11、深入解析Ghidra反汇编：从基础到操作实践

深入解析Ghidra反汇编：从基础到操作实践

1. 反汇编基础：栈帧分析与寄存器参数

在进行程序分析时，理解反汇编内容是关键，而栈帧分析和寄存器参数的识别在其中起着重要作用。

1.1 栈帧分析

栈帧是函数调用时在栈上分配的一块内存区域，用于存储函数的局部变量、参数和返回地址等信息。以示例代码 demo_stackframe 为例，其栈帧结构如下：
| Address | 参数/变量 | 描述 |
| ---- | ---- | ---- |
| -0x68 | | |
| -0x64 | | |
| -0x58 | local_58 | buffer |
| -0x18 | local_18 | z |
| -0x14 | local_14 | y |
| -0x10 | local_10 | x |
| -0x04 | | Saved EBP |
| 0x00 | | Saved RET |
| 0x04 | param_1 | i |
| 0x08 | param_2 | j |
| 0x0c | param_3 | k |

通过对栈帧的分析，我们可以了解函数的参数传递和局部变量的存储情况。例如，在 demo_stackframe 函数中，编译器为局部变量分配了 88 字节（0x58）的空间，这比估计的 76 字节略多，这是为了保持栈帧内的内存对齐。

Ghidra 的反汇编列表与传统的栈帧分析有所不同，它用符号名称替换了常量偏移，使得反汇编更易于