Como faço para desmontar código de máquina x86 de 16 bits bruto?

Gostaria de desmontar o MBR (primeiros 512 bytes) de um disco x86 inicializável que tenho. Copiei o MBR para um arquivo usando

dd if=/dev/my-device of=mbr bs=512 count=1

Alguma sugestão de um utilitário Linux que pode desmontar o arquivo mbr?

Você pode usar objdump. De acordo com este artigo, a sintaxe é:

objdump -D -b binary -mi386 -Maddr16,data16 mbr

A ferramenta GNU é chamada de objdump , por exemplo:

objdump -D -b binary -m i8086 <file>

Eu gosto ndisasmpara esse propósito. Ele vem com o NASM assembler, que é gratuito e de código aberto e incluído nos repositórios de pacotes da maioria das distros Linux.

ndisasm -b16 -o7c00h -a -s7c3eh mbr

Explicação - da página de manual do ndisasm

• -b= Especifica o modo de 16, 32 ou 64 bits. O padrão é o modo de 16 bits.
• -o= Especifica o endereço de carregamento nocional para o arquivo. Esta opção faz com que o ndisasm obtenha os endereços que lista na margem esquerda e os endereços de destino das chamadas e saltos relativos ao PC, à direita.
• -a = Habilita o modo de sincronização automática (ou inteligente), no qual o ndisasm tentará adivinhar onde a sincronização deve ser realizada, por meio do exame dos endereços de destino dos saltos relativos e chama isso de desmontagem.
• -s= Especifica manualmente um endereço de sincronização, de forma que ndisasm não produza nenhuma instrução de máquina que inclua bytes em ambos os lados do endereço. Portanto, a instrução que começa naquele endereço será desmontada corretamente.
• mbr = O arquivo a ser desmontado.

starblue e hlovdal têm partes da resposta canônica. Se você deseja desmontar o código i8086 bruto, geralmente deseja a sintaxe Intel, não a sintaxe AT&T também, então use:

objdump -D -Mintel,i8086 -b binary -m i386 mbr.bin
objdump -D -Mintel,i386 -b binary -m i386 foo.bin    # for 32-bit code
objdump -D -Mintel,x86-64 -b binary -m i386 foo.bin  # for 64-bit code

Se o seu código for ELF (ou a.out (ou (E) COFF)), você pode usar a forma abreviada:

objdump -D -Mintel,i8086 a.out  # disassembles the entire file
objdump -d -Mintel,i8086 a.out  # disassembles only code sections

Para código de 32 ou 64 bits, omita o ,8086; o cabeçalho ELF já inclui essas informações.

ndisasm, como sugerido por jameslin , também é uma boa escolha, mas objdumpgeralmente vem com o sistema operacional e pode lidar com todas as arquiteturas suportadas pelo GNU binutils (superconjunto daquelas suportadas pelo GCC), e sua saída geralmente pode ser alimentada no GNU as(ndisasm's geralmente podem ser alimentados em nasmembora, naturalmente).

Peter Cordes sugere que “ o objconv de Agner Fog é muito bom. Ele coloca rótulos em alvos de branch, tornando muito mais fácil descobrir o que o código faz. Ele pode ser desmontado em sintaxe NASM, YASM, MASM ou AT&T (GNU). ”

Multimídia que Mike já descobriu --adjust-vma; o ndisasmequivalente é a -oopção.

Para desmontar, digamos, sh4código (usei um binário do Debian para testar), use-o com binutils GNU (quase todos os outros desmontadores são limitados a uma plataforma, como x86 com ndisasme objconv):

objdump -D -b binary -m sh -EL x

O -mé a máquina e -ELsignifica Little Endian (para sh4ebuso em -EBvez disso), o que é relevante para arquiteturas que existem em qualquer endianness.

Tente este comando:

sudo dd if=/dev/sda bs=512 count=1 | ndisasm -b16 -o7c00h -