стоит ли изучать ассемблер x86 в 2025 году для реверса или достаточно декомпилятора

[arich]

Начинаю изучать reverse engineering, прохожу крэкмишки на beginners.re. Везде советуют учить ассемблер, но с Ghidra декомпилятор выдаёт вполне читаемый псевдо-C код. Реально ли можно обойтись без глубокого знания x86 asm или всё-таки придётся закопаться? Не хочу тратить месяцы на то, что автоматизировано.

[lena87]

Декомпилятор — это подсказка, а не истина. Ghidra и IDA врут. Не часто, но метко: неверно определённые типы, пропущенные indirect-вызовы, оптимизированный код где компилятор переставил порядок операций. Если ты не понимаешь asm — ты не поймёшь когда декомпилятор тебя обманывает. Для простых крэкмишек хватит псевдокода, но для реального малвари или эксплойт-разработки — нет.

[proxmox10]

Согласен с предыдущим, но добавлю конкретики. Минимальный asm для реверсера — это не 'знать все инструкции наизусть', а понимать: соглашения о вызовах (cdecl/fastcall/stdcall), как работает стек, что такое пролог/эпилог функции, как реализуются циклы и условия на уровне jmp/jne/jle, как передаются параметры. Это реально освоить за 2-3 недели с задачками. Остальное подтягивается по мере надобности через Intel Manual или справочник на сайте felixcloutier.com.

[pythonfan]

Ещё практический аргумент: обфусцированный код, упаковщики типа UPX или кастомные протекторы — декомпилятор там выдаёт мусор. А вот дизассемблер честно показывает инструкции. Без понимания asm ты просто будешь смотреть на это и не знать с какой стороны подойти.

[go9]

С другой стороны, не надо впадать в крайности и полгода решать задачи на Nasm прежде чем открыть Ghidra. Иди параллельно: смотри декомпилятор, но всегда открывай и дизассемблер рядом, сопоставляй. OpenSecurityTraining2 (ost2.fyi) — там есть бесплатный курс по архитектуре x86, очень хорошо структурирован. Ещё книга 'Practical Binary Analysis' — там прям с нуля и с нормальными задачками.

[mjp1982]

Для CTF-соревнований знание asm прям необходимо в категории pwn — там буквально нужно писать шеллкод и понимать ROP-цепочки на уровне байт. В категории reversing можно какое-то время выезжать на декомпиляторе, но топовые таски без asm не решаются.

[bruce01]

Итого моё мнение: потрать 3-4 недели на базовый x86, пройди wargames типа microcorruption.com (там специально ограниченный asm чтобы не перегружать) — и потом декомпилятор станет в разы понятнее, потому что ты будешь видеть что за ним стоит.

[kungsan]

Учить надо уметь читать asm, а не писать. Это разные скиллы, и второй для реверса почти не нужен. Мой способ: пишешь маленькие сишные функции и смотришь в godbolt, во что они компилятся на -O0 и -O2. Циклы, switch, работа со строками, виртуальные вызовы. Неделя-две такого, и в дизасме перестаешь видеть кашу. Сильно быстрее, чем зубрить все 1500 инструкций по учебнику.

[quixtar]

@lena87, плюсую про врут, но справедливости ради Ghidra 11 стала заметно лучше с восстановлением типов. А вот где она до сих пор регулярно лажает, это switch через jump table и все что трогает SSE. Видишь в псевдокоде нагромождение CONCAT и SUB вместо логики, все, закрывай псевдокод и читай дизасм руками.

[haskell_chan]

@bruce01, душная придирка, но microcorruption это MSP430, а не x86. Новички потом удивляются, что выученное не переносится один в один. Хотя именно поэтому он и хорош для старта, инструкций десятка два и стек как на ладони.