Windows capstone反汇编引擎使用

Windows下和Linux 一样先解压文件；
VS版本：VS2017

0x01:可以看看到解压后的文件夹有msvc文件夹，这个就是windows下的工程文件,进入并打开capstone.sln项目文件；


因为初始的capstone的工程是在vs2010上进行开发的，所以要进行重定向项目，选择好自己所安装的windows sdk所对应的版本；

需要注意的是我们不能单独将msvc文件夹单独的拷贝出来!!!

我这里是在cstool上进行的二次开发，为了减少编译时间，所以我只需要编译dll static 和cstool就可以了，然后编译；

找到cstool.exe之后进行功能测试，反汇编成功并将汇编代码写入自定义文件；

对cstool进行二次开发时可以考虑windows和linux 的兼容性，这里只需要将cstool.exe提供出去就可以辣；
文件大小：

intel-xed和capstone比较对同一文件反汇编代码：

将内存数据读入相应寄存器；

jz:jump if zero 为0则跳转，也就是说等于0就执行跳转指令；
je:jump if equal 等于则跳转，也就说左右两边相等就执行跳转指令；
在这里起到的作用是一致的，两种引擎对opencode的解码方式不一致而已；

特别之处，movq和movabs的区别：
1）如果源操作数是立即数的话没有区别，查看反汇编可以看出movq被替换成movabs；
2）movabs的源操作数只能是立即数或标号（本质还是立即数），目的操作数是寄存器；【修改，movabs也可对内存进行赋值操作，源操作数也可以是寄存器】
3）64位编译模式下，源操作数如果是标号，某些情况下只能用movabs进行64位立即数的赋值而无法使用movq


jnbe:jump if not below or equal 无符号不小于等于则跳转；
ja:jumpp if above 无符号大于则跳转；

结论：所以可以发现其实xed和capstone解析的反汇编代码其实是一致的，没有区别；