X86指令编码内幕 --- 指令 Opcode 码

转载 2011年03月08日 03:16:00

指令 Opcode 码

x86 指令编码的核心是:Opcode、ModRM 以及 SIB。Opcode 提供指令的操作码,ModRM 及 SIB 提供操作数的寻址模式。

指令编码设计模式是:Opcode 的设计要考虑兼顾 ModRM。ModRM 要服务于 Opcode,SIB 是对 ModRM 的补充辅助。 

1.初窥 Opcode

在 1 个字节的空间里:00 ~ FF,Prefix 与 Opcode 共同占用这个空间。

由于 x86/x64 是 CISC 架构,指令不定长。解码器解码的唯一途径就是按指令编码的序列进行解码,关键是第 1 字节是什么? 如:遇到 66h,它就是 prefix,遇到 89h,它就是 Opcode。

Prefix 与 Opcode 共享空间的原因是:Prefix 是可选的。在编码序列里,只有 Opcode 是不可缺少的,其它都是可选。这就决定了指令编码中的第 1 个字节对解码工作的重要性。

 

除了 1 个字节的 Opcode 外,还有 2 个字节的 Opcode 以及 3 个字节的 Opcode,第 2 个 Opcode 码是由 0F 字节进行引导,这个 0F 被称为 escape prefix。即:2 个字节的 Opcode 码,其第 1 个 Opcode 必定是 0F 字节。

 

1.1 escape prefix

x86/x64 平台上的 3 个字节的 Opcode 码是通过 escape prefix + opcode 形式。

这些 escape prefix 可以理解为:引导性的 prefix,这些 prefix 可以说是 opcode 的一部分。

这些 escape prefix(引导 prefix)是:

  • 0F
  • 0F 3A
  • 3F 38

3 个字节的 Opcode 用于 SIMD 指令上(SSE1 ~ SSE4 系列,AVX 指令以及 XOP 指令)

1.2 SIMD prefix

在大多数 SIMD 指令上,SIMD prefix escape prefix 联合起来。

这些 SIMD prefix 包括:

  • 66
  • F2
  • F3

 

1.3 escape prefix 与 SIMD prefix 总结

---
说明
escape prefix
0f
引导 opcode
0f 38
0f 3A
SIMD prefix
66
SIMD 指令修饰性 prefix
F3
F2

 

例子:movntdq xmmword ptr [rax], xmm0

这条指令是 SSE2 指令,它 encodes 是:66 0f e7 00

它的 Opcode 是 66 0f e7 (3 bytes opcode),这里 66 是 SIMD prefix,0f 是 escape prefix

 

 

2 学会看 Opcode 表

怎么去看指令的 opcode,获得指令 opcode 编码,还是很有学问的。

2.1 从指令参考页里看 opcode 码

下面的图是 AMD 文档中对于指令参考页的描述:

从指令参考页里可以得出以下信息:

(1)指令助记符 mnemonic
(2)指令的 Operand 属性
(3)指令的 Opcode 码
(4)指令的描述。

这确实可以得到想要的 Opcode 码,还有 Operand 数以其属性。下面摘录了 mov 指令一部分的参考页:

从这里看出,这个 Opcode 8B 有几种操作数形式,reg <- regreg <- mem,Operand-size 可以是 16/32/64。

不过这并不是了解 Opcode 码的好地方,指令参考页主要是对指令的操作进行相应的描述。对掌握 Opcode 码不是那么直观和透彻。下面要看全局的 Opcode 表格。

 

2.2 怎么看 Opcode 表

学会看 Opcode 表才能清晰地进行分析,Opcode 表是一个全面的透彻的总结表,又可以说十分细致。

 

Intel 和 AMD 的文档中均提供了 Opcode 表,Opcode 表有 One-byte Opcode 表、Two-byte Opcode 表和 X87 Opcode 表等。

 

2.2.1 Opcode 表上的基本元素

下图是一部分 Opcode 表

 


Opcode 表上描述的范围是 00 ~ FF,即 1 个字节共 256 个值,每 1 个值描述不同的属性,包括:

  • 1 个 byte 的 opcode 码
  • prefix
  • 0F(escape prefix)
  • Group 属性的 opcode 码

每个 Opcode 码还附有相应的 Operands 属性,Operands 属性是用来描述 Operands 的,包括 Operands 个数、寻址类型及 Size

注意:
  所谓 Group(组)属性 Opcode 是指:Intel 将一些 operands 寻址相同 Opcode 码抽出来组成一组。具体的功能是由 ModRM 的 reg 来决定。ModRM.reg  就起决定性作用,它反过影响 Opcode 码。ModRM.reg 此时相当是一个 index 值。用来选择 Opcode 码。

  这主要原因是原因:这种 Opcode 的操作数无法与 ModRM 得到良好的配合。从而决定了 Opcode 受制于 ModRM.reg。
很典型的 FFh,这就是一个 Group 属性的 Opcode 码。 FFh 是一组指令的代表,FFh 要由 ModRM.reg 才能决定它的指令功能。当 ModRM.reg = 010 时,FFh 是 CALL 指令的 Opcode 码。 当 ModRM.reg = 000 时,它是 INC 指令的 Opcode 码。

实际上:
   Opcode 的组是按照 Operands 的属性进行分组的。

 

看看 mov 指令 8B Opcode 表是怎样的:

上面图中的 opcode 表中圆圈所示是 Opcode 8B,它对应的是指令 mov,表格中的 Gv, Ev 是描述这个 Opcode 码所对应的指令的 Operand 属性

Gv, Ev 表示:

(1)两个 Operands 分别是:目标操作数 Gv,源操作数 Ev 或说:frist operand 是 Gv, second operand 是 Ev

(2)Gv 表示:G 是寄存器操作数,v 是表示操作数大小依赖于指令的 Effective Operand-Size,可以是 16 位,32 位以及 64 位。

(3)Ev 表示:E 是寄存器或者内存操作数,具体要依赖于 ModRM.r/m,操作数大小和 G 一致。

4 个字符便可以很直观的表示出:操作数的个数以及寻址方式,更重要的信息是这个 Opcode 的操作数需要 ModRM 进行寻址。

 

2.2.2 operand 描述表

要看懂 Opcode 表必须学会分析和理解 Operand 属性字符,Intel 和 AMD 的 Opcode 表前面都有对 Operands 属性字符很仔细清晰的定义和说明。

表格1:operand type 表

类型
描述
寻址方式
A
 operand 是一个 far pointer(selector:offset 形式)  以 immediate 形式直接在 encode 里给出。(offset 在低,seletor 在高)
C
 operand 是一个 control register(CR0 ~ CR15)  由 modrm.reg 提供寻址。
D
 operand 是一个 debug register(DR0 ~ DR15)  由 modrm.reg 提供寻址。
E
 operand 是一个 register 或者 memory  由 modrm.r/m 提供寻址。
F
 operand 是 rflags 寄存器  直接嵌在 opcode 里。
G
 operand 是一个通用寄存器 (rax ~ r15)  由 modrm.reg 提供寻址。
I
 operand 是立即数 immediate  encode 中的 immediate 形式。
J
 operand 是基于 rip 的 offset(偏移量),是 signed(符号数)  encode 中的 immediate 形式。
M
 operand 是 memory 操作数  由 modrm.r/m 提供寻址,其中 modrm.mod ≠ 11(它是 memory)
O
 operand 是 memory offset,直接提供绝对地址  encode 中的 immediate 形式,无需 modrm 和 SIB 寻址。
P
 operand 是 MMX 寄存器  由 modrm.reg 提供寻址。
PR
 operand 是 MMX 寄存器  由 modrm.r/m 提供寻址,其中 modrm.mod = 11
Q
 operand 是 MMX 寄存器或者 memory 操作数  由 modrm.r/m 提供寻址。
R
 opernad 是一个通用寄存器(rax ~ r15)  由 modrm.r/m 提供寻址,其中 modrm.mod = 11
S
 opernad 是 segment 寄存器  由 modrm.reg 提供寻址。
V
 operand 是 XMM 寄存器  由 modrm.reg 提供寻址。
VR
 operand 是 XMM 寄存器  由 modrm.r/m 提供寻址,其中 modrm.mod = 11
W
 opernad 是 XMM 寄存器或者 memory 操作数  由 modrm.r/m 提供寻址。
X
 operand 是串指令的源串 default operand 寻址  由 ds:rsi 提供寻址,在 encode 中无需给出。
Y
 operand 是串指令目的串 default operand 寻址  由 es:rdi 提供寻址,在 encode 中无需给出

 

表格2:operand size 表

类型
描述
operand size
a
 仅用于 bound 指令,operand 是一个 memory,它提供 array 的 limit(下限地址和上限地址)  word 或者 doubleword,依赖于 effective operand size(可以进行 operand size override)
b
 operand size 固定为 byte,不可进行 operand size override  byte (8 位)
d
 operand size 固定为 doubleword,不可进行 operand size override  doubleword (32 位)
dq
 operand size 固定为 double-quadword,不可进行 operand size override  double-quadword (128 位)
p
 operand 是 far pointer:32 位或 48 位(16:16 或 16:32)  16:16 或 16:32 依赖于 effective operand size(可进行 operand size override)
pd
 packed double(128 位双精度浮点压缩数),即:64:64(128 位 packed double)  128 位 packed-double。
pi
 MMX - packed integer(64 位压缩整数)  64 位 packed-integer。
ps
 packed signed(128 位单精度压缩数),即:32:32:32:32(128 位 packed signed)  128 位 packed-signed。
q
 operand size 固定为 quadword,不可进行 operand size override  quadword(64 位)
s
 6 bytes 或 10 bytes 的描述符表类型(limit + base  16:32(16/32 位 opernad siz)或 16:64(64 位 operand size)
sd
 scalar double  scalar double
si
 scalar integer  scalar integer
ss
 scalar signed  scalar signed
v
 word,doubleword 或 quadword  word,doubleword 或 quadword 取决于 effective operand size,可进行 operand size override,REX prefix
w
 opernad size 固定为 word,不可进行 operand size override  word(16 位)
z
 
word =
effective operand size 是 16 位时  word 或 doubleword 依赖于 effective operand size
dword =
effective operand size 是 32 位或 64 位时
/n
 n 代表一个具体数值(0 ~ 7),在 ModRM.reg 中提供  由 ModRM.reg 提供 (000 ~ 111)

 

每个指令的 operand 属性都由上面的表1和表2两者描述, Operands 属性都有两组字符来定义,前面的一组大写字母是 Operand 类型,后面一组小定字母是 Operand Size。

 

如:Gv 表示:

★ G 是 Operand 类型,表示 General-Purpose Register(GPR)通用寄存器,也就是 rax ~ r15 共 16 个。这是有别与 Segment Register、XMM 寄存器等。

★ v 是 Operand 大小,依赖于当前的 Effective Operand-Size,这个 operand size 可以使用 66H prefix 和 REX prefix 进行 operand size override

 

举 2 个例子:


(1)以典型的 Jmp Jz 为例。

它的 Opcode 是 E9,Operand 属性是 Jz

J 是代表基于 RIP 的相对寻址,也就是说,操作数寻址是偏移量(Offset)加上 RIP 得出。

z 则表示 Operand-Size 是 16 或 32(effective operand size = 16 时是 16,effective operand size = 32/64 时是 32)

这与 v 不同,z 属性下不存在 64 位 operand size



(2)另一个典型的例子是 call Ev

它的 Opcode 是 FF,这个 Opcode 是个典型的 Group Opcode,为什么会定义为 Group,下面的将会有阐述。

操作数的寻址是典型的 ModRM 寻址,由 ModRM.r/m 寻址。

E 既可是 GPRs 也可以是 Mem。 它同样是 v 属性的 Operand-Size。

关于 default 与 effective 阐述, 详见: default(缺省) 与 effective(有效)

 

3.透析 Opcode 的编码规则

如上所述:prefix 与 Opcode 共享 00~FF 的空间,由于 Prefix 部分是 可选的,当 CPU 取指单元从 ITLB 加载指令 L1-Icache 和 prefetch buffer,预解码单元通过 prefix 自已的 ID 值来解析 prefix。如读入 66h 时是解析为 prefix 而不是 Opcode。同样,读入 0Fh 时被解析为是 2 个 字节的 Opcode 中的第 1 个字节。

Opcode 的 operands 寻址一部分是在 Opcode 码直接中指定,一部分是依赖 ModRM 给定,还有一部分不依赖 ModRM 给定。直接中 Opcode 指定的 operand 寻址的是 GPRs 寻址,如:inc eax 指令(Opcode 是 40h),还有串指令,如 loads 等。

 

3.1、 1 个 Operand 的 Opcode 码编码规则


(1)直接嵌入 Opcode 中

  一部分 Opcode 的 operand 是直接嵌入 Opcode 中的,如:inc eax、push eax、pop eax 等。 这些指令编码是 1 个字节。不依赖于 ModRM 寻址。

(2)依赖于 ModRM 寻址,这部分 Opcode 码需要 ModRM.reg 进行补充修饰,是 Group 属性 Opcode

  对于单 Operand 的指令而又依赖于 ModRM 寻址。这种指令必定是 Group 属性的指令。

  它的 operand 属性是 Ev 字符。ModRM.reg 决定最终的 Opcode 操作码,ModRM.mod 和 ModRM.r/m 决定寻址模式。

  如前面提到的典型 Call Ev 这种指令,operand 可以是 register,也可以是 memory,由 ModRM.mod 来决定到底是 registers 还是 memory,ModRM.r/m 决定具体的 operand。

(3)不依赖于 ModRM 寻址,不是 Group 属性 Opcode

  这种情况下的 Operand 既不嵌入 Opcode 中,也不使用 ModRM 进行寻址,那么它必定是 immediate 值。它的 Operand 属性字符是 Iz、Ib 或者 Jz。

  这种指令很常见,如:push Iz、push Ib、Jmp Jz、Jmp Jb 等。

  push 0x12345678 这就是常见的这种指令,还非常常见的短跳转 jmp $+0x0c。




3.2、 2 个 Operands 的 Opcode 码编码规则。


(1)1 个 Operand 嵌入 Opcode,另一个 Operand 不依赖于 ModRM(非 Group 属性)

  这种情况下,一个 Operand 必定是 GPRs,另一个不使用 ModRM 寻址的 Operand 必定是 Immediate。所以它不是 Group 属性的。

看看以下两个 Opcode:

  指令 mov rax, Iv 它的 Opcode 是 B8,目标操作数是由 Opcode 中指定的 GPRs(rax),源操作数是不使用 ModRM 寻址的 Immediate。是一个寄存器与立即数的寻址指令。

  由于 mov rax, Iv 它的 immediate operand size 是 v 属性,因此:这个 immediate 可以使用 REX prefix 进行 override 到 64 位

如:指令 mov rax, 0x1122334455667788

  它的 encode 是:b8 88 77 66 55 44 33 22 11 (使用了 64 位的 immediate 值)

思考另一个问题:

  在 64 位下:mov qword ptr [rax],0x1122334455667788,这指令是的错误的。

  原因:这条指令是 MOV Ev, Iz,它是 z 属性的 operand size, 因此,它不可能有 64 位的 immediate 值。

本质上:

  是它的寻址是使用了 ModRM 的。此时,它要受限于 Immediate 最大为 4 个字节的限制。所以不会有 Iv 的属性

  mov rax, qword ptr [0x1122334455667788],这条指令是完全正确的,它的指令是 MOV rAX, Ov, 具有 v 属性的 size

  它不依赖于 ModRM 寻址。此时,它的 memory 是绝对地址,它将以 immediate 值形式直接嵌入指令编码中。



(2)依赖于 ModRM 寻址,非 Group 属性

  这种依赖于 ModRM 寻址而又非 Group 属性的 2 个 Operands,绝大部分是:寄存器与内存操作数之间或 2 个寄存器之间。

  它的 Operands 属性字符是 Gv, Ev 或 Ev, Gv。 典型的如: mov eax, ebx


(3)依赖于 ModRM 寻址,是 Group 属性

  在这种 Opcode 编码下,另一个操作数必定是 Immediate,典型的如:mov ecx, 0x10,它的 Operands 属性字符是 Ev, Iv 等。



3.3、 3 个 Operands 的 Opcode 编码

  在 AMD 的 SSE5 指令集推出之前,是没有第 3 个 Operand 是非寄存器或内存操作数的情形。所以,第 3 个操作必定是 Immediate 值。

  这种指令很少。imul eax, ebx, 3 这是其中的一种形式。


4、 Opcode 混乱的本质

  造成 x86/x64 平台的 Opcode 混乱,起因于众多寻址模式,而 operand 分为:0 operand、1 operand、2 operands、3 operands 以及 4 operands

 

Group 属性的 Opcode

  由于这部分 Opcode 需要 ModRM.reg 进行补充,那么 ModRM.r/m 就可以提供 1 个 operand 的寻址了。

  当 ModRM.mod = 11,它就提供 registers 寻址,当 ModRM.mod <> 11,它就提供 memory 寻址,

  因此,它的 operand 要么是 Ev 要么是 Iv、Iz 或 Ib

  当 operand 是 Iv、Iz 或 Ib 时,表示 Opcode 将忽略 ModRM.r/m 寻址。

 

Dockerfile指令用法详解【18年新版】

本课程旨在帮助学员更加清晰认识、学习dockerfile指令,课程为每一个指令采用实验的方法进行讲解,每个指令的用法、及指令的价值在实验中详细阐述。可加QQ群681113285,一起交流学习docker
  • 2018年04月02日 10:13

X86指令编码内幕 --- ModRM 寻址模式

ModRM 寻址模式 在 x86/x64 指令集的世界里:Opcode 对指令提供操作码,ModRM 最主要作用是对指令的 operands 提供寻址,另一个作用是对 Opcode 进行补充,而 SI...
  • xfcyhuang
  • xfcyhuang
  • 2011-03-08 18:24:00
  • 4608

X86指令编码内幕 --- ModRM 与 SIB 设计上的 2 个原则

X86指令编码内幕 --- ModRM 与 SIB 设计上的 2 个原则 1、 rbp 作为 base 寄存器时,必须以 [base + disp] 形式存在   这种设计思想大概是基于:rbp 意为...
  • xfcyhuang
  • xfcyhuang
  • 2011-03-25 04:28:00
  • 1575

5. ModRM 寻址模式

5. ModRM 寻址模式 上一页 返回目录 下一页     在 x86/x64 指令集的世界里: Opcode 对指令提供操作码,ModRM 最主要作用是对...
  • cosmoslife
  • cosmoslife
  • 2012-06-04 19:57:33
  • 921

64位下对Mod/RM 的解析

64位下对Mod/RM 的解析
  • smwbcs
  • smwbcs
  • 2016-03-03 15:46:48
  • 573

指令 Opcode 码 ModRM

http://www.mouseos.com/x64/doc5.html http://www.luocong.com/learningopcode/doc/5._ModRM_-_Part_I.ht...
  • liumf2005
  • liumf2005
  • 2012-04-18 22:52:57
  • 314

OPCode详解及汇编与反汇编原理

1. 何为OPCode 在计算机科学领域中,操作码(Operation Code, OPCode)被用于描述机器语言指令中,指定要执行某种操作的那部分机器码,构成OPCode的指令格式和规范由处理器...
  • sqzxwq
  • sqzxwq
  • 2015-08-19 19:57:06
  • 7657

oPcode 指令代码分析

前缀字节码和code操作码绝对不重复  1.一个opcode可能有几个prefixes  2.如果有多个prefixes,那么他们的顺序可以打乱 3.如果prefixes不能对它之后的opcod...
  • wansichao
  • wansichao
  • 2014-11-30 10:11:10
  • 691

OpCode 笔记

OpCode的6个域: PrefixescodeModR/MSIBDisplacementImmediate 记住: 在实际的使用中,并不是这所有的6个域都会被用到的,但是有一项却是一定会有的,...
  • wansichao
  • wansichao
  • 2014-11-29 16:17:26
  • 444

OpCode

http://www.luocong.com/learningopcode/doc/1._%E4%BB%80%E4%B9%88%E6%98%AFOpCode%EF%BC%9F.htmThings ha...
  • cruelchen
  • cruelchen
  • 2013-07-12 10:59:52
  • 813
收藏助手
不良信息举报
您举报文章:X86指令编码内幕 --- 指令 Opcode 码
举报原因:
原因补充:

(最多只允许输入30个字)