如何用Capstone等工具识别x86-64 PE文件中的函数及大小？

核心算法思路 #

• 基于序言/结尾的模式匹配：x86架构下，常规函数多带有标准序言（如push ebp; mov ebp, esp或sub esp, 0xXX这类栈帧初始化指令），结尾则常见ret、retn 0xXX或尾调用jmp指令。但该方法局限性大：编译器优化后的无栈帧函数、手写汇编函数、混淆代码都可能没有标准序言/结尾，导致识别失败。
• 线性扫描+控制流分析：线性扫描的对象是PE文件的可执行代码段（以.text段为主），流程如下：
  1. 从代码段起始地址开始逐字节反汇编，遇到分支指令（jmp、call、jne等）时，将分支目标地址标记为潜在函数入口；
  2. 跟踪当前指令序列，当遇到ret类指令、无条件跳转到外部地址，或是代码段边界时，确定当前函数的结束位置；
  3. 对所有潜在入口去重，排除属于已有函数内部的地址（比如函数内的跳转标签）。
• 符号表辅助（若可用）：如果PE文件保留了符号表（如调试版本），可直接从符号表读取函数的起始地址与大小，这是最精准的方式，但发布版PE通常会剥离符号表。

函数存储布局的疑问 #

函数并非一定连续存储、互不交错：

• 编译器会将小函数内联到其他函数中，造成代码交错；
• 代码混淆工具会刻意打乱函数布局，插入垃圾代码或跳转，模糊函数边界；
• 运行时动态生成的代码（如JIT代码、壳解密后的代码）可能与原有函数代码混合。
  但这并不意味着需求无法实现，只是需要结合多种方法提升准确率，比如通过控制流图（CFG）分析，判断被call指令引用、且符合基本指令逻辑的地址为真正的函数入口。

《Architecture Agnostic Function Detection in Binaries》相关补充 #

文中提到的线性扫描，核心是扫描可执行代码段的字节流，逐指令解析并结合控制流分析划分函数边界。这类架构无关算法通常提取指令的通用特征（如栈操作、控制转移行为），而非依赖特定架构的序言模式，以此适配不同CPU架构。

内容的提问来源于stack exchange，提问作者drk