re-nim

Nim 逆向

何时使用 / 何时不用

• 用：Nim 产物（NimMain / GC 符号、NimString 结构特征），需要还原字符串逻辑、异常路径、GC/所有权关系
• 用：Nim/C 混合产物中区分 Nim 侧代码（按符号来源分组后 Nim 侧进本技能路径）
• 不用：纯 C/C++ 产物（走 [[re-cpp-abi]] / [[re-binary-core]] 通用路径）
• 不用：只需函数逻辑（直接反编译技能）

工具准备

readelf / llvm-nm（符号与节分析）

• 安装与验证见 [[re-cpp-abi]] 工具准备
• Nim 产物以 ELF 为主（Linux 默认 C 后端）；macOS 用 llvm-nm

Ghidra / IDA（反编译底座）

• 安装与验证见 [[re-ghidra]] / [[re-ida]]；Nim 符号（NimMain/NimStringV2 等）导入后直接可读

nim 编译器（可选，对照编译）

• Linux: apt install nim / dnf install nim / pacman -S nim；macOS: brew install nim；Windows: choosenim/官方安装器
• 验证: nim -v；用途: 同版本编译对照产物，验证字符串布局/GC 符号形态（版本差异见 [[layout]]）

xxd + Python struct（字节级核对）

• 系统自带（xxd）；Python 3 自带 struct
• 用途: 符号/布局输出异常时按偏移直接解析 NimString 与对象结构（示例见 [[examples]]）

操作步骤

按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。

1. 产物识别：

   readelf -s sample | grep -iE 'NimMain|nimGC|NimString' | head   # ELF；Mach-O 用 llvm-nm
   readelf -s sample | grep -iE 'nimIncRef|nimDecRef|rawNewString|eqStrings' | head
   

   • Nim 特征：NimMain（入口链）、GC 符号（refc 的 nimGC_* / orc 的 nimIncRefCyclic 等）、NimStringV2/NimStringDesc 结构类型
   • 注意：release 构建下 GC 符号常被内联/消除（见坑 1），靠 NimMain 与字符串函数兜底
   • 入口链：C main → NimMain → NimMainInner → NimMainModule（模块初始化）→ 业务 main
   • 模块初始化顺序按依赖拓扑（import 关系）：NimMainModule 内的初始化段先跑被依赖模块——在初始化段断点/下钻时按调用序对照 import 链

2. 字符串与序列结构（先判 GC 模式）：

   • orc/arc（2.x 默认 orc）：NimStringV2 = {len: int, p: ptr NimStrPayload}；NimStrPayload = {cap: int, data: 内联字符数组}——字符串是"len + 堆上 payload 指针"，cap 高位带字面量标记位（见 [[layout]]）
   • refc（旧默认）：NimStringDesc = {len, reserved, data[]}——字符内联在结构体里
   • 定位：rawNewString（1.x 与 2.x 均为此 importc 名）分配调用点 → 结构布局 → 字符串操作函数（eqStrings 等）
   • 分析：字符串比较点是关键逻辑（校验/协议/命令分发）——eqStrings 调用点即字符串相等判断
   • 序列（seq）与 string 同构：v2 布局同为 len + payload 指针（payload 带 cap），refc 同为 len/reserved + 内联——按同一判别表处理
   • 内存视图（v2 布局，64 位）：

     栈/对象内:  len(int64) | p(ptr) ───────────────┐
     堆上 payload:  cap(int64, bit62=字面量标记) | data[cap+1] ←┘
     

     字符串本体只有 16 字节句柄，内容在独立堆块——分析对象结构时按句柄跳转，别在对象里找字符数据