¿Cómo desmonto el código de máquina x86 de 16 bits sin procesar?

Me gustaría desmontar el MBR (primeros 512 bytes) de un disco x86 de arranque que tengo. He copiado el MBR a un archivo usando

dd if=/dev/my-device of=mbr bs=512 count=1

¿Alguna sugerencia para una utilidad de Linux que pueda desensamblar el archivo mbr?

Puede utilizar objdump. Según este artículo, la sintaxis es:

objdump -D -b binary -mi386 -Maddr16,data16 mbr

La herramienta GNU se llama objdump , por ejemplo:

objdump -D -b binary -m i8086 <file>

Me gusta ndisasmpara este propósito. Viene con el ensamblador NASM, que es gratuito y de código abierto y se incluye en los repositorios de paquetes de la mayoría de las distribuciones de Linux.

ndisasm -b16 -o7c00h -a -s7c3eh mbr

Explicación : de la página de manual de ndisasm

• -b= Especifica el modo de 16, 32 o 64 bits. El modo predeterminado es de 16 bits.
• -o= Especifica la dirección de carga teórica para el archivo. Esta opción hace que ndisasm obtenga las direcciones que enumera en el margen izquierdo y las direcciones de destino de los saltos y llamadas relativas a PC, a la derecha.
• -a = Habilita el modo de sincronización automático (o inteligente), en el que ndisasm intentará adivinar dónde se debe realizar la sincronización, mediante el examen de las direcciones de destino de los saltos relativos y las llamadas desmonta.
• -s= Especifica manualmente una dirección de sincronización, de modo que ndisasm no generará ninguna instrucción de máquina que abarque bytes en ambos lados de la dirección. Por tanto, la instrucción que comienza en esa dirección se desmontará correctamente.
• mbr = El archivo a desmontar.

starblue y hlovdal tienen partes de la respuesta canónica. Si desea desensamblar el código i8086 sin procesar, generalmente desea la sintaxis de Intel, no la sintaxis de AT&T, así que use:

objdump -D -Mintel,i8086 -b binary -m i386 mbr.bin
objdump -D -Mintel,i386 -b binary -m i386 foo.bin    # for 32-bit code
objdump -D -Mintel,x86-64 -b binary -m i386 foo.bin  # for 64-bit code

Si su código es ELF (o a.out (o (E) COFF)), puede usar la forma corta:

objdump -D -Mintel,i8086 a.out  # disassembles the entire file
objdump -d -Mintel,i8086 a.out  # disassembles only code sections

Para código de 32 bits o 64 bits, omita ,8086; el encabezado ELF ya incluye esta información.

ndisasm, como sugiere jameslin , también es una buena opción, pero objdumpgeneralmente viene con el sistema operativo y puede manejar todas las arquitecturas compatibles con GNU binutils (superconjunto de las compatibles con GCC), y su salida generalmente se puede alimentar a GNU as(los ndisasm generalmente pueden ser alimentados nasm, por supuesto).

Peter Cordes sugiere que “ la objconv de Agner Fog es muy agradable. Coloca etiquetas en los destinos de las ramas, lo que facilita mucho la comprensión de lo que hace el código. Puede desmontarse en sintaxis NASM, YASM, MASM o AT&T (GNU) ".

Multimedia Mike ya se enteró --adjust-vma; el ndisasmequivalente es la -oopción.

Para desensamblar, digamos, sh4código (usé un binario de Debian para probar), use esto con GNU binutils (casi todos los demás desensambladores están limitados a una plataforma, como x86 con ndisasmy objconv):

objdump -D -b binary -m sh -EL x

El -mes la máquina, y -ELsignifica Little Endian (para sh4ebusar -EBen su lugar), que es relevante para arquitecturas que existen en cualquier endianidad.

Prueba este comando:

sudo dd if=/dev/sda bs=512 count=1 | ndisasm -b16 -o7c00h -