにアセンブル．

連絡

バグ報告は使用したOS，dispeのバージョン，対象ファイル名，症状等を
教えてもらえるとありがたいです．

mnishibe at ertl.jp

関連リンク

• The Decompilation Page
  
• Decompilation of Binary Program - dcc
  逆コンパイラというか，いわゆるデコンパイラ．
  8086コードをかなりまともな C に変換するようです．
  論文あり．
  
  
• REC - Reverse Engineering Compiler
  これもEXEをCに変換します．
  試してみたけど，かなり強引な展開．
  
  
• IDA Pro disassembler
  プロシージャの検出や引数の解析など，単なる逆アセンブラを超えた商用ソフト．
  80x86のPEのみならず，UNIX系や，MC680x0系といった多種多様なCPUとファイルタイプに対応．
  史上最強か？
  機能限定版のフリー版もある．
  
  
• Sourcer 97
  DOSと各種Windowsに対応している解析型の逆アセンブラ．
  引数やローカル変数を認識するなど，IDA Proと同等のポテンシャルを持つ商用ソフト．
  
  
• URSoft W32Dasm
  IDA Proのような解析は行わないが，ジャンプテーブル等は発見してくれる高機能逆アセンブラ．
  割れまくっている状況から，多分最もよく使われている逆アセンブラと思われる．
  
  
• DISWIN
  日本で広く普及しているIRUKA氏によるフリーの逆アセンブラ．
  対応しているフォーマットが多く，MMX等の追加命令にも対応している．
  
  
• Windows Disassembler Home Page
  フリーの逆アセンブラ．w32dasm並に高性能．
  韓国の方のようです．
  
  
• MFVDasm
  multi-format visual disassembler の略らしい．
  ジャンプ先をクリックするとそのアドレスへ飛ぶなど，快適にブラウジングできるようになっている．
  Windows用．
  
  
• Open Directory > Disassemblers
  世界中の逆アセンブラとそれに関する資料が集まっている．