滴水逆向(五)

目录​​​​​​​

一.push和pop指令

1.push+立即数

2.push+16位寄存器/word

3.push+32位寄存器/dword

4.pop+…… 

 二.pushad和popad

三. 标志寄存器 

1.进位标志CF

2.奇偶标志PF

 3.辅助进位标志AF

 4.零标志ZF

 5.符号标志SF

6.溢出标志OF


一.push和pop指令


1.push+立即数


 无论立即数多大,地址都是减4

运行前

运行后

可以得出结论是正确的,地址减4。


2.push+16位寄存器/word


 这时如果寄存器为16位,则地址减2。

运行前

运行后

3.push+32位寄存器/dword


同push+立即数一样,地址减4,而且push没法加上8位寄存器 

 运行前

运行后

  

4.pop+…… 


pop指令和push相反,pop是地址+push是地址- 

 二.pushad和popad


PUSHAD也叫保护现场,就是把我们的寄存器压入栈中
pushad是把eax,ecx,edx,ebx,esp、ebp,esi,edi依次压入栈中,ESP会减少32

POPAD也叫还原现场,将栈中存储的寄存器值返还给寄存器
与PUSHAD顺序相反,将栈中数据弹出,依次传给EDI、ESI、EBP、ESP、EBX、EDX、ECX、EAX 

pushad运行前 


运行后

可以发现 eax,ecx,edx,ebx,esp、ebp,esi,edi中的值被压入栈中。


popad运行前

运行后

可以看见这些值又返回了。


三. 标志寄存器 

1.进位标志CF


如果运算结果最高位产生了一个进位或错位,那么,其值为1,否则其值为0。 

 运行前

运行后

可以发现CF并没有发生变化,这是因为最高位没有 发生变化。


运行前

运行后

这个时候CF的值变成了1,因为这是8位,最高位发生变化。 

2.奇偶标志PF


用于反映运算结果中“1”的个数的奇偶性。如果“1”的个数为偶数,则PF的值为1,否则其值为0。

运行前

此时,eax中的值末尾为3。

加3之后,为6,是1的偶数,所以P的值变为1。 

 3.辅助进位标志AF


在发生下列情况时,辅助进位标志AF的值被置为1,否则为0:

(1)、在字操作时,发生低字节向高字节进位或借位时;

(2)、在字节操作时,发生低4位向高4位进位或借位时;

运行前

运行后

 4.零标志ZF


如果运算结果为0,则其值为1,否则为0。 

 5.符号标志SF


它与运算结果的最高位相同。 

6.溢出标志OF


如果运算结果超出当前运算位数所能表示的范围,则称为溢出,OF的值被置为1,否则为0。 

规律 

 运行前

运行后

因为7F为最大的数,所以加2后变为负数,溢出。 

版权声明:本文为CSDN博主「S@Kura」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/zhhhb1005/article/details/122648649

生成海报
点赞 0

S@Kura

我还没有学会写个人说明!

暂无评论

发表评论

相关推荐

硬件断点还能这么玩?

上一篇文章我们介绍了inlinehook(修改代码的hook方式),接下来准备介绍硬件断点veh hook(无需修改代码的hook方式)。作为铺垫,本文先介绍硬

TI最新BQ76952应用分享 电池主动均衡芯片

芯片介绍 BQ76952 是BQ76PL536A的升级版。串联电池最多由6节扩大到16节。对于串联电池系统设计变得更加友好。 BQ76952 器件是一款高度集成的高精度电池监控器和保护器,适用于 3 节至 16 节串联锂离子、锂聚

基于ARM IP的看门狗设计与功能验证

看门狗是一个定时器, ARM提供了一个32位向下计数的看门狗IP,它会不断地计数。通过软件可以设置计数值,计数到某一设定值重新开始计数,这一过程也被称为喂狗,如果没有正常喂狗