reverse-skills-max: initial public release (restored, redacted, hardened)
This commit is contained in:
baradok609hecl1pq6qi
@@ -0,0 +1,120 @@
|
||||
# Zig 最小解析示例
|
||||
|
||||
示例以本机 zig 0.17.0-dev 编译的真实产物为标本（Debug/ReleaseSafe 两种构建），readelf/反汇编输出与实测数据可逐字段对照。布局规则见 [[layout]]。
|
||||
|
||||
## 0. 标本构建
|
||||
|
||||
```zig
|
||||
// hello.zig
|
||||
const std = @import("std");
|
||||
fn check(x: u32) !u32 {
|
||||
if (x == 0) return error.BadInput;
|
||||
return x * 2;
|
||||
}
|
||||
pub fn main() void {
|
||||
const r = check(21) catch |e| {
|
||||
std.debug.print("err {s}\n", .{@errorName(e)});
|
||||
return;
|
||||
};
|
||||
std.debug.print("val {d}\n", .{r});
|
||||
}
|
||||
```
|
||||
|
||||
```sh
|
||||
zig build-exe hello.zig -O Debug -femit-bin=hello_dbg
|
||||
zig build-exe hello.zig -O ReleaseSafe -femit-bin=hello
|
||||
```
|
||||
|
||||
## 1. 产物判别（readelf 实测）
|
||||
|
||||
```
|
||||
$ readelf -S hello | grep -E 'gcc_except|eh_frame'
|
||||
[ 2] .eh_frame_hdr
|
||||
[ 3] .eh_frame ← 有 .eh_frame 但无 .gcc_except_table（不能单独作判据）
|
||||
|
||||
$ readelf -s hello | grep -E '__gxx_personality_v0|_ZTV' # 无输出 = 无 C++ 异常/RTTI
|
||||
$ readelf -s hello | grep -E 'panic' | head -3
|
||||
26: 0000000000000000 8 TLS LOCAL DEFAULT 5 debug.panic_stage
|
||||
27: 0000000001088000 1 OBJECT LOCAL DEFAULT 9 debug.panicking
|
||||
64: 000000000107ac00 718 FUNC LOCAL DEFAULT 4 debug.panicExtra[...]
|
||||
```
|
||||
|
||||
对照要点：panic 链符号（0.17 命名 `debug.panicExtra`/`debug.panicking`，老版本是 `std.debug.panic`）；`.eh_frame` 是 C 编译器统一产物，判别看 `.gcc_except_table` 与 `__gxx_personality_v0`。
|
||||
|
||||
## 2. 符号可见性（LOCAL vs GLOBAL）
|
||||
|
||||
```
|
||||
$ readelf -s hello | grep -wE '_start|main'
|
||||
2: 0000000001024c30 16 FUNC LOCAL DEFAULT 4 start._start
|
||||
838: 0000000001024c30 16 FUNC GLOBAL DEFAULT 4 _start ← 唯一默认导出
|
||||
18: 0000000001075540 388 FUNC LOCAL DEFAULT 4 hello.main ← 业务函数 LOCAL
|
||||
|
||||
$ readelf -s hello | grep FUNC | awk '$7=="GLOBAL"' | wc -l # 全局函数计数（约 1-2）
|
||||
```
|
||||
|
||||
对照要点：业务函数是 LOCAL 符号（Debug/ReleaseSafe 保留符号表但非导出）；hook/注入面按 GLOBAL 算。
|
||||
|
||||
## 3. 错误联合布局（反汇编实测，0.17）
|
||||
|
||||
`check` 函数（Debug 构建）关键片段：
|
||||
|
||||
```
|
||||
00000000011df000 <hello.check>:
|
||||
11df008: 89 44 24 18 movl %eax, 0x18(%rsp) ; 参数 x
|
||||
11df00c: 83 f8 00 cmpl $0x0, %eax
|
||||
11df00f: 0f 85 12 00 00 00 jne ... ; x!=0 走正常路径
|
||||
11df015: e8 16 a3 e4 ff callq lang.returnError ; 错误返回路径（0.17 命名）
|
||||
11df01a: 48 8b 04 25 94 6a 27 01 movq 0x1276a94, %rax ; 装入错误表值（错误码在高位）
|
||||
11df02c: bb 02 00 00 00 movl $0x2, %ebx ; 正常路径: x*2
|
||||
11df05f: 48 89 54 24 10 movq %rdx, 0x10(%rsp)
|
||||
11df064: 89 44 24 10 movl %eax, 0x10(%rsp) ; 载荷(u32)在槽位低 4 字节
|
||||
11df068: 66 c7 44 24 14 00 00 movw $0x0, 0x14(%rsp) ; 错误码 u16=0（无错）在 offset+4
|
||||
|
||||
; main 中调用点（catch 检查）:
|
||||
11df0e0: b8 15 00 00 00 movl $0x15, %eax ; x=21
|
||||
11df0e5: e8 16 ff ff ff callq hello.check
|
||||
11df0ea: 48 89 44 24 28 movq %rax, 0x28(%rsp) ; 8 字节槽位
|
||||
11df0ef: 66 83 7c 24 2c 00 cmpw $0x0, 0x2c(%rsp) ; ← 错误码比较（catch/orelse）
|
||||
11df0f5: 0f 85 0e 00 00 00 jne 错误分支
|
||||
```
|
||||
|
||||
对照要点：`E!u32` 是 8 字节槽位——载荷在低 4 字节、错误码 u16 在 offset +4（无错=0）；`cmpw $0, slot+4` + 分支即 `catch` 编译产物。
|
||||
|
||||
## 4. 错误联合尺寸实测（sizeOf）
|
||||
|
||||
```
|
||||
$ zig build-exe sizez.zig -O ReleaseSafe -femit-bin=sizez && ./sizez
|
||||
u32: 8 u128: 32 struct16: 24 u8: 4 bool: 4
|
||||
```
|
||||
|
||||
| 载荷 | E!T 尺寸 | 说明 |
|
||||
|---|---|---|
|
||||
| u8/bool | 4 | 载荷 + u16 错误码 + 填充 |
|
||||
| u32/u64 | 8 | 错误码在载荷之后（高位侧） |
|
||||
| u128 | 32 | 错误码在前 2 字节、载荷按 16 对齐内联 |
|
||||
| struct{u64,u64} | 24 | 载荷按 8 对齐内联 |
|
||||
|
||||
## 5. 启动链与栈检查（ReleaseSafe 实测）
|
||||
|
||||
```
|
||||
$ readelf -s hello | grep -E '_start|probe'
|
||||
838: 0000000001024c30 16 FUNC GLOBAL DEFAULT 4 _start
|
||||
833: 000000000107e460 54 FUNC LOCAL HIDDEN 4 __zig_probe_stack
|
||||
|
||||
0000000001024c30 <_start>: ; 16 字节短桩
|
||||
1024c30: 48 8d 3d 21 e0 05 00 leaq 0x5e021(%rip), %rdi
|
||||
1024c37: e9 14 00 00 00 jmpq 0x1024c50 ; → std.start 初始化
|
||||
```
|
||||
|
||||
对照要点：`_start` 是短桩跳转；`__zig_probe_stack` 是栈探测（安全特性）；ReleaseSafe 保留 `hello.main` LOCAL 符号与 panic 链。
|
||||
|
||||
## 实现教训（内化）
|
||||
|
||||
- 判别组合用三个独立特征：无 `.gcc_except_table` / 无 `__gxx_personality_v0` / 无 `_ZTV*`；`.eh_frame` 不算
|
||||
- 错误码恒为 u16、检查模式恒为"槽位高 16 位比较"——先找 `cmpw` + 分支即可定位所有 catch/orelse
|
||||
- 符号可见性决定 hook 面：LOCAL 符号只是线索，`export`/GLOBAL 才是宿主调用点
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 本机 0.17.0-dev 实测；用户产物以自身版本为准（panic 链命名与错误联合细节随版本变，见 [[layout]] 版本差异）
|
||||
- 与 [[re-cpp-abi]]（C++ 判别）、[[re-analyze/analysis-contract]]（符号表传递）配合使用
|
||||
@@ -0,0 +1,78 @@
|
||||
# Zig 二进制布局：启动路径 / 错误联合 / panic 链 / 符号可见性
|
||||
|
||||
Zig 产物与 C 产物的最大差异在错误处理（error union 而非异常表）与符号可见性（业务函数 LOCAL）。先确认 Zig 版本再读布局——panic 链命名与错误联合细节随版本演进。
|
||||
|
||||
## 启动路径（ELF，x86-64 实测 0.17.0-dev）
|
||||
|
||||
```
|
||||
_start (GLOBAL) ← 链接器入口（用户代码不可见）
|
||||
└─ std.start 运行时初始化（栈指针/安全栈、exit 处理）
|
||||
└─ main (LOCAL) ← 用户 main 函数（Zig 的 main 是普通函数）
|
||||
退出经 std.start 包裹层（return 后处理）
|
||||
```
|
||||
|
||||
- `_start` 是唯一默认导出的业务无关 GLOBAL 函数；`export fn` 才产生其他导出
|
||||
- 反汇编入口链：`_start` 短桩（16 字节级）→ std.start 初始化函数（大，含安全特性安装）
|
||||
|
||||
## 符号可见性（与 C 的重要差异）
|
||||
|
||||
| 构建模式 | 业务函数符号 | 说明 |
|
||||
|---|---|---|
|
||||
| Debug / ReleaseSafe | LOCAL（符号表保留） | `nm` 可见但非导出；`_start` 为 GLOBAL |
|
||||
| ReleaseFast / ReleaseSmall | 可被 strip | 按行为特征恢复 |
|
||||
| `export fn` | GLOBAL | 显式导出（C ABI 边界，宿主调用点） |
|
||||
|
||||
- 判别命令：`readelf -s sample | grep FUNC | awk '$7=="GLOBAL"'` 数全局函数
|
||||
- hook/注入面按导出表（GLOBAL + 动态符号）算，LOCAL 符号只是分析线索
|
||||
|
||||
## 错误联合（error union）布局
|
||||
|
||||
`E!T`（错误联合）编译为"错误码 + 载荷"：错误码恒为 u16（0 = 无错），布局按载荷大小分两种。
|
||||
|
||||
### 载荷 ≤ 8 字节：整体一个槽位，错误码在载荷之后（高位侧）
|
||||
|
||||
| 载荷类型 | 槽位大小（实测 0.17） | 错误码位置 |
|
||||
|---|---|---|
|
||||
| u8 / bool | 4 字节 | 载荷之后（u8 在 offset 1） |
|
||||
| u32 | 8 字节 | offset +4（u16） |
|
||||
| u64 | 8 字节 | 高位 u16 |
|
||||
|
||||
### 载荷 > 8 字节：错误码在前 2 字节，载荷按自身对齐内联
|
||||
|
||||
| 载荷类型 | 槽位大小（实测 0.17） |
|
||||
|---|---|
|
||||
| u128（对齐 16） | 32 字节 |
|
||||
| struct { u64, u64 }（对齐 8） | 24 字节 |
|
||||
|
||||
- 反汇编识别：调用点后 `cmpw $0, 槽位+offset` + 分支 = `catch`/`orelse` 的错误码检查；错误返回路径 `call lang.returnError`（0.17 命名）后装入错误表地址
|
||||
- `@errorName(e)` 在字符串池留错误名（`__zig_tag_name_*` 符号/字符串），可还原错误语义
|
||||
|
||||
## panic 链
|
||||
|
||||
| 版本 | 链形态 |
|
||||
|---|---|
|
||||
| 0.14+（实测 0.17.0-dev） | `@panic`/断言 → `debug.panicExtra`/`debug.FullPanic.defaultPanic` → `debug.panicking` 状态 + 打印 + abort；溢出检查 `debug.FullPanic(...).integerOverflow` |
|
||||
| 更早版本 | `std.debug.panic`（直接命名） |
|
||||
|
||||
- 定位方式不依赖符号名：找"打印 + abort"序列（`__zig_probe_stack` 附近的栈检查调用也常见）
|
||||
- `debug.panicking` 是 TLS 状态（panic 期间再 panic 短路）
|
||||
|
||||
## C ABI 边界
|
||||
|
||||
- **C ABI 只在 `extern` / `export` 或显式 `callconv(.c)` 的边界上假定**——编译器定义：`c` 是本目标 C 调用的别名，`extern`/`export` 函数默认获得它；**普通 Zig `fn` 用 Zig 默认约定**（既非 `export` 也非 `inline` 时使用，不对寄存器/栈对齐作保证），逆向内部函数时不能套 C ABI 的参数与返回值规则
|
||||
- `.c` 在各 target 上有各自的映射（x86-64 Linux 为 SysV AMD64、Windows 为 x64 约定、AArch64 为 AAPCS64）——这是**边界上**的映射，不是 Zig 内部约定本身
|
||||
- 导入：`@extern`/`@cImport` → 动态符号表（`readelf -d` NEEDED + UND 符号）
|
||||
- 导出：`export fn` → GLOBAL（导出表）
|
||||
- 混合产物判别：Zig 侧无 RTTI/异常表符号（`_ZTV*`/`__gxx_personality_v0` 缺失），C++ 侧有
|
||||
|
||||
## 版本差异要点
|
||||
|
||||
- panic 链命名：0.14 前后差异大（`debug.panicExtra` vs `std.debug.panic`）
|
||||
- 错误联合布局：u16 错误码不变；槽位尺寸/对齐随版本微调（以实测为准，[[examples]] 有 0.17 实测）
|
||||
- `main` 符号形态稳定（LOCAL 普通函数）；`_start` 稳定（GLOBAL）
|
||||
- ReleaseFast 可能去除 panic 链（`-Drelease-fast` 下安全检查关闭）
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 静态分析无需沙箱；跨架构 Zig 产物（ARM/RISC-V）布局规则同（错误码 u16 不变），槽位尺寸按指针宽度
|
||||
- 与 [[re-analyze/analysis-contract]]（符号表传递）、[[re-cpp-abi]]（C++ 判别）配合使用
|
||||
Reference in New Issue
Block a user