Чтение дизассемблированного кода, когда вы годами не писали ассемблер

Вам не нужно заново изучать ассемблер по учебнику, чтобы стать продуктивным в чтении дизассемблированного кода — нужно распознавать горстку повторяющихся паттернов.

Сначала декомпилированный псевдокод, потом сырой ассемблер

Переходите к сырому ассемблеру конкретно когда: вывод декомпилятора выглядит неправильным или неполным, вам нужно точное поведение на уровне инструкций (тайминг, конкретное использование регистров), или вы имеете дело с сильно оптимизированным или обфусцированным кодом, где декомпилятор испытывает трудности.

Паттерны, которые стоит распознавать, а не запоминать

• Пролог/эпилог функции — узнаваемая последовательность в начале и конце большинства функций, которая настраивает и разбирает кадр стека. Вы будете видеть одну и ту же форму снова и снова; её распознавание говорит вам «функция начинается/заканчивается здесь» без понимания каждой инструкции в ней.
• Сравнения, за которыми следуют условные переходы — так выглядит оператор if на уровне ассемблера. Инструкция сравнения, за которой следует переход-если-равно (или подобное), — это версия ветвления в дизассемблированном коде.
• Циклы как переход назад к более раннему адресу — цикл в исходном коде становится, на уровне ассемблера, сравнением и переходом назад к точке раньше в коде.
• Ссылки на строки — декомпиляторы и дизассемблеры обычно показывают вам фактическую строку, на которую ссылается фрагмент кода (сообщение об ошибке, URL, строка формата). Это часто самый быстрый способ сориентироваться в незнакомом коде — найдите знакомую строку и работайте наружу оттуда.

Практическая стратегия чтения

1. Сначала смотрите на декомпилированный псевдокод, а не на сырой ассемблер.
2. Находите узнаваемые строки и работайте назад от места, где на них ссылаются — это часто приводит вас к релевантной логике быстрее, чем чтение сверху вниз.
3. Следуйте за вызовами функций наружу от точки входа, а не читайте каждую функцию изолированно — контекст от вызывающего часто проясняет, что делает функция, ещё до того, как вы полностью прочитали её тело.
4. Сравнивайте с кодом, который вы написали сами (см. наше руководство по началу работы с реверс-инжинирингом), когда паттерн выглядит незнакомым — воссоздание минимального примера и компиляция его самостоятельно часто быстрее, чем попытка разобраться в нём только по документации.

Что реально нужно запомнить (короткий список)

Реалистично, только: как выглядит сравнение-затем-переход, как выглядит вызов/возврат функции, и как распознать цикл. Всё остальное — конкретные мнемоники инструкций, соглашения о регистрах — вы усвоите постепенно просто из повторяющегося воздействия, так же как чтение иностранного языка становится легче с объёмом, а не с предварительным запоминанием.