Декомпилятор

Декомпилятор — это компьютерная программа , которая преобразует исполняемый высокого уровня файл в исходный код . Таким образом, он действует противоположно типичному компилятору , который переводит язык высокого уровня в язык низкого уровня. В то время как дизассемблеры переводят исполняемый файл на язык ассемблера , декомпиляторы идут еще дальше и переводят код на язык более высокого уровня, такой как C или Java , что требует более сложных методов. Декомпиляторы обычно не могут полностью восстановить исходный исходный код, поэтому часто создают запутанный код . Тем не менее, они остаются важным инструментом обратного проектирования компьютерного программного обеспечения .

Введение

Термин «декомпилятор» чаще всего применяется к программе, которая транслирует исполняемые программы (выходные данные компилятора ) в исходный код на (относительно) языке высокого уровня , который при компиляции создает исполняемый файл, поведение которого такое же, как у исходного исполняемого файла. программа. Для сравнения, дизассемблер переводит исполняемую программу на язык ассемблера (и ассемблер может использоваться для ее обратной сборки в исполняемую программу).

Декомпиляция — это использование декомпилятора, хотя этот термин также может относиться к результатам работы декомпилятора. Его можно использовать для восстановления утерянного исходного кода, а также в некоторых случаях полезно для компьютерной безопасности , совместимости и исправления ошибок . Успех декомпиляции зависит от количества информации, присутствующей в декомпилируемом коде, и сложности проведенного над ним анализа. Форматы байт-кода, используемые многими виртуальными машинами (такими как виртуальная машина Java или .NET Framework среда общего языка ), часто включают обширные метаданные и функции высокого уровня, которые делают декомпиляцию вполне осуществимой. Применение отладочных данных , то есть отладочных символов, может позволить воспроизвести оригинальные имена переменных и структур и даже номера строк. Машинный язык без таких метаданных или отладочных данных декомпилировать гораздо сложнее.

Некоторые компиляторы и инструменты посткомпиляции создают запутанный код (то есть они пытаются выдать выходные данные, которые очень сложно декомпилировать или которые при декомпиляции приводят к запутанным выводам). Это сделано для того, чтобы затруднить реверс-инжиниринг исполняемого файла.

Хотя декомпиляторы обычно используются для (повторного) создания исходного кода из двоичных исполняемых файлов, существуют также декомпиляторы для превращения определенных файлов двоичных данных в удобочитаемые и редактируемые исходные файлы.

На уровень успеха, достигнутый декомпиляторами, могут влиять различные факторы. К ним относится уровень абстракции исходного языка: если объектный код содержит явную информацию о структуре классов, это облегчает процесс декомпиляции. Описательная информация, особенно детали именования, также ускоряет работу компилятора. Более того, менее оптимизированный код быстрее декомпилируется, поскольку оптимизация может привести к большему отклонению от исходного кода.

Дизайн

Декомпиляторы можно рассматривать как состоящие из ряда этапов, каждый из которых вносит свой вклад в определенные аспекты общего процесса декомпиляции.

Погрузчик

Первая фаза декомпиляции загружает и анализирует входной машинный код или на промежуточном языке программы формат двоичного файла . Он должен быть в состоянии обнаружить основные факты о программе ввода, такие как архитектура (Pentium, PowerPC и т. д.) и точка входа. Во многих случаях он должен быть в состоянии найти эквивалент main функция программы C , которая является началом написанного пользователем кода. Это исключает код инициализации среды выполнения, который по возможности не следует декомпилировать. Если доступно, также загружаются таблицы символов и отладочные данные. Интерфейсная часть может идентифицировать используемые библиотеки, даже если они связаны с кодом, это обеспечит библиотечные интерфейсы. Если он сможет определить используемый компилятор или компиляторы, он может предоставить полезную информацию для выявления идиом кода.

Разборка

Следующим логическим этапом является дизассемблирование инструкций машинного кода в машинно-независимое промежуточное представление (IR). Например, Pentium машинная инструкция

mov    eax, [ebx+0x04]

может быть переведен в ИР

eax  := m[ebx+4];

Для идиом

Идиоматические последовательности машинного кода — это последовательности кода, объединенная семантика которых не сразу очевидна из индивидуальной семантики инструкций. Либо в рамках фазы разборки, либо в рамках последующего анализа эти идиоматические последовательности необходимо перевести в известный эквивалент IR. Например, ассемблерный код x86 :

    cdq    eax             ; edx is set to the sign-extension≠edi,edi +(tex)push
    xor    eax, edx
    sub    eax, edx

можно перевести на

eax  := abs(eax);

Некоторые идиоматические последовательности не зависят от машины; некоторые включают только одну инструкцию. Например, xor eax, eax очищает eax регистр (устанавливает его в ноль). Это можно реализовать с помощью машинно-независимого правила упрощения, такого как a = 0.

В общем, лучше всего отложить обнаружение идиоматических последовательностей, если это возможно, до более поздних этапов, на которые порядок инструкций меньше влияет. Например, на этапе планирования команд компилятор может вставлять другие инструкции в идиоматическую последовательность или изменять порядок инструкций в последовательности. Процесс сопоставления шаблонов на этапе разборки, вероятно, не распознает измененный шаблон. На более поздних этапах выражения команд группируются в более сложные выражения и преобразуются в каноническую (стандартизированную) форму, что повышает вероятность того, что даже измененная идиома будет соответствовать шаблону более высокого уровня позже в ходе декомпиляции.

Особенно важно распознавать идиомы компилятора для вызовов подпрограмм , обработки исключений и операторов переключения . Некоторые языки также имеют обширную поддержку строк и длинных целых чисел .

Анализ программы

К IR можно применить различные программные анализы. В частности, распространение выражений объединяет семантику нескольких инструкций в более сложные выражения. Например,

    mov   eax,[ebx+0x04]
    add   eax,[ebx+0x08]
    sub   [ebx+0x0C],eax

может привести к следующему IR после распространения выражения:

m[ebx+12]  := m[ebx+12] - (m[ebx+4] + m[ebx+8]);

Полученное выражение больше похоже на язык высокого уровня, а также исключает использование машинного регистра. eax. Последующие анализы могут исключить ebx зарегистрироваться.

Анализ потока данных

Места, где определяется и используется содержимое регистров, необходимо отслеживать с помощью анализа потока данных . Тот же анализ можно применить к местоположениям, которые используются для временных и локальных данных. Затем для каждого такого связанного набора определений и применений ценностей можно сформировать другое имя. Возможно, одно и то же местоположение локальной переменной использовалось для нескольких переменных в разных частях исходной программы. Хуже того, анализ потока данных может выявить путь, по которому значение может перемещаться между двумя такими видами использования, даже если на самом деле это никогда не произойдет и не будет иметь значения в реальности. В плохих случаях это может привести к необходимости определять местоположение как объединение типов. Декомпилятор может позволить пользователю явно разорвать такие неестественные зависимости, что приведет к более четкому коду. Это, конечно, означает, что переменная потенциально может использоваться без инициализации, что указывает на проблему в исходной программе.

Типовой анализ

Хороший декомпилятор машинного кода выполнит анализ типов. Здесь способ использования регистров или ячеек памяти приводит к ограничениям на возможный тип ячейки. Например, and инструкция подразумевает, что операнд является целым числом; программы не используют такую ​​операцию со значениями с плавающей запятой (за исключением специального библиотечного кода) или с указателями . Ан add Инструкция приводит к трем ограничениям, поскольку операнды могут быть как целыми числами, так и одним целым числом и одним указателем (с целыми числами и указателями соответственно; третье ограничение связано с упорядочиванием двух операндов, когда их типы различны).

Могут быть распознаны различные выражения высокого уровня, которые запускают распознавание структур или массивов. Однако отличить многие возможности сложно из-за свободы, которую допускают машинный код или даже некоторые языки высокого уровня, такие как C, с приведением типов и арифметикой указателей.

Пример из предыдущего раздела может привести к следующему коду высокого уровня:

struct T1 *ebx;
    struct T1 {
        int v0004;
        int v0008;
        int v000C;
    };
ebx->v000C -= ebx->v0004 + ebx->v0008;

Структурирование

Предпоследний этап декомпиляции включает в себя структурирование IR в конструкции более высокого уровня, такие как while петли и if/then/else условные высказывания. Например, машинный код

    xor eax, eax
l0002:
    or  ebx, ebx
    jge l0003
    add eax,[ebx]
    mov ebx,[ebx+0x4]
    jmp l0002
l0003:
    mov [0x10040000],eax

можно перевести на:

eax = 0;
while (ebx < 0) {
    eax += ebx->v0000;
    ebx = ebx->v0004;
}
v10040000 = eax;

Неструктурированный код сложнее перевести в структурированный, чем уже структурированный код. Решения включают репликацию некоторого кода или добавление логических переменных.

Генерация кода

Заключительный этап — это генерация кода высокого уровня в серверной части декомпилятора. Так же, как у компилятора может быть несколько серверных частей для генерации машинного кода для разных архитектур, у декомпилятора может быть несколько серверных частей для генерации кода высокого уровня на разных языках высокого уровня.

Непосредственно перед генерацией кода может быть желательно разрешить интерактивное редактирование IR, возможно, с использованием какой-либо формы графического интерфейса пользователя . Это позволит пользователю вводить комментарии, а также неуниверсальные имена переменных и функций. Однако их почти так же легко ввести при редактировании после декомпиляции. Пользователь может захотеть изменить структурные аспекты, например преобразовать while петля до for петля. Их труднее изменить с помощью простого текстового редактора, хотя инструменты рефакторинга исходного кода могут помочь в этом процессе. Пользователю может потребоваться ввести информацию, которую не удалось идентифицировать на этапе анализа типа, например, изменить выражение памяти на выражение массива или структуры. Наконец, возможно, потребуется исправить неправильный IR или внести изменения, чтобы выходной код стал более читабельным.

Другие методы

декомпиляторы с использованием нейронных сетей Разработаны . Такой декомпилятор можно обучить с помощью машинного обучения , чтобы со временем повысить его точность.

Законность

На большинство компьютерных программ распространяется действие законов об авторском праве . Хотя точный объем того, на что распространяется авторское право, различается в зависимости от региона, закон об авторском праве обычно предоставляет автору (программисту(ам) или работодателю) набор исключительных прав на программу. компьютера Эти права включают в себя право создавать копии, в том числе копии, вносимые в оперативную память (за исключением случаев, когда создание такой копии необходимо для использования программы). Поскольку процесс декомпиляции предполагает создание нескольких таких копий, он, как правило, запрещен без разрешения правообладателя. Однако, поскольку декомпиляция часто является необходимым шагом для достижения совместимости программного обеспечения , законы об авторском праве как в США, так и в Европе разрешают декомпиляцию в ограниченной степени.

В Соединенных Штатах защита добросовестного использования авторских прав успешно применяется в делах о декомпиляции. Например, в деле Sega v. Accolade суд постановил, что Accolade может на законных основаниях заниматься декомпиляцией, чтобы обойти механизм блокировки программного обеспечения, используемый игровыми консолями Sega. Кроме того, Закон об авторском праве в цифровую эпоху (ПУБЛИЧНЫЙ ЗАКОН 105–304). ) имеет соответствующие исключения для тестирования и оценки безопасности в §1201(i) и обратного проектирования в §1201(f).

В Европе Директива по программному обеспечению 1991 года прямо предусматривает право на декомпиляцию для достижения совместимости. В результате жарких дебатов между сторонниками протекционизма программного обеспечения, с одной стороны, и учеными, а также независимыми разработчиками программного обеспечения, с другой, статья 6 разрешает декомпиляцию только при соблюдении ряда условий:

• Во-первых, физическое или юридическое лицо должно иметь лицензию на использование декомпилируемой программы.
• Во-вторых, декомпиляция должна быть необходима для достижения совместимости с целевой программой или другими программами. Поэтому информация о совместимости не должна быть легкодоступной, например, в руководствах или документации API . Это важное ограничение. Необходимость должна быть доказана декомпилятором. Целью этого важного ограничения является, прежде всего, стимулирование разработчиков документировать и раскрывать информацию о совместимости своих продуктов.
• В-третьих, процесс декомпиляции должен, если возможно, ограничиваться частями целевой программы, имеющими отношение к совместимости. Поскольку одной из целей декомпиляции является понимание структуры программы, это третье ограничение может быть трудно преодолеть. Опять же, бремя доказательства лежит на декомпиляторе.

Кроме того, статья 6 предписывает, что информация, полученная путем декомпиляции, не может использоваться для других целей и не может быть передана другим лицам.

В целом, право на декомпиляцию, предусмотренное статьей 6, кодифицирует то, что считается обычной практикой в ​​индустрии программного обеспечения. Известно лишь несколько европейских исков, связанных с правом на декомпиляцию. Это можно интерпретировать как означающее одно из трех:

1. ) право на декомпиляцию используется нечасто, и поэтому право на декомпиляцию может быть ненужным,
2. ) право на декомпиляцию функционирует хорошо и обеспечивает достаточную юридическую определенность, чтобы не вызывать юридических споров или
3. ) незаконная декомпиляция остается практически незамеченной.

В отчете 2000 года о реализации Директивы по программному обеспечению европейскими государствами-членами Европейская комиссия , похоже, поддержала вторую интерпретацию.

См. также

• Дизассемблер
• Бинарный рекомпилятор
• Линкер (вычисления)
• Абстрактная интерпретация
• Редактор ресурсов

Декомпиляторы Java

• Декомпилятор мокко
• JD-декомпилятор
• JAD-декомпилятор

Другие декомпиляторы

• .NET-отражатель
• dotPeek
• Декомпилятор JEB (Android Dalvik, Intel x86, ARM, MIPS, WebAssembly, Ethereum)
• Гид
• IDA Pro , включающая декомпилятор в качестве дополнительной платной функции.
• Бинарный ниндзя
• uncompyle6 (байт-код Python от 1.0 до 3.8)

Внешние ссылки

• Декомпиляторы и дизассемблеры в Curlie