13、Ghidra反汇编操作全解析

Ghidra反汇编操作全解析

1. 格式化指令操作数

在自动分析过程中，Ghidra会对与每条指令关联的操作数进行格式化处理，尤其是各种指令类型所使用的整数常量。这些常量可以表示跳转或调用指令中的相对偏移量、全局变量的绝对地址、算术运算中使用的值或程序员定义的常量。为了使反汇编更易读，Ghidra会尽可能使用符号名称而非数字。

1.1 格式化决策依据

• 指令上下文 ：例如，对于调用指令，格式化决策会基于该指令的上下文。
• 数据使用情况 ：如访问全局变量、栈帧或结构体的偏移量等。

当Ghidra无法确定常量的确切使用上下文时，常量通常会被格式化为十六进制值。

1.2 操作示例

假设反汇编列表中有以下内容：

08048485  MOV    dword ptr [EBP + local_18],0xa
0804848c  MOV    byte ptr [EBP + local_58],0x41

右键单击十六进制常量 0x41 ，会打开上下文敏感菜单。该常量可以重新格式化为菜单右侧显示的各种数字表示形式，或者作为字符常量（因为该值也在ASCII可打印范围内）。

1.3 使用命名常量

程序员在源代码中常使用命名常量，如通过 #define 语句定义的常量或枚举常量。但编译