0

我遇到了以下汇编指令and rax, qword ptr [0xff5ff098]

我想知道将在以下指令中访问的内存地址是什么。内存地址0xff5ff098是零扩展还是最高有效位扩展？

在Intel Pin工具中，apiIARG_MEMORYREAD_EA将其扩展为 1，即它给出了以下地址0xffffffffff5ff098。这个地址是一个可能的地址吗？

我正在使用 64 位机器。

4

1 回答 1

3

它是如何编码的？RIP 相对还是绝对？

如果是绝对的，它使用符号扩展-disp32 寻址模式（因为寻址模式中的 32 位位移始终是符号扩展的，即使没有涉及寄存器）。

如果它是相对于 RIP 的，那么您的反汇编程序应该会显示正确的最终地址，由 RIP + rel32 计算得出。

您的反汇编程序或 PIN 显示不正确，因为如果它真的符号扩展为 64 位，您的反汇编程序应该向您显示。

是的，在 x86-64 中，RIP 相对寻址和绝对寻址都是可能的。

x86-32 有两种冗余方式来编码[disp32]没有寄存器的寻址模式。x86-64 将较短的地址重新用作相对于 RIP 的地址，而将较长的地址保留为[sign-extended-disp32]绝对地址。

我将使用 NASM 语法作为示例。您可以default rel默认使用 RIP-relative，并且可以根据具体情况进行覆盖，如下所示：

  MOV     RAX, [abs FS:_start]    ; _start just as something that assembles
  MOV     RAX, [rel FS:_start]    ; RIP-rel for thread-local is usually not useful!

 64 48 8b 04 25 b5 00 40 00   mov rax,QWORD PTR fs:0x4000b5
 64 48 8b 05 e7 fe ff ff      mov rax,QWORD PTR fs:[rip+0xfffffffffffffee7]  # 4000b5 <_start>

这个地址是一个可能的地址吗？

是的，使用规范范围上半部分的地址。例如less /proc/self/maps显示 Linux 将vsyscall它导出的页面映射到高地址空间：

ffffffffff600000-ffffffffff601000 r-xp 00000000 00:00 0                  [vsyscall]

规范地址意味着位[63:48]是位 47 的副本。即地址是您从低 48 位符号扩展中得到的地址。非规范地址总是会在当前硬件上出错，所以如果你想用那些冗余位实现标记指针之类的东西，你仍然必须在取消引用之前重做符号扩展。

请注意，它qword ptr告诉您操作数大小，而不是有关寻址模式如何编码的任何信息。

于 2016-11-23T10:55:25.557 回答