Hopper Disassembler v3 是一款运行于 macOS 平台的专业级逆向工程工具，它将二进制文件反汇编、反编译并转化为可读的汇编代码或伪代码。本指南将深入解析其界面、工作流及核心技巧，助您高效地进行静态分析。

一、核心界面与工作区详解

Hopper 的主界面设计紧凑，功能分区明确，主要分为以下几个关键区域：

导航栏与工具栏 (Navigation Bar & Toolbar)：位于窗口顶部，提供文件操作、分析控制、视图切换等常用功能的快捷按钮。
分段浏览器 (Segment Browser)：通常位于左侧面板，以树状结构展示二进制文件的逻辑构成，包括 __TEXT（代码段）、__DATA（数据段）、__stubs、__cstring 等。点击任意段或节，内容会在中央面板显示。
中央反汇编/伪代码视图 (Central Disassembly/Pseudo-Code View)：这是核心工作区。默认显示反汇编的汇编指令。当分析深度足够时，可以按 F5 键生成并查看更易读的伪代码（类C语言格式）。
十六进制视图 (Hex View)：可通过工具栏按钮或快捷键切换至此视图，直接查看文件的原始字节。
控制流图视图 (Control Flow Graph View)：对于选定的函数，可以图形化方式展示其基本块和跳转关系，极大方便了逻辑分析。
信息面板 (Inspector Panel)：通常位于右侧，其标签页包括：
- 过程 (Procedure)：显示当前选中函数的详细信息，如栈变量、参数、局部变量。
- 标签 (Labels)：显示用户定义或自动识别的标签。
- 注释 (Comments)：集中查看和管理所有添加的注释。
- 字符串 (Strings)：列出二进制文件中提取的所有字符串常量。
底部控制台/日志 (Console/Log)：显示分析过程中的状态信息、错误和脚本输出。

二、完整操作流程：从打开到导出

以下是一个典型的静态分析工作流程。

方法：启动 Hopper 后，通过菜单栏 File -> Read Executable to Disassemble… 或使用快捷键 Cmd + O 打开目标二进制文件。

位置：文件对话框。

操作：选择文件后，会弹出“加载选项”对话框。对于 macOS 或 iOS 程序，通常保持默认设置（如架构选择自动）即可，点击“OK”开始加载。

文件加载后，Hopper 会自动进行初步分析。

定位入口点：在分段浏览器中展开 __TEXT 段下的 __text 节，或通过菜单 Navigate -> Go to Entry Point (Cmd + E) 直接跳转到程序的入口函数（如 start 或 main）。
查找特定函数或字符串：
- 使用菜单 Navigate -> Go to Procedure… (Cmd + P) 并输入函数名（如 main）。
- 使用菜单 Navigate -> Search for Text (Cmd + F) 在代码中搜索特定指令或数据。
- 在右侧信息面板的“字符串”标签页中，双击任意字符串可直接跳转到其引用位置。

在反汇编视图中进行具体分析。

查看伪代码：将光标置于目标函数内部，按 F5 键。Hopper 会尝试将汇编代码重构为伪代码。这是理解程序高级逻辑的最重要功能。
重命名与注释：
- 选中一个地址、寄存器或变量，按 :（冒号）键可为其重命名，使分析更清晰。
- 选中一行代码，按 ;（分号）键可添加注释。
跟踪交叉引用 (XREF)：选中一个函数名、字符串或数据地址，按 X 键可以查看所有引用此位置的地方（谁调用了这个函数/谁访问了这个数据）。这是理清调用关系的关键。
查看控制流图：在函数内部，按空格键可以在反汇编视图和控制流图视图之间切换。在图形视图中，使用鼠标滚轮缩放，拖拽画布移动。

Hopper 支持非破坏性的修改和标注。

定义数据：对于一段未被识别的数据，选中后右键选择 Data -> 相应的数据类型（如 ASCII、Int16、Int32 等），可以将其正确定义为数据。
创建函数：如果 Hopper 未能自动识别某个代码块为函数，可以选中起始地址，右键选择 Procedure -> Create Procedure。

方法：通过菜单栏 File -> Produce Output…。

位置：导出对话框。

操作：可以选择导出格式，如：

选择好选项和路径后，点击“Save”即可完成导出。

快速计算偏移：在十六进制视图中选中一段字节，底部状态栏会显示其起始偏移、长度和结束偏移。
脚本增强：Hopper 内置 Python 脚本支持。通过菜单 Scripts -> Scripts Window 打开脚本管理器，可以运行或编写脚本自动化分析任务（如批量重命名、模式识别）。
比较二进制差异：使用菜单 File -> Compare against another binary… 可以加载另一个二进制文件，Hopper 会高亮显示两者在反汇编代码上的差异。
栈变量分析优化：在伪代码视图中，如果对栈变量（如 `var_4`）的含义不清晰，可以回到反汇编视图，查看对应指令的上下文，然后通过重命名（:键）将其改为更有意义的名字（如 `counter`），此更改会同步到伪代码中。

问题 1：按 F5 无法生成伪代码，或伪代码质量很差。

原因与解决：
1. 确保分析已完成。在底部日志查看分析进度，可通过 Modify -> Reanalyze Program 重新分析。
2. 确保当前光标位于一个已被识别的函数内部（函数名通常为彩色）。
3. 对于高度优化或混淆的代码，伪代码生成能力有限。尝试在反汇编视图中手动重命名变量和函数，然后再次按 F5，可能改善输出。

问题 2：打开文件时提示“The file is malformed”或加载后代码杂乱。

原因与解决：
1. 文件可能被加壳或加密。需要先进行脱壳处理，再使用 Hopper 分析。
2. 架构选择错误。在加载选项对话框中，尝试手动指定正确的 CPU 架构（如 x86_64, arm64）。
3. 文件确实已损坏。

问题 3：如何跟踪一个系统 API（如 `printf`）的参数传递？

解决：
1. 找到调用 `printf` 的指令。
2. 根据当前架构的调用约定（如 macOS x64 使用 System V AMD64 ABI），在调用指令之前查看寄存器设置（`RDI`, `RSI`, `RDX`… 分别对应第一、二、三个参数）。
3. 使用交叉引用（X键）查看这些寄存器数据的来源，或利用伪代码视图直接查看参数。

问题 4：控制流图视图过于复杂，难以阅读。

解决：
1. 使用图形视图工具栏上的“Simplify Graph”按钮，可以隐藏一些细节。
2. 在反汇编视图中，先通过添加注释和重命名理清小块逻辑，再查看其图形表示。
3. 聚焦于特定基本块，按 Tab 键可以高亮显示其所有后继块，Shift + Tab 高亮显示前驱块。