在我的 Mac 上查看一些 x86_64 的汇编代码，我看到以下指令：
48 c7 c0 01 00 00 00 movq $0x1,%rax
但是我在任何地方都找不到分解操作码的参考。似乎 48c7 是一条移动指令，c0 定义了 %rax 寄存器等。
那么，我在哪里可以找到能告诉我所有这些的参考资料？
我知道http://ref.x86asm.net/，但是看着 48 个操作码，我看不到任何类似于移动的东西。
问问题
15352 次
2 回答
21
Actually, mov is 0xc7 there; 0x48 is, in this case, a long mode REX.W prefix.
Answering also the question in comments: 0xc0 is b11000000. Here you can find out that with REX.B = 0 (as REX prefix is 0x48, the .B bit is unset), 0xc0 means "RAX is first operand" (in Intel syntax; mov rax, 1, RAX is first, or, in case of mov, output operand). You can find out how to read ModR/M here.
于 2012-06-24T19:58:01.570 回答
3
当您查看二进制文件时
48 c7 c0 01 00 00 00
你需要拆开它才能理解它的含义。
反汇编的算法并不难，但很复杂。它假设查找多个表。
该算法在英特尔开发人员手册第 2 卷中进行了描述，
Intel® 64 and IA-32 Architectures
Software Developer’s Manual
Volume 2 (2A, 2B & 2C):
Instruction Set Reference, A-Z
您从名为 的章节开始阅读INSTRUCTION FORMAT。
或者，有好书专门讨论这个主题的整章，例如
X86 Instruction Set Architecture, Mindshare, by Tom Shanley.
一整章专门用于反汇编二进制 X86。
或者您可以从 AMD 制作的同一语言的手册中开始阅读通用算法：
AMD64 Architecture
Programmer’s Manual
Volume 3:
General-Purpose and System Instructions
在这里，在本章中，Instruction Encoding您将找到定义这种指令语言的自动机，并且从这个图形方案中，您可以轻松编写解码器。
完成此操作后，您可以返回英特尔手册第 2 卷，并将其用作参考书。
我还发现来自http://opensecuritytraining.info/的逆向工程课程很有用。这个网站是CMU的博士生做的，大部分做的不是很好，但是需要比较长的时间去学习和应用。
了解基本思想后，您可以查看实现该算法的免费项目。我发现distorm项目很有用。一开始不要看抽象项目（如 qemu 或 objdump），这些项目试图在相同的代码中为多种语言实现反汇编程序，因为你会迷失方向。 Distorm仅关注 x86 并正确且详尽地实现它。它以形式语言传达了 X86 语言的定义，而 Intel 和 AMD 的手册使用自然语言来定义 X86 语言。
其他运行良好的项目是udis86。
于 2016-08-11T12:55:59.343 回答