OPCode及汇编

1、OPCode

     操作码(Operation Code，OPCode)：描述机器语言指令中，指定要执行某种操作的机器码。

     OPCode与指令的对应关系：

     同类型的指令，OPCode不一定相同；

     B8 01000000  mov eax，1

     B8C7               mov eax,edi

     OPCode相同，指令不一定相同；

     90     nop

     90     xchg ax,ax

     主要数据域：6个

     前缀(Prefixes)：大小1Byte，描述指令的前缀情况，划分为5个集合，一个OPCode可能有几个Prefixes；

          66                                切换操作数大小

          67                                切换地址大小 

          F2/F3                           重复操作前缀

          2E/36/3E/26/64/65     修改默认段(段超越前缀)

          F0                                 锁定前缀

     代码(Code)

     构造模式(MODR/M)：主要解析逻辑集中在ModR/M域，通过查找Intel手册解析该域确定指令的具体格式；

          分为三部分：模式(Mod)、寄存器(Reg)、寄存器(R/M)

     SIB：辅助解析；

          分为三部分：比例(Scale)、索引(Index0)、基数(Base)

                                                         位移(Displacement)

     立即数(Immediate)

     注：

     a.以上数据域只有代码(Code)必须存在，指令长度在1~16字节之间；

     b.我们查找的内容在Intel手册的“OPCode Map”中，也称为“操作码映射表”，作用是列出汇编指令与OPCode的对应关系；

2、手工在Intel手册中查找OPCode的汇编代码：

     F0：26：C7 8491AA000000 11000000

     F0 - Prefixes：锁定前缀，即 Lock

     26 - Prefixes：修改默认段，即段超越前缀，查"Opcode Map"如图，段超越前缀为 ES

     C7 - Code：查"Opcode Map"如图，可知：Grp 11 MOV Ev，Iz

     84 - ModR/M：转为二进制 10 000 100

                              模式(Mod)段     ：2位     10

                              寄存器(Reg)段  ：3位     000

                              寄存器(R/M)段  ：3位     100  

     查"ModR/M"表如图，得到 [..][..]+disp32

           

     91 - SIB：转为二进制 10 010 001

                     比例(Scale)段 ：2位     10

                     索引(Index)段 ：3位     010

                     基数(Base)段  ：3位     001

     查"SIB"表如图，可知 [EDX*4]+ECX

     AA000000 - Displacement：此为小端模式，即为 0xAA

     11000000 - Immediate：小端模式，即为 0x11

     综上，得到：

     LOCK MOV ES：[EDX*4+ECX+0xAA]，0x11

     即为：

     LOCK MOV DWORD PTR ES：[EDX*4+ECX+0x0AA]，0x11

     

3、内联汇编

     内联汇编可以有两种形式，一种是行内联汇编，一种是块内联汇编，二者可交叉使用；

     行内联汇编：

     __asm mov eax，a

     __asm add  eax，b

     __asm mov c，eax

     块内联汇编：

     __asm{

              mov eax，a

              add  eax，b

              mov c，eax

     }

 4、裸函数

    

     定义：没有任何可执行代码的空函数，在内存中仅仅是一条地址信息.

               使用关键字“__declspec(naked)”定义；

     例：

     void __declspec(naked) TestFun( ){

          __asm  ret     }