x86/x64 簡易アセンブラ・逆アセンブラ「ロケットねこみみ」

概要と基本操作

●概要

当ソフトウェアの使用にあたり必要な基礎知識については、基礎用語解説「逆アセンブルコードリスト」を参照されることをお勧めします。
この同梱ソフトウェア(NekoAsm.exeとNekoAsm64.exe)は、複数行入力対応の簡易アセンブラ兼逆アセンブラで、「うさみみハリケーン」のデバッグ補助ツールとして開発しました。実行ファイルをアセンブル・逆アセンブルするためのツールではありません。実行ファイルの逆アセンブル機能は「うさみみハリケーン」本体が実装しています（メニューの「デバッグ」下）。
アセンブルモードでは、入力されたアセンブリ言語のソースコードをアセンブルし、得られたバイナリデータをテキスト表示することが可能です。ただし、対応していないオペコードあるいはオペランドもあります。
逆アセンブルモードでは、テキスト入力されたバイナリデータを逆アセンブルし、逆アセンブルコードリストを表示することが可能です。
アセンブル・逆アセンブル時に開始アドレスを指定可能です。また、改造コード形式等の表示/コピーオプションも使用することができます。
アセンブリ言語のソースコードが記述された、Shift-JIS形式のテキストファイルを読み込んでアセンブルしたり、バイナリファイルを読み込んで逆アセンブルすることも可能です。
64ビット版「ロケットねこみみ」（NekoAsm64.exe）は、32ビット版（NekoAsm.exe）の改良上位互換バージョンです。そのため、64ビット版Windowsの環境ならば、この64ビット版「ロケットねこみみ」を使用されることをお勧めします。
64ビット版のNekoAsm64.exeでは、アセンブル/逆アセンブルエンジンにXEDParse64.dllとBeaEngine64.dllを使用しています。また、32ビット版(NekoAsm.exe)との違いとして、「入力可能文字数の上限が32000文字」、「内容の無い連続改行があっても処理を続行」、「ドラッグ・アンド・ドロップに対応」、「Unicode形式のテキストファイルの読み込みに対応」、「パラサイトルーチン作成機能と同様の、API関数アドレスのCALL/MOVをモジュール名とAPI関数名で指定可」が挙げられます。最後のAPI関数アドレス指定機能は、関数を提供するモジュールのアドレスがプロセス毎に異なるケースに対処するため、事前に「!0x1234」といった対象プロセスのPID指定行が必要です。対象プロセス解析のため管理者権限での起動が必要になることもあります。さらに、関数提供元が対象プロセス独自のDLLならば、あらかじめ同DLLの複製を当ソフトウェアのインストールフォルダにコピーする必要があります。関数アドレス解析時に関数提供元DLLのプログラムコードは実行されません。

;API関数指定機能の使用例
;PID指定(10進数と16進数のどちらでも指定可、指定が無ければ当ソフトウェアのPIDを用います)
!5678
;「 CALL Beep関数のアドレス」のニーモニックを生成
@kernel32.dll\Beep
;「 MOV RAX, OutputDebugStringW関数のアドレス」のニーモニックを生成
#kernel32.dll\OutputDebugStringW

x64におけるCPU基本設計の仕様変更により、64ビット版のx64モード使用時には、コール命令やジャンプ命令等でのRIPレジスタ相対アドレス指定に注意してください。また、スタックトップ(RSPレジスタ)のアドレス値に、16バイト単位のアラインメントが必要になるケースにも留意してください。このNekoAsm64.exeの動作環境は、Windows 7以降の64ビット版Windows OSです。

●基本操作

「うさみみハリケーン」のメニューで「その他」→「簡易アセンブラ/逆アセンブラ」で「ロケットねこみみ」(NekoAsm.exeかNekoAsm64.exe)を起動します。
起動後、まず実行モードをアセンブラか逆アセンブラか選択します。次に表示したい内容に合わせてオプションを設定します。
開始アドレス入力欄に開始アドレスを16進数で入力します。「0x」は不要です。誤入力防止のため、開始アドレス入力欄には入力文字数上限が設定されています。必要に応じて既存の入力済み文字列を消去して再入力して下さい。開始アドレスを入力しない場合、ジャンプ命令等の解析が不正確になります。
アセンブリ言語のソースコードを一行ずつアセンブルする等、連続してアセンブルあるいは逆アセンブルを行いたい場合は、開始アドレスのオプションである「実行後アドレス補正」にチェックを入れておいて下さい。
画面左下の実行対象入力欄に実行対象のアセンブリ言語ソースコードかバイナリデータを入力後、「アセンブル/逆アセンブル実行」ボタンを押します。
画面右下の実行結果出力欄に実行結果が出力されます。32ビット版では、実行対象入力欄と実行結果出力欄上で、右クリックからテキスト編集用メニューを呼び出すことが可能です。64ビット版では、実行結果出力はリストビュー上で行い、選択列単位でコピー等が行えるようにしています。

●参考画像(64ビット版画面)

入力例(32ビット版)

●アセンブラモード用入力例

(開始アドレスは0x401000)

;アセンブルテスト
PUSH 0
CALL 0040151B
TEST EAX,EAX
JE SHORT 00401029
MOV [40217C],EAX
PUSH 0
PUSH 401030;コメントテスト
PUSH 0
PUSH 3E8
PUSH DWORD PTR [40217C]
CALL 00401539
PUSH 0
CALL 00401515
ENTER 8,0

;コードとコメント以外の改行以降は無視
MOVQ    MM1, [EDX]
PADDUSB MM0, MM1
EMMS

●逆アセンブラモード用入力例

(開始アドレスは0x401000)

6A00
E814050000
85C0
741E
A37C214000
6A00
6830104000
6A00
68E8030000
FF357C214000
E810050000

6A00E8E5040000C8080000

基本注意事項

●注意事項

32ビット版のアセンブラモードでは、MOV命令等でニーモニックのバイナリデータに複数のパターンが使用可能なケースにおいて、ニーモニックのバイナリデータの長さが最短のものを選択します。
32ビット版では、アセンブラモードの実行用オプションである「数値パターン」と「再解析」は、通常は初期設定の「自動」のままにして下さい。変更するとアセンブル処理自体ができなくなることがあります。
アセンブラモードでは「;」以降は改行までコメントとして無視します。また、32ビット版では、コードとコメント以外の、内容のない改行があった場合は、それ以降を無視します。
逆アセンブラモードでは、16進文字列ではない、記号やスペースや改行等は無視します。ただし、漢字等2バイトの文字が含まれていた場合は、16進文字列の一部として誤認識する可能性がありますので注意して下さい。
アセンブラモードでのジャンプ命令のジャンプ先には、アドレスの数値を直接指定してください。ラベルの設定と指定には対応していません。
アセンブラモード・逆アセンブラモードとも、x86/x64非文書化命令には対応していません。
32ビット版では、アセンブルコード中でのジャンプ命令指定時には、LONGジャンプ(ジャンプ幅を4バイトで指定し、常に使用可能)・SHORTジャンプ(ジャンプ幅を1バイトで指定し、ジャンプ幅が符号付きByteの範囲内の場合のみ使用可能)を選択することができます(例：「JMP LONG 405000」)
出力結果は、既存の出力結果に追加する形で出力します。32ビット版での出力結果のテキストデータサイズ上限は32KBです。
32ビット版では、ファイルとして読み込むアセンブリ言語のソースコードはサイズ上限10KB、バイナリファイルはサイズ上限1KBです（64ビット版ではそれぞれ約32KB、8KB）。32ビット版では、アセンブリ言語のソースコードは、必ずShift-JIS形式のテキストファイルを読み込んでください。Unicode形式のテキストファイルは読み込めません。
実行履歴は実行対象入力欄下部のコンボボックスに保存されますが、コンボボックスの仕様により入力文字列のうち256バイト超の部分は切り捨てられます。

各コントロールの説明

●画面説明(32ビット版)

●実行モード指定・アセンブラ用オプション
■実行モード指定ラジオボタン
実行モードを指定します。

■数値パターン・再解析
通常は初期設定のままにしておいてください。

●表示オプション
■先頭アドレスを表示
ニーモニックの先頭アドレスを併せて表示します。

■入力内容も併せて出力
入力内容を併せて出力することで、アセンブル・逆アセンブル処理内容と入力内容を簡単に比較できるようにします。

■改造コード形式で出力
特にアセンブルモードで、処理結果をプロセスメモリ書き換え用改造コードとしてそのまま実行できる形で出力します。

■実行後入力内容クリア
アセンブル・逆アセンブル実行後に入力内容をクリアします。一行ずつ入力しながらアセンブル・逆アセンブルする際に有用です。

●開始アドレス指定
■開始アドレス指定エディットボックス
アセンブル・逆アセンブル開始アドレスを16進数で指定します。「0ｘ」は不要です。

■実行後アドレス補正
アセンブル・逆アセンブル実行後に、処理されたニーモニックのサイズを元に開始アドレスを補正します。一行ずつ入力しながらアセンブル・逆アセンブルする際に有用です。

●Asmソースコード/バイナリデータ入力・実行
■Asmソースファイル読み込み
アセンブリ言語のソースコードをテキスト形式のファイルから読み込んでエディットボックスに出力します。出力内容中のアセンブリ言語ソースコード以外の部分はコメントアウトか削除してください。

■バイナリファイル読み込み
バイナリファイルを読み込んで、バイナリデータをテキストデータに変換してからエディットボックスに出力します。

■アセンブル/逆アセンブル実行
指定したモードによりアセンブルまたは逆アセンブルを実行します。

■テキストクリア
Asmソースコード/バイナリデータ入力エディットボックスをクリアします。アンドゥはできません。

■実行履歴コンボボックス
アセンブル・逆アセンブルの実行履歴を保存します。右端の逆三角形をクリックすると履歴を表示し、実行内容の再利用が可能になります。

●アセンブル/逆アセンブル実行結果
■エラー表示用エディットボックス
アセンブル・逆アセンブル時にエラーが発生した場合にエラーの詳細を表示します。

■全てコピー
アセンブル・逆アセンブル実行結果出力エディットボックス内の文字列を全てクリップボードにコピーします。

■テキストクリア
アセンブル・逆アセンブル実行結果出力エディットボックスをクリアします。アンドゥはできません。