恶意代码（二）

proc是定义子程序的伪指令
如果你的子程序和主程序在同一个代码段，则使用near，调用发生后，主程序堆栈中只压入ip值；
如果你的子程序和主程序不在一个代码段，则使用far，调用发生后，主程序堆栈中将压入cs、ip值；

参考链接：https://www.cnblogs.com/xiangtingshen/p/11463027.html

参考链接：https://www.cnblogs.com/ankier/archive/2013/01/26/2878189.html

EAX寄存器的作用
参考链接：https://blog.csdn.net/wyyy2088511/article/details/80966204

___security_cookie机制，防止栈溢出
参考链接：
https://blog.csdn.net/aod83029/article/details/102163362?utm_medium=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.channel_param&depth_1-utm_source=distribute.pc_relevant.none-task-blog-BlogCommendFromMachineLearnPai2-1.channel_param

EBP和ESP详解
ESP：栈指针寄存器(extended stack pointer)，其内存放着一个指针，该指针永远指向系统栈最上面一个栈帧的栈顶。
EBP：基址指针寄存器(extended base pointer)，其内存放着一个指针，该指针永远指向系统栈最上面一个栈帧的底部。
参考链接：https://blog.csdn.net/yu97271486/article/details/80425089

汇编语言的jz跳转
汇编指令test
Test命令将两个操作数进行逻辑与运算，并根据运算结果设置相关的标志位。但是，Test命令的两个操作数不会被改变。运算结果在设置过相关标记位后会被丢弃。
参考链接：https://baike.baidu.com/item/test/10804276?fr=aladdin

jmp short 标号（转到标号处执行指令）
汇编语言lea
LEA是微机8086/8088系列的一条指令，取自英语Load effective address——取有效地址，也就是取偏移地址。在微机8086/8088中有20位物理地址，由16位段基址向左偏移4位再与偏移地址之和得到。地址传送指令之一。
参考链接：https://baike.baidu.com/item/lea/1139441?fr=aladdin

过程定义伪指令PROC和ENDP
参考链接：https://wenku.baidu.com/view/cd945998ba68a98271fe910ef12d2af90242a8aa.html

汇编指令ENDP、ENDS、END