Ghidra解析AARCH64架构Windows二进制时的栈对齐问题分析

在逆向工程领域，Ghidra作为一款开源的逆向分析工具，在处理不同架构的二进制文件时可能会遇到一些特殊问题。本文针对AARCH64架构Windows平台下的DLL文件解析异常现象进行技术分析，特别是当工具提示"Address not found in program memory"时的深层原因。

问题现象

用户在使用Ghidra 11.1.1版本分析AARCH64架构的Windows DLL时，发现某些函数参数无法正确解析，具体表现为：

1. 工具提示内存地址未找到错误
2. 相同文件在其他逆向工具中可正常解析字符串引用
3. 问题主要出现在宽字符串参数的处理上

通过对比分析发现，其他逆向工具能够正确识别位于.rdata段0x180720650地址的UTF-16LE字符串，而Ghidra却报告地址无效。

技术分析

架构特性差异

AARCH64架构在Windows平台下的ABI规范有其特殊性：

1. 指针和长整型(long)默认为8字节宽度
2. 栈帧要求16字节对齐
3. 参数传递遵循特定的寄存器约定

根本原因定位

经过深入调查，发现问题核心在于：

1. 栈对齐设置不当：当前Ghidra对AARCH64 Windows的栈对齐配置为4字节，不符合实际16字节对齐要求
2. 参数解析偏移：错误的栈对齐导致参数位置计算偏差，特别是影响字符串指针等8字节参数的识别
3. 内存引用失效：错误的指针值导致后续内存访问失败，触发"Address not found"警告

影响范围

此问题主要影响：

1. 函数参数中8字节数据的解析（如64位指针）
2. 跨段引用的字符串常量
3. 栈帧结构复杂的函数调用

解决方案建议

对于遇到类似问题的用户，可考虑以下解决方法：

1. 手动调整栈对齐：

   • 在分析前修改AARCH64处理器模块的配置
   • 将栈对齐值从4调整为8或16

2. 参数类型修正：

   • 对问题函数手动指定参数类型
   • 强制转换指针类型为8字节格式

3. 等待官方更新：

   • 该问题已被标记为内部处理状态
   • 预计后续版本会修正AARCH64 Windows的ABI实现

深入理解

Windows on ARM64的调用约定要求：

• 前8个参数通过X0-X7寄存器传递
• 后续参数通过栈传递，要求16字节对齐
• 每个参数占用8字节空间（即使实际数据不足8字节）

这种严格的规范确保了二进制兼容性，但需要逆向工具精确模拟。Ghidra当前的处理偏差导致了参数位置计算错误，进而引发后续解析异常。

总结

本文分析了Ghidra处理AARCH64 Windows二进制时出现的地址解析问题，揭示了栈对齐配置错误导致的深层影响。对于逆向工程师而言，理解目标平台的ABI规范至关重要，这不仅能帮助解决工具解析异常，也能提高手动分析的准确性。建议用户在分析ARM64架构的Windows二进制时，特别注意8字节对齐要求对逆向结果的影响。