用IDA Pro 7.7反汇编Rust ELF从一行println!宏看编译器如何搞事情当逆向工程师第一次面对Rust编译产物时往往会陷入一种认知失调——那些在高级语言中优雅简洁的语法糖在汇编层面却呈现出令人费解的复杂结构。本文将以println!宏为解剖样本带你穿透Rust编译器的魔法迷雾掌握逆向分析Rust ELF的关键技术路径。1. Rust逆向的特殊挑战与C/C二进制文件不同Rust编译产物至少存在三个显著特征名称修饰(Name Mangling)函数签名会被编码成类似_ZN6revlab4main17h512e681518e409c2E的形式其中包含模块路径和哈希值。IDA 7.7虽然能自动解析部分符号但面对去除符号表的文件时仍需手动解码。控制流碎片化编译器会将逻辑拆分为多个基本块通过jmp指令连接。下图展示了一个简单match表达式的控制流图开始 ├── 比较操作 │ ├── 分支1 → 处理块A → jmp到结束 │ ├── 分支2 → 处理块B → jmp到结束 │ └── 默认分支 → 处理块C → jmp到结束 └── 结束返回值传递差异常规类型使用rax寄存器返回切片(str)等复合类型通过rax(指针)rdx(长度)返回大对象通常通过隐藏的指针参数传递2. println!宏的逆向解剖2.1 宏展开的三阶段模式在1.69.0/1.73.0版本编译器下println!({}, value)的展开遵循固定模式; 阶段1准备显示特征 lea rdi, [value_addr] call core::fmt::ArgumentV1::new_display ; 阶段2构建参数列表 mov qword ptr [rsp0x20], rax ; 保存第一阶段结果 mov qword ptr [rsp0x28], rdx lea rsi, [.L__unnamed_X] ; 静态格式描述符 mov edx, 1 ; 参数数量 lea rcx, [rsp0x20] ; 动态参数数组 mov r8d, 1 ; 动态参数数量 call core::fmt::Arguments::new_v1 ; 阶段3实际输出 mov rdi, rax ; 传递格式化结果 call std::io::stdio::_print关键识别特征连续出现new_display和new_v1调用.L__unnamed_前缀的数据段引用参数数量与格式化占位符({})严格对应2.2 格式描述符的数据结构编译器会将格式字符串拆解为静态描述符其内存布局如下.L__unnamed_28: .quad .L__unnamed_36 ; 字面量a的地址 .asciz \001\000... ; 字面量长度1 .quad .L__unnamed_37 ; 字面量\n的地址 .asciz \001\000... ; 字面量长度1逆向时可据此还原原始格式字符串。当遇到多占位符时如a{}b{}描述符数组会按出现顺序包含所有静态部分。2.3 参数传递的黄金法则通过分析上百个案例我们总结出Rust参数传递的规律参数类型传递方式识别特征基本类型rax/rdi等寄存器直接mov操作strrax(ptr)rdx(len)两个寄存器连续使用大对象[rspoffset]隐式传递栈操作先于call指令trait对象rax(ptr)rdx(vtable)类似str但后续访问偏移3. 实战还原去除符号表的println!假设我们遇到一个去除符号的Rust ELF按照以下步骤可定位并解析println!调用3.1 特征扫描# IDAPython脚本定位关键函数 import idautils def find_println(): for seg in Segments(): if SegName(seg) .text: for func_ea in Functions(seg, get_segm_end(seg)): # 检测new_display和new_v1调用模式 call_count 0 for ref in CodeRefsTo(func_ea, 0): if print_insn_mnem(ref) call: next_ea next_head(ref) if new_display in get_func_name(next_ea): call_count 1 elif new_v1 in get_func_name(next_ea): call_count 1 if call_count 2: print(Potential println! at 0x%x % func_ea)3.2 参数重建回溯new_display的rdi参数来源分析.L__unnamed_段的数据关系对照new_v1的rcx参数确认动态参数数量3.3 类型推断技巧当遇到未知类型时可通过以下特征判断频繁出现drop_in_place调用 → 自定义类型存在vtable指针访问 → trait对象内存操作伴随长度参数 → 切片或数组4. 高级调试技巧4.1 基于GDB的运行时验证# 在new_v1调用处设置断点 b *0x555555555234 commands printf fmt0x%lx\n, $rdi x/s $rdi printf args_num%d\n, $r8 info registers end4.2 IDA反编译优化修改ida.cfg提升反编译效果RUST_COMPILER_SPECIFIC YES ANALYSIS_REPEATABLE AUTO DEMANGLE_RUST_SYMBOLS AGGRESSIVE4.3 编译器版本特征库不同Rust版本的关键函数签名编译器版本core::fmt::ArgumentV1特征地址1.69.00x7ff8b2a043201.73.00x7ff8b2a12e40建立这样的特征库可快速识别编译器版本。
用IDA Pro 7.7反汇编Rust ELF：从一行`println!`宏看编译器如何“搞事情”
用IDA Pro 7.7反汇编Rust ELF从一行println!宏看编译器如何搞事情当逆向工程师第一次面对Rust编译产物时往往会陷入一种认知失调——那些在高级语言中优雅简洁的语法糖在汇编层面却呈现出令人费解的复杂结构。本文将以println!宏为解剖样本带你穿透Rust编译器的魔法迷雾掌握逆向分析Rust ELF的关键技术路径。1. Rust逆向的特殊挑战与C/C二进制文件不同Rust编译产物至少存在三个显著特征名称修饰(Name Mangling)函数签名会被编码成类似_ZN6revlab4main17h512e681518e409c2E的形式其中包含模块路径和哈希值。IDA 7.7虽然能自动解析部分符号但面对去除符号表的文件时仍需手动解码。控制流碎片化编译器会将逻辑拆分为多个基本块通过jmp指令连接。下图展示了一个简单match表达式的控制流图开始 ├── 比较操作 │ ├── 分支1 → 处理块A → jmp到结束 │ ├── 分支2 → 处理块B → jmp到结束 │ └── 默认分支 → 处理块C → jmp到结束 └── 结束返回值传递差异常规类型使用rax寄存器返回切片(str)等复合类型通过rax(指针)rdx(长度)返回大对象通常通过隐藏的指针参数传递2. println!宏的逆向解剖2.1 宏展开的三阶段模式在1.69.0/1.73.0版本编译器下println!({}, value)的展开遵循固定模式; 阶段1准备显示特征 lea rdi, [value_addr] call core::fmt::ArgumentV1::new_display ; 阶段2构建参数列表 mov qword ptr [rsp0x20], rax ; 保存第一阶段结果 mov qword ptr [rsp0x28], rdx lea rsi, [.L__unnamed_X] ; 静态格式描述符 mov edx, 1 ; 参数数量 lea rcx, [rsp0x20] ; 动态参数数组 mov r8d, 1 ; 动态参数数量 call core::fmt::Arguments::new_v1 ; 阶段3实际输出 mov rdi, rax ; 传递格式化结果 call std::io::stdio::_print关键识别特征连续出现new_display和new_v1调用.L__unnamed_前缀的数据段引用参数数量与格式化占位符({})严格对应2.2 格式描述符的数据结构编译器会将格式字符串拆解为静态描述符其内存布局如下.L__unnamed_28: .quad .L__unnamed_36 ; 字面量a的地址 .asciz \001\000... ; 字面量长度1 .quad .L__unnamed_37 ; 字面量\n的地址 .asciz \001\000... ; 字面量长度1逆向时可据此还原原始格式字符串。当遇到多占位符时如a{}b{}描述符数组会按出现顺序包含所有静态部分。2.3 参数传递的黄金法则通过分析上百个案例我们总结出Rust参数传递的规律参数类型传递方式识别特征基本类型rax/rdi等寄存器直接mov操作strrax(ptr)rdx(len)两个寄存器连续使用大对象[rspoffset]隐式传递栈操作先于call指令trait对象rax(ptr)rdx(vtable)类似str但后续访问偏移3. 实战还原去除符号表的println!假设我们遇到一个去除符号的Rust ELF按照以下步骤可定位并解析println!调用3.1 特征扫描# IDAPython脚本定位关键函数 import idautils def find_println(): for seg in Segments(): if SegName(seg) .text: for func_ea in Functions(seg, get_segm_end(seg)): # 检测new_display和new_v1调用模式 call_count 0 for ref in CodeRefsTo(func_ea, 0): if print_insn_mnem(ref) call: next_ea next_head(ref) if new_display in get_func_name(next_ea): call_count 1 elif new_v1 in get_func_name(next_ea): call_count 1 if call_count 2: print(Potential println! at 0x%x % func_ea)3.2 参数重建回溯new_display的rdi参数来源分析.L__unnamed_段的数据关系对照new_v1的rcx参数确认动态参数数量3.3 类型推断技巧当遇到未知类型时可通过以下特征判断频繁出现drop_in_place调用 → 自定义类型存在vtable指针访问 → trait对象内存操作伴随长度参数 → 切片或数组4. 高级调试技巧4.1 基于GDB的运行时验证# 在new_v1调用处设置断点 b *0x555555555234 commands printf fmt0x%lx\n, $rdi x/s $rdi printf args_num%d\n, $r8 info registers end4.2 IDA反编译优化修改ida.cfg提升反编译效果RUST_COMPILER_SPECIFIC YES ANALYSIS_REPEATABLE AUTO DEMANGLE_RUST_SYMBOLS AGGRESSIVE4.3 编译器版本特征库不同Rust版本的关键函数签名编译器版本core::fmt::ArgumentV1特征地址1.69.00x7ff8b2a043201.73.00x7ff8b2a12e40建立这样的特征库可快速识别编译器版本。
