linux x64 asm 参数传递,x86和x64汇编反汇编asm中call jmp机器码和取函数偏移地址计算...

X86下   直接的jmp分3种

Short Jump(短跳转)机器码 EB rel8

只能跳转到256字节的范围内

Near Jump(近跳转)机器码 E9 rel16/32

可跳至同一个段的范围内的地址

Far Jump(远跳转)机器码EA ptr 16:16/32

可跳至任意地址，使用48位/32位全指针

PEB ：进程环境块

TEB.ProcessEnvironmentBlock成员就是PEB的结构体地址

1：通过CreateProcess()创建新的被挂起的进程，此时其初始化线程上下文中，ebx 指向其PEB结构， EAX指向其EIP(代码执行地址)

2:如果线程没被挂起， 通过FS寄存器指向当前TEB结构 , 再TEB偏移0x30处是PEB指针 ，通过这个指针可以取得PEB结构的地址

3：X64程序下的FS寄存器角色已经换成了gs

暂时发现的一些东西：

gs:[0x30] TEB

gs:[0x40] Pid

gs:[0x48] Tid

gs:[0x60]  PEB

gs:[0x68]  LastError.

虽然gs:[0x60]直接存放的PEB，但是由于vista/7后的地址随机化机制，还是从TEB获取比较靠谱。

TEB结构体位于FS段选择符所指的段内存的起始地址处，

且ProcessEnvironmentBlock成员位于距TEB结构体Offset 30的位置

即有两种方法获得PEB的地址：

mov eax,dword ptr fs:[

00000018h] teb