0.asm-call与jmp机器码取地址计算

1.CALL立即数

CALL后面跟一个立即数,也就是32位偏移量时,机器码为
0XE8 后面的32位立即数是偏移量.

偏移量的计算: 目标偏移地址 减 CALL 指令后的下一条指令的地址

如下：

804f891c e887391700 call nt!KdInitSystem (8066c2a8)
804f8921 e8fc3d1700 call nt!KdpRestoreAllBreakpoints (8066c722)

==>

804f891c+1取地址为偏移量:*804f891d = 00173987

804f891c +5=804f8921 为 CALL 指令后的下一条指令的地址

所以8066c2a8的由来是:804f8921 +00173987 = 8066c2a8

假定i = 804f891c,有以下公式可以得到：

addr = (i+5)+*(PULONG)(i+1);// addr即call 后调用的函数,8066c2a8

2.CALL
[内存地址]

机器码是0XFF15
后面跟的是内存地址.

如下：

kd> # ff15
nt!PspCreateProcess+0x5da:
805c8066 ff1500874d80    call    dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d8700)]
kd> ln 804d8700
(804d8700)   nt!_imp_HalRequestSoftwareInterrupt   |  (804d8704)   nt!_imp_KeAcquireInStackQueuedSpinLock
Exact matches:
    nt!_imp_HalRequestSoftwareInterrupt = <no type information>

这个比较简单：

假定i = 804f8935 ，

如果*(i)=0xff&&*(i+1)=0×15

则addr = *(PULONG)(i+2)

3.
call far [内存地址]

机器码是0XFF1D
后面跟的是内存地址.和2一样

4.JMP
立数数【0xE9】Near Jump(近跳转)

机器码是0xE9,操作和1一样

804f89ad e91e900400 jmp nt!KiAcquireSpinLock (805419d0)
804f89b2 cc int 3

计算：804f89b2
+ 0004901e=805419d0

5.JMP
立数数【0xEb】Short Jump（短跳转）

机器码是0xEb,操作和1一样(但后面是一个字节！）

804f8964 eb05 jmp nt!KdPowerTransition+0×29 (804f896b)
804f8966 e827720400 call nt!KdD0Transition (8053fb92)
计算：804f8966 + 05 = 804f896b

假定i = 804f8964 ,有以下公式可以得到：

addr = (i+5)+*(PUCHAR)(i+1);// addr即call 后调用的函数,804f896b

6.JMP 内存地址

机器码是
0XFF25
后面跟的是内存地址

804f904f ff250c914d80 jmp dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d910c)]

7.JMP
FAR 内存地址

机器地址是
0XFF2D,和6一样