0.asm-call与jmp机器码取地址计算
2016-08-03 17:02
274 查看
原文地址::http://blog.csdn.net/hgy413/article/details/7791400
CALL后面跟一个立即数,也就是32位偏移量时,机器码为 0XE8 后面的32位立即数是偏移量.
偏移量的计算: 目标偏移地址 减 CALL 指令后的下一条指令的地址
如下:
[cpp] view
plain copy
804f891c e887391700 call nt!KdInitSystem (8066c2a8)
804f8921 e8fc3d1700 call nt!KdpRestoreAllBreakpoints (8066c722)
==>
804f891c+1取地址为偏移量:*804f891d = 00173987
804f891c +5=804f8921 为 CALL 指令后的下一条指令的地址
所以8066c2a8的由来是:804f8921 +00173987 = 8066c2a8
假定i = 804f891c,有以下公式可以得到:
addr = (i+5)+*(PULONG)(i+1);// addr即call 后调用的函数,8066c2a8
机器码是0XFF15 后面跟的是内存地址.
如下:
[cpp] view
plain copy
kd> # ff15
nt!PspCreateProcess+0x5da:
805c8066 ff1500874d80 call dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d8700)]
kd> ln 804d8700
(804d8700) nt!_imp_HalRequestSoftwareInterrupt | (804d8704) nt!_imp_KeAcquireInStackQueuedSpinLock
Exact matches:
nt!_imp_HalRequestSoftwareInterrupt = <no type information>
这个比较简单:
假定i = 804f8935 ,
如果*(i)=0xff&&*(i+1)=0×15
则addr = *(PULONG)(i+2)
机器码是0xE9,操作和1一样
[cpp] view
plain copy
804f89ad e91e900400 jmp nt!KiAcquireSpinLock (805419d0)
804f89b2 cc int 3
计算:804f89b2 + 0004901e=805419d0
机器码是0xEb,操作和1一样(但后面是一个字节!)
[cpp] view
plain copy
804f8964 eb05 jmp nt!KdPowerTransition+0×29 (804f896b)
804f8966 e827720400 call nt!KdD0Transition (8053fb92)
计算:804f8966 + 05 = 804f896b
假定i = 804f8964 ,有以下公式可以得到:
addr = (i+5)+*(PUCHAR)(i+1);// addr即call 后调用的函数,804f896b
机器码是 0XFF25 后面跟的是内存地址
[cpp] view
plain copy
804f904f ff250c914d80 jmp dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d910c)]
机器地址是 0XFF2D,和6一样
1.CALL立即数
CALL后面跟一个立即数,也就是32位偏移量时,机器码为 0XE8 后面的32位立即数是偏移量.偏移量的计算: 目标偏移地址 减 CALL 指令后的下一条指令的地址
如下:
[cpp] view
plain copy
804f891c e887391700 call nt!KdInitSystem (8066c2a8)
804f8921 e8fc3d1700 call nt!KdpRestoreAllBreakpoints (8066c722)
==>
804f891c+1取地址为偏移量:*804f891d = 00173987
804f891c +5=804f8921 为 CALL 指令后的下一条指令的地址
所以8066c2a8的由来是:804f8921 +00173987 = 8066c2a8
假定i = 804f891c,有以下公式可以得到:
addr = (i+5)+*(PULONG)(i+1);// addr即call 后调用的函数,8066c2a8
2.CALL [内存地址]
机器码是0XFF15 后面跟的是内存地址.如下:
[cpp] view
plain copy
kd> # ff15
nt!PspCreateProcess+0x5da:
805c8066 ff1500874d80 call dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d8700)]
kd> ln 804d8700
(804d8700) nt!_imp_HalRequestSoftwareInterrupt | (804d8704) nt!_imp_KeAcquireInStackQueuedSpinLock
Exact matches:
nt!_imp_HalRequestSoftwareInterrupt = <no type information>
这个比较简单:
假定i = 804f8935 ,
如果*(i)=0xff&&*(i+1)=0×15
则addr = *(PULONG)(i+2)
3. call far [内存地址]
机器码是0XFF1D 后面跟的是内存地址.和2一样
4.JMP 立数数【0xE9】Near Jump(近跳转)
机器码是0xE9,操作和1一样[cpp] view
plain copy
804f89ad e91e900400 jmp nt!KiAcquireSpinLock (805419d0)
804f89b2 cc int 3
计算:804f89b2 + 0004901e=805419d0
5.JMP 立数数【0xEb】Short Jump(短跳转)
机器码是0xEb,操作和1一样(但后面是一个字节!)[cpp] view
plain copy
804f8964 eb05 jmp nt!KdPowerTransition+0×29 (804f896b)
804f8966 e827720400 call nt!KdD0Transition (8053fb92)
计算:804f8966 + 05 = 804f896b
假定i = 804f8964 ,有以下公式可以得到:
addr = (i+5)+*(PUCHAR)(i+1);// addr即call 后调用的函数,804f896b
6.JMP 内存地址
机器码是 0XFF25 后面跟的是内存地址[cpp] view
plain copy
804f904f ff250c914d80 jmp dword ptr [nt!_imp_HalRequestSoftwareInterrupt (804d910c)]
7.JMP
FAR 内存地址
机器地址是 0XFF2D,和6一样
相关文章推荐
- 0.asm-call与jmp机器码取地址计算
- 机器码call和jmp地址的计算
- JMP caLL 机器码
- call 地址计算
- JMP CALL 二进制指令计算公式
- JMP 地址计算
- ff15方式的call怎么计算地址
- call jmp 与机器码
- C#根据IP地址和子网掩码计算广播地址
- 结构体计算某个field的地址偏移
- 计算结构体基地址的宏定义
- 查看堆的起始地址是否是随机的,并计算堆和 BSS 区之间的间隙。
- JMP地址公式推导
- 汇编指令CALL与JMP的区别
- jmp far ptr s所对应的机器码
- 彻底明白IP地址――计算相关地址
- 如何根据IP地址和子网掩码,计算其所在子网的网络地址,主机地址和广播地址
- 转移指令jmp和跳转指令call
- 计算IP地址,网络地址
- 通过IP地址和子网掩码与运算计算相关地址