匯編基礎(chǔ)教程
16位和32位的80x86匯編語(yǔ)言的區(qū)別
需要注意的是匯編不是一種語(yǔ)言，不同平臺(tái)有不同的匯編語(yǔ)言對(duì)應(yīng)，因?yàn)閰R編和操作系統(tǒng)平臺(tái)相關(guān)，所以匯編語(yǔ)言沒有移植性。對(duì)于IA-32架構(gòu)平臺(tái)而言，選用的是32位80386匯編語(yǔ)言，也就是說(shuō)本教程討論的操作系統(tǒng)平臺(tái)是32位的，可執(zhí)行文件的格式也是32位而不是64位或16位的。
實(shí)際分析中讀者要知道研究的程序是運(yùn)行在什么平臺(tái)上，以選擇相應(yīng)的匯編語(yǔ)言，對(duì)應(yīng)IA-32架構(gòu)而言，IA-16架構(gòu)的匯編語(yǔ)言原理其實(shí)和IA-32的匯編語(yǔ)言一樣，學(xué)習(xí)過(guò)16位的80x386匯編語(yǔ)言的讀者只需花一點(diǎn)時(shí)間就可以轉(zhuǎn)到32位80386匯編語(yǔ)言上。
什么是IA-32？
IA-32（Intel Architecture），英特爾體系架構(gòu)，英特爾從486開始采用，也就叫X86-32架構(gòu)，
16位操作系統(tǒng)與32位操作系統(tǒng)的80x86匯編語(yǔ)言主要區(qū)別如下：
16位操作系統(tǒng)中的中斷調(diào)用相當(dāng)于32位操作系統(tǒng)中的API調(diào)用。16位操作系統(tǒng)中的段地址和偏移地址在32位中消失了，在32位操作系統(tǒng)中統(tǒng)一采用平坦的內(nèi)存地址模式尋址。
16位操作系統(tǒng)中的程序運(yùn)行在RING0級(jí)，也就是說(shuō)普通程序和操作系統(tǒng)程序運(yùn)行在同一個(gè)級(jí)別并且擁有最高權(quán)限，而32位操作系統(tǒng)中的程序一般只擁有RING3級(jí)運(yùn)行權(quán)限，程序的所有操作都受到操作系統(tǒng)控制，若程序要獲得RING0操作特權(quán)只能通過(guò)驅(qū)動(dòng)程序?qū)崿F(xiàn)。
16位操作系統(tǒng)的可執(zhí)行文件格式和32位操作系統(tǒng)的可執(zhí)行文件格式不同，在32位的Windows操作系統(tǒng)中，可執(zhí)行文件的格式叫PE格式，32位的Windows操作系統(tǒng)運(yùn)行在CPU的保護(hù)模式之上，而16位的系統(tǒng)則運(yùn)行在CPU的實(shí)模式上。
了解EAX、EBX、ECX和EDX寄存器以及對(duì)應(yīng)的16位寄存器
IA-32架構(gòu)中一共有4個(gè)32位寄存器，用于保存臨時(shí)數(shù)據(jù)，它們分別是EAX、EBX、ECX和EDX。
這4個(gè)32位寄存器的通用寄存器名字前面都有一個(gè)“E”字母，含義是“Expand”擴(kuò)展，這是由于在16位的時(shí)代，這4個(gè)通用寄存器的名字是AX、BX、CX和DX，到了32位后就在它們的名字前面加個(gè)“E”來(lái)區(qū)別是32位還是16位。
這4個(gè)32位的通用寄存器可以當(dāng)作16位使用，也可以當(dāng)作8位使用。當(dāng)作8位使用時(shí)，就將AX折開為AH和AL，AH中的“H”代表“high”，意思是高位的意思，AL中的“L”代表“l(fā)ow”，意思是地位的意思。同理，BX、CX和DX可折開為BH、BL、CH、CL、DH、DL來(lái)使用。
一些寄存器是別的寄存器的一部分：例如，如果EAX保存了值12782345，這里是其他寄存器的值。
|:--- |:------:|:------:|:------:|:------:|
| EAX | 12 | 78 | 23 | 45 |
| AX | 12 | 78 | 23 | 45 |
| AH | 12 | 78 | 23 | 45 |
學(xué)習(xí)EAX、EBX、ECX和EDX寄存器的用途
- EAX寄存器：EAX稱為累加器，常用于算數(shù)運(yùn)算、布爾操作、邏輯操作、返回函數(shù)結(jié)果等。
- EBX寄存器：EBX稱為基址寄存器，常用于存檔內(nèi)存地址。
- ECX寄存器：ECX稱為計(jì)數(shù)寄存器，常用于存放循環(huán)語(yǔ)句的循環(huán)次數(shù)，字符串操作中也常用。
- EDX寄存器：稱為數(shù)據(jù)寄存器，常常和EAX一起使用。
注意：上面所述的4個(gè)通用寄存器的專門用途不是一成不變的，編譯器在編譯程序的時(shí)候會(huì)根據(jù)很多因素，例如編譯器、編譯條件、操作系統(tǒng)等做出相應(yīng)的改變，讀者要知道著手研究的程序是用什么編譯器編譯，然后針對(duì)具體的編譯器參考該編譯器的說(shuō)明。
學(xué)習(xí)變址寄存器-ESI和EDI寄存器與其用途
變址寄存器
顧名思義，變址的含義是內(nèi)存地址會(huì)變動(dòng)的，也就是說(shuō)變址寄存器中存放在變動(dòng)的內(nèi)存地址。80386架構(gòu)中有兩個(gè)變址寄存器，分別是ESI和EDI。
ESI和EDI寄存器：
- ESI：ESI稱為源變址寄存器，通常存放要處理的數(shù)據(jù)的內(nèi)存地址。
- EDI：EDI稱為目的變址寄存器，通常存放處理后的數(shù)據(jù)的內(nèi)存地址。
ESI和EDI寄存器的用途
ESI和EDI常用來(lái)配合使用完成數(shù)據(jù)的賦值操作，下面是一個(gè)ESI和EDI配合使用的例子。
Rep movs dword ptr [edi],dword ptr [esi]
上面的指令把ESI所指向的內(nèi)存地址中的內(nèi)容復(fù)制到EDI所指向的內(nèi)存中，數(shù)據(jù)的長(zhǎng)度在ECX寄存器中指定。
學(xué)習(xí)指針寄存器-EBP和ESP寄存器與其用途
指針寄存器
80386的指針寄存器有基址寄存器EBP，堆棧指針寄存器ESP和指令指針寄存器EIP。只需要了解基址寄存器EBP和堆棧指針寄存器ESP即可，指令指針寄存器EIP總是指向下一條要執(zhí)行的指令的地址，一般情況下無(wú)需修改EIP。
EBP和ESP寄存器
(1)EBP：EBP稱為基址寄存器，可作為通用寄存器用于存放操作數(shù)，常用來(lái)代替堆棧指針訪問(wèn)堆棧中的數(shù)據(jù)。
(2)ESP：ESP稱為堆棧指針寄存器，不可作為通用寄存器使用，ESP存放當(dāng)前堆棧棧頂?shù)牡刂罚话闱闆r下，ESP和EBP聯(lián)合使用來(lái)訪問(wèn)函數(shù)中的參數(shù)和局部變量。
EBP和ESP寄存器的用途：
EBP和ESP常配合使用完成堆棧的訪問(wèn)，下面是一段常見的堆棧訪問(wèn)指令。
Push ebp
Mov ebp,esp
Sub esp,78
Push esi
Push edi
Cmp dword ptr [ebp+8],0
學(xué)習(xí)標(biāo)志寄存器-EFLAGS寄存器與其用途
標(biāo)志寄存器EFLAGS一共有32位，在這32位中大部分是保留和給編寫操作系統(tǒng)的人用的，一般情況下只需知道32位的低16位中的8位即可.
下面的圖列出了標(biāo)志寄存器EFLAGS中需要了解的8個(gè)位的位置。
- OF（Overflow Flag）:溢出標(biāo)志，溢出時(shí)為1，否則置0。
- DF （Direction Flag）:方向標(biāo)志，在串處理指令中控制信息的方向。
- IF (Interrupt Flag) :中斷標(biāo)志
- AF (Auxiliary carry Flag) :輔助進(jìn)位標(biāo)志，有進(jìn)位時(shí)置1，否則置0。
- ZF (Zero Flag) :零標(biāo)志，運(yùn)算結(jié)構(gòu)為0時(shí)ZF位位置1，否則置0。
- SF (Sign Flag):符號(hào)標(biāo)志，結(jié)果為負(fù)時(shí)置1，否則置0。
- CF (Carry Flag): 進(jìn)位標(biāo)志，進(jìn)位時(shí)置1，否則置0。
- PF (Parity Flag): 奇偶標(biāo)志。結(jié)果操作數(shù)中1的個(gè)數(shù)為偶數(shù)時(shí)置1，否則置0。
EFLAGS寄存器的用途
正如上面所說(shuō)EFLAGS是實(shí)現(xiàn)條件判斷和邏輯判斷的一種機(jī)制，在匯編語(yǔ)言中一般不直接訪問(wèn)EFLAGS寄存器，而是通過(guò)指令的操作隱含訪問(wèn)EFLAGS寄存器，下面是一個(gè)利用EFLAGS寄存器的例子。
Cmp dword ptr [ebp+8],0 ;影響標(biāo)志CF、ZF、SF、OF、AF和PF
Jz 00405898 ; 如果ZF等于1，則跳轉(zhuǎn)到00405898
學(xué)習(xí)6種靈活的尋址方式與其作用
- 立即尋址
示例：
Mov eax,56H
作用：通常用于賦值。
- 直接尋址
示例：
Mov eax,[12558878H]
作用：通常用于處理變量。
- 寄存器尋址
示例
Mov eax,[edi]
作用：地址在寄存器中。
- 寄存器相對(duì)尋址
示例
Mov EAX,[EDI+32H]
作用：常用于訪問(wèn)數(shù)組和結(jié)構(gòu)。
- 基址加變址尋址
示例
Mov EAX,[EBP+ESI]
作用：常用于訪問(wèn)數(shù)組
- 相對(duì)基址加變址尋址。
示例
MOV EAX,[EBX+EDI-10H]
作用：常用于訪問(wèn)結(jié)構(gòu)。
高級(jí)語(yǔ)言中的數(shù)據(jù)結(jié)構(gòu)和80386尋址方式的關(guān)系
一般高級(jí)語(yǔ)言中的數(shù)據(jù)結(jié)構(gòu)和尋址方式有一定的關(guān)系，熟悉這些關(guān)系對(duì)逆向分析反匯編指令有很大的幫助。
表1-1所示為高級(jí)語(yǔ)言中的數(shù)據(jù)結(jié)構(gòu)和80386尋址方式的關(guān)系。
全局類型
全部使用數(shù)據(jù)段，變量尋址使用直接的內(nèi)存地址，數(shù)組尋址使用ESI(源變址寄存器)+內(nèi)存地址。
局部類型
全部使用堆棧，變量尋址使用ESP(堆棧指針寄存器)+偏移，數(shù)組尋址使用ESP(堆棧指針寄存器)+ESI(源變址寄存器)+地址偏移
動(dòng)態(tài)分配類型
全部使用數(shù)據(jù)段，變量尋址使用EBX(基址寄存器)或EAX(累加寄存器)+地址偏移，數(shù)組尋址使用EBX(基址寄存器)+ESI(源變址寄存器)+地址偏移
局部類型和動(dòng)態(tài)分配類型都的數(shù)組尋址都是用了ESI(源變址寄存器)+地址偏移
學(xué)習(xí)80386指令-Intel格式和AT&T格式的指令格式
80386指令
觀察一下Intel 的80x86 CPU文檔手冊(cè)會(huì)發(fā)現(xiàn)，Intel的80x86 CPU支持幾百條指令，如此多的指令莫說(shuō)深入研究，連入門恐怕也非易事。
幸運(yùn)的是，在這幾百條的指令中，常用的也不過(guò)幾十條而已，Intel 的80x86 CPU之所以支持幾百條指令，原因在于Intel 的80x86 CPU為了保持向下兼容的問(wèn)題，所以從過(guò)去到現(xiàn)在的所有指令都包含在CPU里面，例如有8086/8088、80186、80286和80386等。
Intel格式和AT&T格式（&在英語(yǔ)里讀and）
編寫IA-32架構(gòu)的匯編語(yǔ)言常見有兩種格式，一種是Intel格式，另一種是AT&T格式。
- Intel 格式的指令格式。
指令名稱 目標(biāo)操作數(shù)DST，源操作數(shù)SRC
示例代碼：
Mov eax,[edx] //將內(nèi)存地址為EDX的數(shù)據(jù)放入EAX寄存器
Xchg eax,edi //交換EAX和EDI寄存器的值
Add eax,ebx // 將EAX和EBX相加，結(jié)構(gòu)放回EAX中
Shl eax,4 //將EAX邏輯左移4位。
- AT&T格式的指令格式。
指令名稱 源操作數(shù)SRC，目標(biāo)操作數(shù)DST
示例代碼：
Mov (%EDX),%EAX //將內(nèi)存地址為EDX的數(shù)據(jù)放入EAX寄存器
XCHG %EDI,%EAX //交換EAX和EDI寄存器的值
ADD %EBX,%EAX //將EAX和EBX相加，結(jié)構(gòu)放回EAX中
SHL $4,%EAX //將EAX邏輯左移4位。
本教程中講解的匯編語(yǔ)言統(tǒng)一采用Intel 格式的匯編格式。
學(xué)習(xí)數(shù)據(jù)傳送指令MOV、XCHG
80386的數(shù)據(jù)傳送指令是為了實(shí)現(xiàn)CPU和內(nèi)存、輸入/輸出端口之間的數(shù)據(jù)傳送。
- MOV:稱為數(shù)值傳送指令，格式是“MOV DST,SRC”。
- MOV指令將源操作數(shù)SRC傳送到目的操作數(shù)DST中，
- 傳送的數(shù)據(jù)格式可以是8字節(jié)、16字節(jié)和32字節(jié)。
示例代碼：
MOV EAX,56 //將56H立即數(shù)傳送到EAX寄存器
MOV ESI,DWROD PTR [EAX*2+1] //將內(nèi)存地址為EAX*2+1處的4字節(jié)數(shù)據(jù)傳送到ESI寄存器。
MOV AH,BYTE PTR [ESI*2+EAX] //將內(nèi)存地址為ESI*2+EAX處的8位數(shù)據(jù)傳送到AH寄存器。
MOV DWORD PTR [ESP+36],EBX //將EBX寄存器的值以4字節(jié)傳送到堆棧地址為ESP+36所指向的地方。
- XCHG:稱為交換指令，XCHG實(shí)現(xiàn)寄存器間和內(nèi)存間的數(shù)據(jù)交換。
格式是“XCHG DST,SRC”。XCHG指令交換SRC和DST之間的數(shù)據(jù)，
交換的數(shù)據(jù)可以是8字節(jié)、16字節(jié)和32字節(jié)，其中SRC和DST必須格式相同。
示例代碼：
XCHG EAX,EDX //將EDX寄存器的值和EAX寄存器的值交換
XCHG [ESP-55],EDI //將EDI寄存器的值和堆棧地址為[esp-55]處的值交換。
XCHG BH,BL //將BL寄存器和BH寄存器的值交換。
學(xué)習(xí)數(shù)據(jù)傳送指令PUSH、POP
PUSH和POP:稱為壓入堆棧指令和彈出堆棧指令，格式是“PUSH SRC(源操作數(shù))”和“POP DST（目的操作數(shù)）”。
PUSH指令和POP指令是匹配出現(xiàn)的，上面的代碼有多少個(gè)PUSH下面的代碼就有多少個(gè)POP，否則堆棧就會(huì)不平衡。
PUSH指令將源操作數(shù)SRC壓入堆棧，同時(shí)ESP-4，而POP恰恰相反，POP指令從堆棧的頂部彈出4字節(jié)的數(shù)值然后放入DST。在32位的Windows操作系統(tǒng)上，PUSH和POP指令的操作是以4字節(jié)為單位的。
PUSH和POP指令常用于向函數(shù)傳遞參數(shù)。
示例代碼：
PUSH EAX //將EAX寄存器的值以4字節(jié)壓入堆棧，同時(shí)ESP-4
PUSH DWORD PTR [12FF8589] //將內(nèi)存地址為12FF8589所指向的值以4字節(jié)壓入堆棧，同時(shí)ESP-4
POP DWORD PTR [12FF8589] //將堆棧頂部的4字節(jié)彈出到內(nèi)存地址為12FF8589所指地方，同時(shí)ESP+4
POP EAX //將堆棧頂部的4字節(jié)彈出到EAX寄存器，同時(shí)ESP+4