windows内核开发：如何使用反汇编引擎

前言

最近在写个人项目中需要在内核模式下使用到反汇编引擎，找到几个并使用对比后我强烈推荐一款名叫BeaEngine的反汇编引擎。这是它的项目仓库链接：https://github.com/BeaEngine/beaengine

编译

项目下载下来后需要使用CMake编译，在此之前确保你的Visual studio*已安装支持CMake编译。我使用的是Visual Studio2019。操作流程：

1. 打开VS2019，选择菜单中的文件，下拉框中选择CMake。此时会弹出打开文件对话框，选择并打开你下载保存的BeaEngine项目中的CMakeLists.txt文件。
2. 默认的CMake配置只有x64，我们可以新增x32的编译选项。选择配置里的“+”号3.
3. 选择x86-debug
   
4. 并分别对这两个配置进行一些参数的修改。选择其中一个配置，例如x64-Debug。我们修改为使用vs2019编译
   另一个x86-Debug配置则修改为
   
5. 分别编译生成vs项目
   
6. 使用vs2019打开生成的项目文件，在项目属性-》C/C++ -》高级-》调用约定改为 _stdcall，然后再预处理器-》预处理器定义里面添加 _NO_CRT_STDIO_INLINE。
7. 项目属性-》链接器-》命令行中添加 /kernel。
8. 生成BeaEngine_s_d_l项目，即可得到对应架构的BeaEngine_s_d_l.lib。

在项目中使用BeaEngine

1. 属性-》VC++目录 -》包含目录中添加BeaEngine项目中BeaEngine.h的位置。
2. 属性-》VC++目录 -》库目录中添加BeaEngine项目中对应架构的BeaEngine_s_d_l.lib的位置
3. 属性-》C/C++ -》预处理器-》预处理器定于中添加BEA_ENGINE_STATIC和BEA_USE_STDCALL。
4. 属性-》链接器-》附加依赖项中添加BeaEngine_s_d_l.lib。

然后就可以正常编码了，以下是使用示例。

VOID DecodeIns(PVOID Address,ULONG Size)
{
	DISASM disAsm = { 0 };
	disAsm.EIP = (UIntPtr)Address;
	disAsm.VirtualAddr = (UIntPtr)Address;
	PUCHAR pEnd = (PUCHAR)(disAsm.EIP + Size);
	LONG len;

	while (disAsm.Error >= 0)
	{
		disAsm.SecurityBlock = (UIntPtr)pEnd - disAsm.EIP;
		if ((Int32)disAsm.SecurityBlock <= 0) break;

		len = Disasm(&disAsm);

		switch (disAsm.Error)
		{
		case OUT_OF_BLOCK:
			break;
		case UNKNOWN_OPCODE:
			disAsm.EIP += 1;
			disAsm.VirtualAddr += 1;
			break;
		default:
		{
			disAsm.EIP += len;
			disAsm.VirtualAddr += len;
			break;
		}
		}
	}
}