逆向工程固件 - 每四个字节有什么用？

Question

所以我决定抓住我的工具并分析路由器固件.它非常好,直到我必须手动找到段.我不会打扰你,我真的不想问黑客攻击或帮助我.有一种模式,我相信有人可以向我解释.看看hexdump,我看到的就是:

有些字符串会破坏模式,但它几乎一直向下到文件的末尾.
究竟是什么导致这种模式？
(如果有人愿意提供帮助但需要更多信息:VxWorks 5.5.1 /可能是ARM-9E CPU)

Answer 1

它是一个手臂,看看手臂文档,你会看到,对于32位(非拇指)臂指令,前四位是条件代码.代码0b1110在大多数情况下都是"ALWAYS",不执行条件执行,所以大多数arm指令都以0xE开头.这使得很容易找到一个arm二进制文件.16位拇指指令也有类似的模式,但出于不同的原因,那么如果你添加thumb2它会改变一些...

Answer 2

这仅仅是由于ARM操作码的映射方式,实际上是帮助我"关注"转储以查看其ARM代码.

我建议您阅读ARM体系结构手册的一部分,了解如何生成操作码.特别是条件.当你总是希望发生一些事情时,就会创造出E