经典变长指令ModR/M

变长指令

不是所有的指令都是,看到opcode就知道有多长(定长指令),当指令中出现内存操作对象的时候,就需要在操作码后面附加一个字节来进行补充说明,这个字节被称为ModR/M。

该字节的8个位被分成了三部分:

 

其中,Reg/Opcode(第3、4、5位,共3个字节)描述指令中的G部分,即寄存器

Mod(第6、7位)和R/M(第0、1、2位)共同描述指令中的E部分,即寄存器/内存

 

 因特尔白皮书:

 

 

MOV变长指令

0x88  MOV Eb, Gb          G:通用寄存器

0x89  MOV Ev, Gv           E:寄存器/内存

0x8A  MOV Gb, Eb           b:字节

0x8B  MOV Gv, Ev           v:Word, doubleword or quadword(这个看操作系统,是多少位就多少位)

0x88

0x88 01

MOV Eb, Gb: Gb决定了是8位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:00   000    001

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 000,相当于0号寄存器,即[EAX],但是由于是8位,所以是AL

012位和67位组合起来是00 001

 

 是[ECX],所以这条指令应该是:mov byte ptr ds:[ECX],AL

0x88 15

MOV Eb, Gb: Gb决定了是8位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:00   010    101

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 001,相当于2号寄存器,即[ECX],但是由于是8位,所以是CL

012位和67位组合起来是00 101

 

可以看到这里并不是我们想的EBP,这是因为EBP指向栈底,而[EBP]通常存储上一个EBP,所以[EBP]无数据操作意义,Inter将这个编码废弃,改为立即数寻址

例如当操作指令为88 81 12 34 56 78时,其对应的汇编为MOV BYTE PTR DS:[ECX+78563412],AL

disp32实际上是个偏移,32位偏移,DWORD

再看这几个 ESP都没有对应的值

 

 

 

 这是因为:ESP指向栈顶,是浮动的,不确定的,Inter将这个编码废弃,由另外的格式来说明。

还是看一下

 

 

 0x89

0x89 03

MOV Ev, Gv : Gv与我当前的x32dedug决定了是32位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:00   000    011

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 000,相当于0号寄存器,即EAX

012位和67位组合起来是00 011

所以是[EBX],这条指令是:mov dword ptr ds:[ebx],eax

 

 

 这里只列举一个,这个指令与0x88区别就是位数的差别

 0x8A

0x8A 07

MOV Gb, Eb: Gb决定了是8位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:00   000    111

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 000,相当于0号寄存器,即EAX,但我们这里是byte所以是al

012位和67位组合起来是00 111

 

 

 是EDI,这条指令命令为:mov al,byte ptr ds:[edi]

 0x8B

0x8B 26

MOV Gv, Ev : Gv与我当前的x32dedug决定了是32位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:00  100  110

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 100,相当于5号寄存器,即ESP

012位和67位组合起来是00 110

 

 

 esi,mov esp,dword ptr ds:[esi]

0x8B 66 12

MOV Gv, Ev : Gv与我当前的x32dedug决定了是32位的通用寄存器,具体是哪一个通用寄存器还要看ModR/M的3,4,5部分

01:01  100  110

前两位是Mod ;3,4,5位是Reg/Opcode;0,1,2位是R/M

由上面可以知道 Reg/Opcode部分是 100,相当于5号寄存器,即ESP

012位和67位组合起来是01 110

 

 

 [esi+12],mov esp.dword ptr ds:[esi+12]

 

 

 总结

当Mod = 00时,ModR/M字节通过寄存器直接进行内存寻址

当Mod = 01时,ModR/M字节通过寄存器+I8进行内存寻址(I为立即数,即8位立即数)

当Mod = 10时,ModR/M字节通过寄存器+I32进行内存寻址

当Mod = 11时,ModR/M字节直接操作两个寄存器

posted @ 2021-04-07 21:24  Punished  阅读(95)  评论(0编辑  收藏