x86的指令集可分为以下4种: 通用指令 x87 FPU指令,浮点数运算的指令 SIMD指令,就是SSE指令 系统指令,写OS内核时使用的特殊指令 下面介绍一些通用的指令.指令由标识命令种类的助记符(mnemonic)和作为参数的操作数(operand)组成.例如move指令: 指令 操作数 描述 movq I/R/M,R/M 从一个内存位置复制1个双字(64位,8字节)大小的数据到另外一个内存位置 movl I/R/M,R/M 从一个内存位置复制1个字(32位,4字节)大小的数据到另外一个内存

[0]写在前面 0.1)本代码旨在演示 从 ring0 转移到 ring3(即,从高特权级 转移到 低特权级) 0.2)本文 只对 与 门相关的 代码进行简要注释,言简意赅: 0.3)文末的个人总结是干货,前面代码仅供参考的,且source code from orange's implemention of a os. ; ========================================== ; pmtest5a.asm ; 编译方法:nasm pmtest5a.asm -o

简单介绍了,JMP指令按市面上的意思来说是跳转到指定地址,但我这里不这么说,JMP, CALL, RET三个指令均为修改EIP值的指令,EAX, ECX, EBX, EDX, ESP, EBP, ESI, EDI,这8个寄存器的值均可以用mov指令来修改里面的值,EIP行不行呢?我们实际测试一下. 版权声明:本文为博主原创文章,转载请附上原文出处链接和本声明.2019-09-06,20:23:27.作者By-----溺心与沉浮----博客园 一.JMP指令 我们发现,指令违法,说明,EIP的值不

对于jmp指令: (1)jmp short 标号相当于(ip)=(ip)+8位位移 跳转范围是[-128,127](2)jmp near ptr 标号相当于(ip)=(ip)+16位位移 跳转范围是[-32768,32767](3)jmp far ptr 标号 相当于(CS)=标号所在段地址,(ip)=标号所在偏移地址 前两个是段内转移,依据位移进行转移,其中第一个是短转移,第二个是近转移:第三个是段间转移,直接修改CS和IP来实现转移. 还有转移地址在内存中的jmp指令,jmp word pt

本文由HeapDump性能社区首席讲师鸠摩(马智)授权整理发布 第17章-x86-64寄存器 不同的CPU都能够解释的机器语言的体系称为指令集架构(ISA,Instruction Set Architecture),也可以称为指令集(instruction set).Intel将x86系列CPU之中的32位CPU指令集架构称为IA-32,IA是"Intel Architecture"的简称,也可以称为i386.x86-32.AMD等于Intell提出了x86系列的64位扩展,所以由AM

 1 内存中字的存储 一个字型数据占2个内存单元,内存里面一个内存单元一个字节(8位),高地址单位放高8位,低地址单元放低8位. 注意:0号是地址单元,1是高地址单元(上是低地址,下面是高地址) (1) 2地址单元中存放的 字节型 数据是 12H (2)2地址单元的存放法 字型 数据是 0012H (字型要2个字节) (3) 1地址单元的存放的 字型 数据是 124EH 结论: 任何2个地址连续的内存单元,N号和N+1号,可以看成2个内存单元, 也可以看成一个地址为N的字单元中的高字节单元(n+

在计算机中存储的都是二进制数,计算机将内存中的某些数当做代码,某些数当做数据.在根本上,将cs,ip寄存器所指向的内存当做代码,指令转移就是修改cs,ip寄存器的指向,汇编中提供了一种修改它们的指令--jmp. jmp指令可以修改IP或cs和IP的值来实现指令转移,指令格式为:"jmp 标号"将指令转移到标号处,例如: CODES SEGMENT ASSUME CS:CODES START: MOV AX,0 jmp s inc ax s: mov ax,3 MOV AH,4CH IN

目录 1.前言 2.原理讲解 3.代码实现 前言 这节的反调试是通过构造代码来干扰正常的分析.反调试参考CrypMic勒索病毒 原理讲解 在逆向分析汇编代码时,一般都是通过汇编指令call或jmp跳到一个函数内进行执行,这次的反调试就是利用特殊构造代码实现指定跳转 在汇编中call address可以分解为两条指令:push eip+6,jmp address.这里的push eip+6是保存call指令的下一个指令地址作为返回地址,一般eip+6就是指向call指令的下一条指令,jmp add

mov指令的几种形式: mov 寄存器. 数据 mov ax,8888 mov 寄存器. 寄存器 mov bx,ax mov 寄存器. 内存单元 mov ax,[0] mov 内存单元.寄存器 mov [0],ax mov 段寄存器.寄存器 mov ds,ax add和sub指令和mov一样,都有2个操作对象. sub和add类似,不过是相减,sub ax,9 给ax减9,之后的结果赋值给axsub ax,bx 语意是ax = bx - ax sub ax,[0] 将偏移地址为0的内存单元 -

二.SUB指令 减法指令SUB (SUBtract) 格式: SUB A,B //A=A-B; 功能: 两个操作数的相减,即从A中减去B,其结果放在A中. 二.CMP 和JZ 指令 比较指令CMP 格式: CMP A,B // A-B; 功能: 两个操作数的相减,即从A中减去B,其结果会影响标志位, 对标志位的影响与SUB指令相同.本条指令主要是用于配合条件转移指令使用.如JZ ZF=0时,跳转 条件转移指令 JE/JZ 格式: JE/JZ标号 //等于跳转 功能: ZF＝,转到指定地址执行 说

AT&T汇编指令学习(GCC) 寄存器命名原则: 相比inter语法,AT&T语法格式要求所有的寄存器都必须加上取值符"%". 操作码命令格式: 源/目的操作数顺序: Intel语法格式中命令表示格式为:"opcode dest, src"; "操作码 目标, 源" AT&T语法格式表示为:"opcode src, dest"; "操作码 源, 目标" 操作数长度标识: 在AT&am

call和ret都是用来修改ip或cs:ip,可以用来实现子程序的设计:   1.ret和retf ret    ->修改ip的内容,从而实现近转移: retf    ->同时修改cs和ip,从而实现远转移:   执行ret时:相当于 pop ip     1](ip)=((ss)*16+(sp)):也就是将栈顶的值赋值给ip:     2](sp)=(sp)+2:也就是栈顶指向栈的下一个字: 执行retf时:相当于pop ip,pop cs     1](ip)=((ss)*16+(sp))

处理器体系结构 Y86指令集体系结构 定义一个指令集体系结构 ,包括定义各种状态元素.指令集和它们的编码.一组编程规范和异常事件处理. 程序员可见的状态 Y86程序中的每条指令都会读取或修改处理器状态的某些部分. 程序员: 1.用汇编代码写程序的人. 2.产生机器级代码的编译器. 类似IA32,存在8个程序寄存器. 3个一位的条件码:ZF.SF.OF 程序计数器PC存放当前正在执行指令的地址 存储器,保存程序和数据.Y86用虚拟地址来引用存储器位置 状态码Stat,表明程序执行的总体状态--可行

本章我们将进入处理器体系结构介绍的神秘海洋中,我们熟悉的手机,电脑等设备的核心硬件都离不开处理器.处理器可以称的上是人类创造的最复杂的系统之一,一块手指大小的硅片,可以容纳一个完整的高性能处理器.大的高速缓存,以及用来连接外部的逻辑电路.而且由于摩尔定律,从性能上讲,今天一块芯片上的处理器,已经使得三十年前比房间那么大的超级计算机都相形见绌了. 那么可能有人会问,我们软件开发者,永远都不会自己去设计处理器,那我们为什么要学习处理器的实现? ①.首先处理器的设计是非常有趣而且重要的,处理器设计包括

0x1 if-else分支 if-else分支4种状态 1.1 以常量为判断条件的简单if-else分支 C源代码: 单层if-else判断,常量为判断条件 int _tmain(int argc, _TCHAR* argv[]) { int nTest = 1; if (nTest>0) printf("Hello world!\r\n"); else printf("Hello everybody!\r\n"); return 0; } if-else分支

继续开发 ; hello-os ; TAB= ORG 0x7c00 ; 指明程序的装载地址 ; 以下的记述用于标准FAT12格式的软盘 JMP entry DB 0x90 DB "HELLOIPL" ; 启动区的名称 DW ; 每个扇区(sector)的大小 DB ; 簇(cluster)的大小 DW ; FAT的起始位置 DB ; FAT的个数 DW ; 根目录的大小 DW ; 该磁盘的大小 DB 0xf0 ; 磁盘的种类 DW ; FAT的长度 DW ; 1个磁道(track)有几

    第八章是一个非常重要的章节,讲述的是实模式下对硬件的访问(这一节主要讲的是硬盘),还有用户程序重定位的问题.现在整理出来刚好能和保护模式下的用户程序定位作一个对比. ★PART1:用户程序的重定位,硬盘的访问 1. 分段.段的汇编地址和段内汇编地址 NASM编译器使用汇编指令“SECTION”或者“SEGMENT”来定义段.他的一般格式是SECTION 段名称或者SEGMENT段名称(段名称不能重复),另外NASM对段没有数量的限制,一个程序可以有很多的代码段和数据段.Intel处理器要

KiFastCallEntry() 机制分析 概述 Win32 子系统 API 调用 ntdll!ZwWriteFile() 函数 ntdll!KiFastSystemCall() 函数 _KUSER_SHARED_DATA 结构 切入 KiFastCallEntry() 函数 读取 TSS 信息 KTRAP_FRAME 结构 系统服务例程号与 ServiceTable ServiceTable ServiceTable entry 读取目标例程地址和参数size KiFastCallEntry

学校编译课的作业之一,要求阅读两个较为简单的编译器的代码并做注释, 个人感觉是一次挺有意义的锻炼, 将自己的心得分享出来与一同在进步的同学们分享. 今后有时间再做进一步的更新和总结,其中可能有不少错误,也请各位大佬不吝指正. 代码可以通过使用Lazarus等pascal环境执行. 源码仓库:https://github.com/luxiaodou/Pascal-S-and-PL0-complier-comments PL0编译器源码 PL0语言是Pascal的一个子集,编译器也比较简单,逐行注释

SafeSEH 对异常处理的保护原理 在 Windows XP sp2 以及之后的版本中,微软引入了 S.E.H 校验机制 SafeSEH.SafeSEH 需要 OS 和 Compiler 的双重支持,二者缺一都会降低保护能力.通过启用 /SafeSEH 链接选项可心使编译好的程序具备 SafeSEH 功能(VS2003 及后续版本默认启用).该选项会将所有异常处理函数地址提取出来,编入 SEH 表中,并将这张表放到程序的映像里.异常调用时,就与这张预先存好的表中的地址进行校验. VS 的 Vi