winXP

％x以十六进制数形式输出整数，或输出字符串的地址。 %X对应输出大写字母的十六进制数，%x对应输出小写字母十六进制数

%n与其他格式说明符号不同。%n不向printf传递格式化信息，而是令printf把自己到该点已打出的字符总数放到相应变元指向的整形变量中

memset是计算机中C/C++语言初始化函数。作用是将某一块内存中的内容全部设置为指定的值， 这个函数通常为新申请的内存做初始化工作。 void *memset(void *s, int ch, size_t n); 函数解释：将s中当前位置后面的n个字节 （typedef unsigned int size_t ）用 ch 替换并返回 s 。 memset：作用是在一段内存块中填充某个给定的值，它是对较大的结构体或数组进行清零操作的一种最快方法 [1]  。   memset()函数原型是extern void *memset(void *buffer, int c, int count)     buffer：为指针或是数组, c：是赋给buffer的值, count：是buffer的长度.

strncpy 是 C语言的库函数之一，来自 C语言标准库，定义于 string.h，char *strncpy(char *dest, const char *src, int n)，把src所指向的字符串中以src地址开始的前n个字节复制到dest所指的数组中，并返回被复制后的dest。   （c/c++）复制字符串src中的内容（字符，数字、汉字....）到字符串dest中，复制多少由size_t n的值决定。如果src的前n个字符不含NULL字符，则结果不会以NULL字符结束。如果n<src的长度，只是将src的前n个字符复制到dest的前n个字符，不自动添加'\0'，也就是结果dest不包括'\0'，需要再手动添加一个'\0'。如果src的长度小于n个字节，则以NULL填充dest直到复制完n个字节。src和dest所指内存区域不可以重叠且dest必须有足够的空间来容纳src的字符长度+'\0'。

snprintf()，函数原型为int snprintf(char *str, size_t size, const char *format, ...)。 将可变参数 “…” 按照format的格式格式化为字符串，然后再将其拷贝至str中。   (1) 如果格式化后的字符串长度 < size，则将此字符串全部复制到str中，并给其后添加一个字符串结束符('\0')； (2) 如果格式化后的字符串长度 >= size，则只将其中的(size-1)个字符复制到str中，并给其后添加一个字符串结束符('\0')，返回值为欲写入的字符串长度。

MOV AX，2000H；将16位数据2000H传送到AX寄存器  MOV AL，20H；将8位数据20H传送到AL寄存器  MOV AX，BX；将BX寄存器的16位数据传送到AX寄存器  MOV AL，[2000H]；将2000H单元的内容传送到AL寄存器

cdecl函数调用

对于一个栈来说，我们只需要有栈顶的段地址和偏移地址 栈顶的段地址，其是存放在段寄存器  SS  中的，而对于栈顶的偏移地址，其则是存放在  SP  寄存器中的 。 记住，在任何时刻，SS:SP  都是指向栈顶元素 。   当使用  PUSH 指令向栈中压入 1 个字节单元时，SP = SP - 1；即栈顶元素会发生变化； 而当使用  PUSH 指令向栈中压入  2 个字节的字单元时，SP = SP – 2 ；即栈顶元素也要发生变化； 当使用  POP 指令从栈中弹出 1 个字节单元时， SP = SP + 1；即栈顶元素会发生变化； 当使用  POP 指令从栈中弹出 2 个字节单元的字单元时， SP = SP + 2 ；即栈顶元素会发生变化 https://blog.csdn.net/qq_35212671/article/details/52761585

dword 双字 就是四个字节 ptr pointer缩写 即指针 []里的数据是一个地址值，这个地址指向一个双字型数据 比如mov eax, dword ptr [12345678] 把内存地址12345678中的双字型（32位）数据赋给eax

将cs，ip寄存器所指向的内存当做代码，指令转移就是修改cs，ip寄存器的指向 jmp指令可以修改IP或cs和IP的值来实现指令转移，指令格式为：”jmp 标号“将指令转移到标号处

LEA是取变量的地址   LEA有两个操作数。 左边是目的操作数，表示操作结果保存在此，该指令目的操作数只能是8个通用寄存器之一。 右边的是源操作数，该指令的源操作数只能是一个存储单元，表达存储单元有多种寻址方式。 示例：LEA BX,[BX+SI+0F54H]   [BX+SI+0F54H]采用相对基址变址的寻址方式表达存储单元，它表示的存储单元的有效地址是：BX内容加SI内容加0F54H。这个结果被传送到BX中。

ntdll.dll是Windows系统从ring3到ring0的入口。位于Kernel32.dll和user32.dll中的所有win32 API 最终都是调用ntdll.dll中的函数实现的。ntdll.dll中的函数使用SYSENTRY进入ring0，函数的实现实体在ring0中