X64汇编之指令格式解析

最近因为项目组内要作特征码搜索的东西，便于去Hook一些未导出函数，你懂得...因而就闲着学习了一下x86/x64的汇编指令格式。x86的汇编指令格式请参照http://bbs.pediy.com/showthread.php?t=191802。总要有人来完成剩下的工做吧，这里我就把研究一天的x64汇编指令格式共享给你们。

一.首先打开Inter手册，看到x64汇编指令格式有多大改动，很少说，看图。

很明显，比x86多出了一点东西，Legacy Prefix
按功能组别，我将这个指令序列分为 4 个部分：
  Prefix
  Opcode
  ModRM 与 SIB
  Displacement 与 Immediate
其中，只有 opcode 是必须的，其它组成部分均可选！
好好看一下这些结构
1.Prefix前缀
AMD推出 x86 扩展 64 位技术时，增长了一个用于访问扩展的 64 位数据 prefix，它是：REX prefix，而 x86 原有的 prefix 则变为了指令格式中的：Legacy prefix。REX prefix 仅存在于 x64 的 64-bit 模式中，在 legacy x86 模式下，REX prefix 是无效的，可是在 x64 的 64-bit 模式下 Legacy prefix 是有效的。
REX prefix 的取值范围是：40H - 4FH。
在非 64 位模式下，它们是 inc 与 dec 指令，也就是说这些指令在 64 位模式下被重定义为 REX prefix
关于Prefix的介绍真的是少之又少，不过我在x86/x64 指令编码内幕（适用于 AMD/Intel）学到不少，连接以下：
http://www.mouseos.com/x64/index.html。
我这里就简单说一下吧，一个Legacy prefix还有一个REX prefix。这些修饰符是为了改变缺省的寄存器，好比说在32位下mov ax,bx。那么就要有Legacy prefix 0x66修饰，前者还有个做用就是改变当前段寄存器，很少这在目前已经显得不怎么重要了。到了x64的时候，因为通用寄存器的扩展(主要缘由)，本来的8个通用寄存器只要3个位来标识，可是如今多了r8~r15,16个通用寄存器怎么办呢，很明显加上一位就能彻底标识了。那么就是REX prefix的做用，看一下这个家伙的结构喽...



他有取值范围，前4位必定是4，后四位可选，W,R,X,B。W标识改变默认操做数大小，好比如今x64有个汇编代码mov r8,r10。通常不少指令都是默认32位操做数的，只有在CS.L==1&&CS.D==0的时候才会是64位操做数(我没见过)。因此通常都要去改变默认操做数大小，那就是0x48 (Inter手册上常说是 REX.W 懂了要感谢我哦)；其次就是R位，用来扩展 ModRM.reg 域，000 ~ 111 ---> 0 000 ~ 1 111 ，
因而如今寄存器的状况变成了以下



X: 用来扩展 SIB.index 域；
B: 用来扩展 SIB.base, ModRM.r/m 以及 Opcode.reg。

2.Opcode（操做码）
大多数通用指令的 Opcode 是单字节，最可能是 2 字节。可是对 x87 FPU 指令和 SSEx 等 SMID 指令来讲能够有 3 个字节的，Opcode 码表明着指令是作什么操做。
这里的Opcode并非完整的，由于他还有扩展位，就是ModR/M里面的reg/opcode这一项，3位。好比说一个简单的例子，x64下的绝对跳转0xFF25 + 0x0000 + [8字节绝对地址]。咱们去搜索Inter手册的jump指令看一下：
    FF /4 JMP r/m32 M N.S. Valid.(Jump near, absolute indirect, address given in
r/m32. Not supported in 64-bit mode.)
    FF /4 JMP r/m64 M Valid N.E.(Jump near, absolute indirect, RIP = 64-Bit
offset from register or memory)

其实不少人不明白0xFF25 为何后面要加4个0x00.如今工做机上没x64内联汇编环境验证不了，我理解这个实际上是一个偏移指示这条指令以后多远的地方存放着一个64位地址，而后再jump到这个64位地址上去。这个指令相信你们常常在调导入表函数的时候可以看到。好，闲话很少说，咱们看一下，后面的这个ModR/M怎么来的，因为是/4，所以 扩展Opcode为 100，并且这个jump后面跟一个当即数地址，查表能够看到ModRM= 00 101 ---> ModR/M ---> 00 100 101。这个是多少，我不知道啦。

3.ModR/M，这个就很少说了，x86的那张指令到机器码映射表表适用于x64。至于怎么玩待会用例子来讲明。

4.SIB & displacement。这里我要补充下，SIB不只是当基址加变址寻址(base-plus-index)和比例寻址(scale-plus-index)的时候须要用到SIB.并且涉及到esp/rsp寄存器的时候也很大可能须要用到SIB，咱们看下x86的指令图就知道了，没有任何一项是涉及到esp寄存器的，咱们再看x86,SIB的图，来自Inter手册，看了就明白

这里在纵行找到了ESP，可见ESP这个东西，不走寻常路！！！
displacement就不用多说了吧，好比说[rsp+0x8]，那就是一个字节的8，能够为负数

5.immediate，这个最好理解啦，就是当即数，好比mov eax, 0x12345678.那它这个部分就是0x78 0x56 0x34 0x12 倒着写。。。

二.实验
用windbg随便打开一个64位进程，找几条汇编指令，推一下。搞简单的吧，汗直冒撒.....



这个是32位指令，mov ebx, eax。首先去查MOV表...这里甩出来一个带x64的MOV指令表



then , we see ...
8B /r MOV r32,r/m32 RM Valid Valid Move r/m32 to r32.
默认是32位操做数因此不用加Prefix了，/r 标识ModR/M里面的reg/opcode表明的是reg
从表里看到ModR/M的值为 11 011 000 == 0xd8（第二个寄存器优先作横行）.不带SIB 因此最终指令为 8B D8。



一样是mov指令，可是是64位，mov r8,r12。首先去查MOV表... then we see...
REX.W + 8B /r MOV r64,r/m64 RM Valid N.E. Move r/m64 to r64.
其实Inter手册已经告诉你了要加REX Prefix。并且是0x48(为何去看上面)，这里注意了，因为开启了寄存器扩展位，因此这得从原来的3位变成4位(从汇编往机器码上推的时候就没多大必要了)
r8,r12分别为1000和1100把第四位去掉，再从x86指令表中去找就好了。因而咱们看到ModR/M为0xC4。所以最终结果为 48 8B C4 。发现跟结果不同，为何呢，REX Prefix没写对，其实这是由于 /r 指示ModR/M中存在扩展寄存器，因此REX.R = 1，这条指令的 ModRM.reg 提供源操做数寻址，而 ModRM.r/m 提供目标操做数寻址，目标寄存器 r8 须要 REX.B 进行扩展，它的指令编码是：



目标操做数 r12 寄存器的编码通过 REX.B 扩展为 1100
因此REX Prefix为0x4d而不是0x48。这个必定要注意...
做者：UltraCopy
*转载请注明来自看雪论坛@PEdiy.com