利用花指令防止程序被反汇编什么是花指令？当然不是"flower code"，呵呵，实际上，把它按照“乱指令”来理解可能更贴切一些，它的真正英文名应该叫"thunkcode"吧(不确定，呵呵)。我们知道，汇编语言其实就是机器指令的符号化，从某种程度上看，它只是更容易理解一点的机器指令而已。每一条汇编语句，在汇编时，都会根据cpu特定的指令符号表将汇编指令翻译成二进制代码。而日常应用中，我们通过VC的IDE或其它如OD等反汇编、反编译软件也可以将一个二进制程序反汇编成汇编代码。机器的一般格式为：指令＋数据。而反汇编的大致过程是：首先会确定指令开始的首地址，然后根据这个指令字判断是哪个汇编语句，然后再将后面的数据反汇编出来。由此，我们可以看到，在这一步的反汇编过程中存在漏洞：如果有人故意将错误的机器指令放在了错误的位置，那反汇编时，就有可能连同后面的数据一起错误地反汇编出来，这样，我们看到的就可能是一个错误的反汇编代码。这就是“花指令”，简而言之，花指令是利用了反汇编时单纯根据机器指令字来决定反汇编结果的漏洞。
先举个例子
(记为A代码段)：
jz label
jnz label
db thunkcode
label:以上是一个相当简单的花指令块，其中thunkcode是由应用者自己随便写的机器指令字，当然，你写的这个机器指令字不能是单字节指令(比如nop, clr,等)，否则，你的花指字就相当于白加了。
那么，你要如何来使用这段代码呢？假设我们待加密的代码块如下
(记为B代码段)：
mov ax, 8
xor ax, 77
...
我们假设这B代码段是我们的加密算法所在的代码段，现在我们想要对B代码段进行保护，可以直接将A花指令块加到mov指令之前，形如：
jz label
jnz label
db thunkcode
label:
mov ax, 8
xor ax, 77
...
其中，对于thunkcode，在实际使用时，可以使用任何一个多字节指令的机器指令字来代替，这样就会欺骗反汇编软件将它连同后面的mov指令的前边某一部分反汇编成一个多字节指令。这样，我们的目的也就达到了。由上可以看到，使用了花指令的地方，一般都会出现这样的现象：一个跳转指令，跳转到了某条语句的中间位置，而不是这条语句的开始位置。每当出现这种情况时，我们就可以断定，这里出现了花指令。显然地，破解它的办法，就是在那个跳转到的目的地址之前将中间的代码全部nop掉。当然，为了加强难度，我们可以将若干个花指令结合起来使用。比如：
jz label
jnz label
db thunkcode
label:
jz label2
jnz label2
db thunkcode
lable2
mov ax, 8
xor ax, 77
...
也当然，针对这种情况的破解只要一层层解开它即可：我们可以先破解到以label为首字节的指令出现为止，然后再根据新的结果，破解到以label2为首字节的指令出现为止，虽然这样麻烦点，但还是不难的。但是，如果把下面的这段代码再同其它花指令结合起来使用，可能就更复杂了：
call label_1
db thunkcode
jmp label_2
db thunkcode
label_1:
pop eax
jmp label_3
db thunkcode,thunkcode,thunkcode
label_3:
inc eax
jmp label_4
db thunkcode,thunkcode,thunkcode
label_4:
jmp eax
db thunkcode
label_2:
....
这里还有一段：
call label_1
db thunkcode,thunkcode
jmp label_4
label_1:
pop eax
jmp label_2
db thunkcode,thunkcode
label_2:
add eax,2
jmp label_3
db thunkcode
label_3:
push eax
ret
db thunkcode
label_4: ....
为了加强难度，尽可能地用call和push实现间接跳转，当然，矛矛盾盾，只是时间长点而已，世上没有绝对安全的系统。
MOV指令为双操作数指令,两个操作数中必须有一个是寄存器. MOV DST , SRC // Byte / Word 执行操作: dst = src 1.目的数可以是通用寄存器, 存储单元和段寄存器(但不允许用CS段寄存器). 2.立即数不能直接送段寄存器 3.不允许在两个存储单元直接传送数据 4.不允许在两个段寄存器间直接传送信息 PUSH入栈指令及POP出栈指令: 堆栈操作是以“后进先出”的方式进行数据操作. PUSH SRC //Word 入栈的操作数除不允许用立即数外，可以为通用寄存器，段寄存器(全部)和存储器. 入栈时高位字节先入栈，低位字节后入栈. POP DST //Word 出栈操作数除不允许用立即数和CS段寄存器外, 可以为通用寄存器,段寄存器和存储器. 执行POP SS指令后,堆栈区在存储区的位置要改变. 执行POP SP 指令后,栈顶的位置要改变. XCHG(eXCHanG)交换指令: 将两操作数值交换. XCHG OPR1, OPR2 //Byte/Word 执行操作: Tmp=OPR1 OPR1=OPR2 OPR2=Tmp 1.必须有一个操作数是在寄存器中 2.不能与段寄存器交换数据 3.存储器与存储器之间不能交换数据. XLAT(TRANSLATE)换码指令: 把一种代码转换为另一种代码. XLAT (OPR 可选) //Byte 执行操作: AL=(BX+AL) 指令执行时只使用预先已存入BX中的表格首地址,执行后,AL中内容则是所要转换的代码. LEA(Load Effective Address) 有效地址传送寄存器指令 LEA REG , SRC //指令把源操作数SRC的有效地址送到指定的寄存器中. 执行操作: REG = EAsrc 注: SRC只能是各种寻址方式的存储器操作数,REG只能是16位寄存器 MOV BX , OFFSET OPER_ONE 等价于LEA BX , OPER_ONE MOV SP , [BX] //将BX间接寻址的相继的二个存储单元的内容送入SP中 LEA SP , [BX] //将BX的内容作为存储器有效地址送入SP中 LDS(Load DS with pointer)指针送寄存器和DS指令 LDS REG , SRC //常指定SI寄存器。 执行操作: REG=(SRC), DS=(SRC+2) //将SRC指出的前二个存储单元的内容送入指令中指定的寄存器中，后二个存储单元送入DS段寄存器中。
汇编语言入门教程 对初学者而言，汇编的许多命令太复杂，往往学习很长时间也写不出一个漂漂亮亮的程序，以致妨碍了我们学习汇编的兴趣，不少人就此放弃。所以我个人看法学汇编，不一定要写程序，写程序确实不是汇编的强项，大家不妨玩玩DEBUG，有时CRACK出一个小软件比完成一个程序更有成就感（就像学电脑先玩游戏一样）。某些高深的指令事实上只对有经验的汇编程序员有用，对我们而言，太过高深了。为了使学习汇编语言有个好的开始，你必须要先排除那些华丽复杂的命令，将注意力集中在最重要的几个指令上（CMP LOOP MOV JNZ……）。但是想在啰里吧嗦的教科书中完成上述目标，谈何容易，所以本人整理了这篇超浓缩（用WINZIP、WINRAR…依次压迫，嘿嘿！）教程。大言不惭的说，看通本文，你完全可以“不经意”间在前辈或是后生卖弄一下DEBUG，很有成就感的，试试看！那么――这个接下来呢？――Here we go！（阅读时看不懂不要紧，下文必有分解） 因为汇编是通过CPU和内存跟硬件对话的，所以我们不得不先了解一下CPU和内存：（关于数的进制问题在此不提） ＣＰＵ是可以执行电脑所有算术╱逻辑运算与基本I/O 控制功能的一块芯片。一种汇编语言只能用于特定的CPU。也就是说，不同的CPU其汇编语言的指令语法亦不相同。个人电脑由1981年推出至今，其CPU发展过程为：8086→80286→80386→80486→PENTIUM →……，还有AMD、CYRIX等旁支。后面兼容前面CPU的功能，只不过多了些指令（如多能奔腾的MMX指令集）、增大了寄存器（如386的32位EAX）、增多了寄存器（如486的FS）。为确保汇编程序可以适用于各种机型，所以推荐使用8086汇编语言，其兼容性最佳。本文所提均为8086汇编语言。寄存器（Register）是CPU内部的元件，所以在寄存器之间的数据传送非常快。用途：1.可将寄存器内的数据执行算术及逻辑运算。2.存于寄存器内的地址可用来指向内存的某个位置，即寻址。3.可以用来读写数据到电脑的周边设备。8086 有8个8位数据寄存器，这些8位寄存器可分别组成16位寄存器：ＡＨ&ＡＬ＝ＡＸ：累加寄存器，常用于运算；ＢＨ&ＢＬ＝ＢＸ：基址寄存器，常用于地址索引；ＣＨ&ＣＬ＝ＣＸ：计数寄存器，常用于计数；ＤＨ&ＤＬ＝ＤＸ：数据寄存器，常用于数据传递。为了运用所有的内存空间，8086设定了四个段寄存器，专门用来保存段地址：ＣＳ（Code Segment）：代码段寄存器；ＤＳ（Data Segment）：数据段寄存器；ＳＳ（Stack Segment）：堆栈段寄存器；ＥＳ（Extra Segment）：附加段寄存器。当一个程序要执行时，就要决定程序代码、数据和堆栈各要用到内存的哪些位置，通过设定段寄存器CS，DS，SS 来指向这些起始位置。通常是将DS固定，而根据需要修改CS。所以，程序可以在可寻址空间小于64K的情况下被写成任意大小。所以，程序和其数据组合起来的大小，限制在DS 所指的64K内，这就是COM文件不得大于64K的原因。8086以内存做为战场，用寄存器做为军事基地，以加速工作。除了前面所提的寄存器外，还有一些特殊功能的寄存器：IP（Intruction Pointer）：指令指针寄存器，与CS配合使用，可跟踪程序的执行过程；SP（Stack Pointer）：堆栈指针，与SS配合使用，可指向目前的堆栈位置。BP（Base Pointer）：基址指针寄存器，可用作SS 的一个相对基址位置；SI（Source Index）：源变址寄存器可用来存放相对于DS段之源变址指针；DI（Destination Index）：目的变址寄存器，可用来存放相对于ES 段之目的变址指针。还有一个标志寄存器FR（Flag Register）,有九个有意义的标志，将在下文用到时详细说明。 内存是电脑运作中的关键部分，也是电脑在工作中储存信息的地方。内存组织有许多可存放
8086/8088指令系统记忆表 数据寄存器分为: AH&AL＝AX(accumulator)：累加寄存器，常用于运算;在乘除等指令中指定用来存放操作数,另外,所有的I/O指令都使用这一寄存器与外界设备传送数据. BH&BL＝BX(base)：基址寄存器，常用于地址索引； CH&CL＝CX(count)：计数寄存器，常用于计数；常用于保存计算值,如在移位指令,循环(loop)和串处理指令中用作隐含的计数器. DH&DL＝DX(data)：数据寄存器，常用于数据传递。他们的特点是,这4个16位的寄存器可以分为高8位: AH, BH, CH, DH.以及低八位：AL,BL,CL,DL。这2组8位寄存器可以分别寻址，并单独使用。 另一组是指针寄存器和变址寄存器，包括： SP（Stack Pointer）：堆栈指针，与SS配合使用，可指向目前的堆栈位置； BP（Base Pointer）：基址指针寄存器，可用作SS的一个相对基址位置； SI（Source Index）：源变址寄存器可用来存放相对于DS段之源变址指针； DI（Destination Index）：目的变址寄存器，可用来存放相对于ES 段之目的变址指针。 指令指针IP(Instruction Pointer) 标志寄存器FR(Flag Register) OF(overflow flag) DF(direction flag) CF(carrier flag) PF(parity flag) AF(auxiliary flag) ZF(zero flag) SF(sign flag) IF(interrupt flag) TF(trap flag) 段寄存器(Segment Register) 为了运用所有的内存空间，8086设定了四个段寄存器，专门用来保存段地址： CS（Code Segment）：代码段寄存器； DS（Data Segment）：数据段寄存器； SS（Stack Segment）：堆栈段寄存器；
汇编语言标志位(CF)及一些常用指令 英文翻译： carry 进位 flag标志 NV: no overflow OV: overflow UP: up DN:down DI: disable interrupt EI: enable interrupt PL: plus NG: negative NZ: no zero ZR: zero NA: no assistant carry AC: assistant carry PO: parity odd PE: parity even 奇偶校验 NC: no carry CY: carry 汇编标志位： 标志名标志 1 标志 0 OF （溢出标志） OV NV DF (方向标志) UP DN IF （中断标志） DI EI SF （符号标志位） PL NG ZF （零标志） NZ ZR AF （辅助进位标志位） NA AC PF （奇偶标志） PO PE CF （进位标志） NC CY OF 溢出(是/否) OV OVerflow NV Not oVerflow DF 方向(减量/增量) DN DowN UP UP IF 中断(允许/关闭) EI Enable Interrupt DI Disable Interrupt SF 符号(负/正) NG NeGative PL PLus ZF 零(是/否) ZR ZeRo NZ Not Zero AF 辅助进位(是/否) AC Auxiliary Carry NA Not Auxiliary PF 奇偶(是/否) PE Parity Even PO Parity Odd CF 进位(是/否) CY CarrY NC Not Carry 英文解释： NV: no overflow OV: overflow UP: up DN:down DI: disable interrupt EI: enable interrupt PL: plus NG: negative NZ: no zero ZR: zero NA: no assistant carry AC: assistant carry PO: parity odd PE: parity even NC: no carry CY: carry
黑客技术学习路线解析！非常具有收藏价值！（六）破解逆 向分析师 先申明一下，这篇文章我是今早七点半发的，但是由于系统的原因，一直在审核，我又重新发一下，不知道能不能发出来。各位读者请见谅！很感谢各位读者的支持，初学者的学习路线基本已经讲完了，下面这个是最后一个发展方向了，而且，我估计这个也是很多游戏爱好者最喜欢的一种黑客技术了，因为这技术很强大，很费脑，但是实用性极强，病毒也与这种技术息息相关，没错，那就是——破解逆向分析师！老套路，先放图：虽然这张图被归类为辅助技术，但是我要说的是，一个厉害的黑客，他的综合素质是非常强的！知识面是非常广的！所以，天资平平又没有大毅力的人是很难成为一个厉害的黑客的！当然，入个门什么的，还是可以的。有点扯远了，我先向大家介绍一下破解逆向分析师能干什么吧！首先，我们可以在网上看到很多破解的软件，没错，这些就是他们的杰作！而我之所以说病毒和他们息息相关，那是因为免杀技术（防止病毒被杀毒软件杀掉的技术）也是他们的拿手好戏。我相信有很多的小白应该很感谢那些把软件破解掉，然后给大家免费使用的好心人吧！（这里不谈社会发展，专利正版，只谈技术，所以读者别在意啊），甚至，我相信还有不少的读者很崇拜那些拥有这些技术的人！这很
正常，因为我也很崇拜他们，只不过，我对渗透技术更加感兴趣一点，如果以后我成了一个真正的黑客，相信我也会主动学习那些破解技术的，因为那学的是一种情怀，是对前辈们无私奉献精神的一种瞻仰！好，不多扯了，下面进入主题了，那就是作为初学者，我们的学习路线应该怎么制定？先看看要看哪些方面的书吧！C语言C++语言数据结构windows编程数据库编程网络通信编程汇编语言PE文件壳的编写软件逆向反病毒技术Rootkit是不是觉得头都大了？实际上，我觉得上面的列举并不是很好，而且对小白来说不够负责，上面举得例子是我在某论坛上找到的学习方向，感觉不具体，不确定，甚至很多小白都不懂，所以，小编我又查阅大量资料，终于找到了一个比较靠谱，亲近小白的学习路线！下面换种说法，简洁明了！第一，要明确必须要学的编程语言：汇编语言，C语言，C++，前两个要做到精通的地步！（没五六年的编程经验别说自己精通）后者要会！（会就是要有一定的编程能力，当你前两个语言精通了，C++对你来说难度不大）原因：学习汇编之后，可以学反汇编技术（就是把可执行文件翻译成汇编语言或者其他高级语言，但是无法完全还原！破解的关键技术），所以汇编是基础。另外，学好汇编可以有助于对其他高级语言的理解，相当于是内功。并且，在病毒领域，外挂领域，漏洞分析……等等都可以运用到这里的基础知识。至于C，是汇编与高级语言的
第一讲 第三章 指令系统--寻址方式 回顾: 8086/8088的内部结构和寄存器，地址分段的概念，8086/8088的工作过 程。 重点和纲要：指令系统--寻址方式。有关寻址的概念；6种基本的寻址方式及 有效地址的计算。 教学方法、实施步骤 时间分配 教学手段 回 顾 5”×2 板书 计算机 投影仪 多媒体课件等 讲 授 40” ×2 提 问 3” ×2 小 结 2” ×2 讲授内容： 3.1 8086/8088寻址方式 首先，简单讲述一下指令的一般格式： 操作码 操作数 …… 操作数 计算机中的指令由操作码字段和操作数字段组成。 操作码：指计算机所要执行的操作，或称为指出操作类型，是一种助记符。 操作数：指在指令执行操作的过程中所需要的操作数。该字段除可以是操作数本身外，也可以是操作数地址或是地址的一部分，还可以是指向操作数地址的指针或其它有关操作数的信息。 寻址方式就是指令中用于说明操作数所在地址的方法，或者说是寻找操作数有效地址的方法。8086／8088的基本寻址方式有六种。 1．立即寻址 所提供的操作数直接包含在指令中。它紧跟在操作码的后面，与操作码一起放在代码段区域中。如图所示。 例如：MOV AX ，3000H 立即数可以是8位的，也可以是16位的。若
是16位的，则存储时低位在前，高位在后。 立即寻址主要用来给寄存器或存储器赋初值。 2．直接寻址 操作数地址的16位偏移量直接包含在指令中。它与操作码—起存放在代码段区域，操作数一般在数据段区域中，它的地址为数据段寄存器DS加上这16位地址偏移量。如图2-2所示。 例如： MOV AX，DS：[2000H]； 图2－2 （对DS来讲可以省略成 MOV AX，[2000H]，系统默认为数据段）这种寻址方法是以数据段的地址为基础，可在多达64KB的范围内寻找操作数。 8086/8088中允许段超越，即还允许操作数在以代码段、堆栈段或附加段为基准的区域中。此时只要在指令中指明是段超越的，则16位地址偏移量可以与CS或SS或ES相加，作为操作数的地址。 MOV AX，[2000H] ；数据段 MOV BX，ES：[3000H] ；段超越，操作数在附加段 即绝对地址＝（ES）＊16＋3000H 3．寄存器寻址 操作数包含在CPU的内部寄存器中，如寄存器AX、BX、CX、DX等。 例如：MOV DS，AX MOV AL，BH 4．寄存器间接寻址 操作数是在存储器中，但是，操作数地址的16位偏移量包含在以下四个寄存器SI、DI、BP、BX之一中。可以分成两种情况：
汇编语言常用指令 大家在做免杀或者破解软件的时候经常要用到汇编指令，本人整理出了常用的 希望对大家有帮助！ 数据传送指令 MOV：寄存器之间传送注意，源和目的不能同时是段寄存器；代码段寄存器CS不能作为目的；指令指针IP不能作为源和目的。立即数不能直接传送段寄存器。源和目的操作数类型要一致；除了串操作指令外，源和目的不能同时是存储器操作数。 XCHG交换指令：操作数可以是通用寄存器和存储单元，但不包括段寄存器，也不能同时是存储单元，还不能有立即数。 LEA 16位寄存器存储器操作数传送有效地址指令：必须是一个16位寄存器和存储器操作数。 LDS 16位寄存器存储器操作数传送存储器操作数32位地址，它的16位偏移地址送16位寄存器，16位段基值送入DS中。 LES ：同上，只是16位段基址送ES中。 堆栈操作指令 PUSH 操作数，操作数不能使用立即数， POP 操作数，操作数不能是CS和立即数 标志操作指令 LAHF：把标志寄存器低8位，符号SF，零ZF，辅助进位AF，奇偶PF，进位CF传送到AH 指定的位。不影响标志位。 SAHF：与上相反，把AH中的标志位传送回标志寄存器。 PUSHF：把标志寄存器内容压入栈顶。 POPF：把栈顶的一个字节传送到标志寄存器中。 CLC：进位位清零。 STC：进位位为1。 CMC：进位位取反。 CLD：使方向标志DF为零，在执行串操作中，使地址按递增方式变化。 STD：DF为1。 CLI：清中断允许标志IF。Cpu不相应来自外部装置的可屏蔽中断。 STI：IF为1。 加减运算指令
注意：对于此类运算只有通用寄存器和存储单元可以存放运算结果。如果参与运算的操作数有两个，最多只能有一个存储器操作数并且它们的类型必须一致。 ADD。 ADC：把进位CF中的数值加上去。 INC：加1指令 SUB。 SBB：把进位CF中数值减去。 DEC：减1指令。 NEG 操作数：取补指令，即用0减去操作数再送回操作数。 CMP：比较指令，完成操作数1减去操作数2，结果不送操作数1，但影响标志位。可根据ZF（零）是否被置1判断相等；如果两者是无符号数，可根据CF判断大小；如果两者是有符号数，要根据SF和OF判断大小。 乘除运算指令 MUL 操作数：无符号数乘法指令。操作数不能是立即数。操作数是字节与AL中的无符号数相乘，16位结果送AX中。若字节，则与AX乘，结果高16送DX，低16送AX。如乘积高半部分不为零，则CF、OF为1，否则为0。所以CF和OF表示AH或DX中含有结果的有效数。IMUL 操作数：有符号数乘法指令。基本与MUL相同。 DIV 操作数：被除数是在AX（除数8位）或者DX和AX（除数16位），操作数不能是立即数。如果除数是0，或者在8（16）位除数时商超过8（16）位，则认为是溢出，引起0号中断。IDIV：有符号除法指令，当除数为0，活着商太大，太小（字节超过127，－127字超过32767，－32767）时，引起0号中断。 符号扩展指令 CBW，CWD：把AL中的符号扩展到寄存器AH中，不影响各标志位。CWD则把AX中的符号扩展到DX，同样不影响标志位。注意：在无符号数除之前，不宜用这两条指令，一般采用XOR 清高8位或高16位。 逻辑运算指令与位移指令 注意：只能有一个存储器操作数；只有通用寄存器或存储器操作数可作为目的操作数，用于存放结果；操作数的类型必须一致。 NOT：取反，不影响标志位。 AND 操作数1 操作数2：操作结果送错作数1，标志CF（进位）、OF（溢出）清0，PF（奇偶）ZF（0标志） SF（符号）反映运算结果，AF（辅助进位）未定义。自己与自己AND值不变，她主要用于将操作数中与1相与的位保持不变，与0相与清0。（都为1时为1）OR 操作数1 操作数2：自己与自己OR值不变，CF（进位）、OF（溢出）清0，PF（奇偶）ZF（0标志）SF（符号）反映运算结果，AF（辅助进位）未定义。她使用于将若干位置1：
恶意代码及其检测技术 1.恶意代码概述 1.1定义 恶意代码也可以称为Malware，目前已经有许多定义。例如Ed Skoudis将Malware定义为运行在计算机上，使系统按照攻击者的意愿执行任务的一组指令。微软“计算机病毒防护指南”中奖术语“恶意软件”用作一个集合名词，指代故意在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马。随着网络和计算机技术的快速发展，恶意代码的传播速度也已超出人们想象，特别是人们可以直接从获得恶意代码源码或通过网络交流代码。很多编程爱好者把自己编写的恶意代码放在网上公开讨论，发布自己的研究成果，直接推动了恶意代码编写技术发展。所以目前网络上流行的恶意代码及其变种层出不穷，攻击特点多样化。 1.2类型 按照恶意代码的运行特点，可以将其分为两类：需要宿主的程序和独立运行的程序。前者实际上是程序片段，他们不能脱离某些特定的应用程序或系统环境而独立存在；而独立程序是完整的程序，操作系统能够调度和运行他们；按照恶意代码的传播特点，还可以把恶意程序分成不能自我复制和能够自我复制的两类。不能自我复制的是程序片段，当调用主程序完成特定功能时，就会激活它们；能够自我复制的可能是程序片段（如病毒），也可能是一个独立的程序（如蠕虫）。
2.分析与检测的方法 恶意代码与其检测是一个猫捉老鼠的游戏，单从检测的角度来说。反恶意代码的脚步总是落后于恶意代码的发展，是被动的.目前基于主机的恶意代码检测方法主要有反恶意代码软件、完整性校验法以及手动检测，基于网络的检测方法主要有基于神经网络”、基于模糊识别“等方法，本文主要讨论基于主机的检测。 2.1 恶意代码分析方法 2.1.1 静态分析方法 是指在不执行二进制程序的条件下进行分析，如反汇编分析，源代码分析，二进制统计分析，反编译等，属于逆向工程分析方法。 （1）静态反汇编分析，是指分析人员借助调试器来对而已代码样本进行反汇编出来的程序清单上根据汇编指令码和提示信息着手分析。 （2）静态源代码分析，在拥有二进制程序的源代码的前提下，通过分析源代码来理解程序的功能、流程、逻辑判定以及程序的企图等。 （3）反编译分析，是指经过优化的机器代码恢复到源代码形式，再对源代码进行程序执行流程的分析。 2.1.2 动态分析方法 是指恶意代码执行的情况下利用程序调试工具对恶意代码实施跟踪和观察，确定恶意代码的工作过程对静态分析结果进行验证。
PIC8位单片机汇编语言常用指令的识读（上） 各大类单片机的指令系统是没有通用性的，它是由单片机生产厂家规定的，所以用户必须遵循厂家规定的标准，才能达到应用单片机的目的。 PIC 8位单片机共有三个级别，有相对应的指令集。基本级PIC系列芯片共有指令33条，每条指令是12位字长；中级PIC系列芯片共有指令35条，每条指令是14位字长；高级PIC 系列芯片共有指令58条，每条指令是16位字长。其指令向下兼容。 在这里笔者介绍PIC 8位单片机汇编语言指令的组成及指令中符号的功能，以供初学者阅读相关书籍和资料时快速入门。 一、PIC汇编语言指令格式 PIC系列微控制器汇编语言指令与MCS－51系列单片机汇编语言一样，每条汇编语言指令由4个部分组成，其书写格式如下： 标号操作码助记符操作数1，操作数2；注释 指令格式说明如下：指令的4个部分之间由空格作隔离符，空格可以是1格或多格，以保证交叉汇编时，PC机能识别指令。 1 标号与MCS－51系列单片机功能相同，标号代表指令的符号地址。在程序汇编时，已赋以指令存储器地址的具体数值。汇编语言中采用符号地址(即标号)是便于查看、修改，尤其是便于指令转移地址的表示。标号是指令格式中的可选项，只有在被其它语句引用时才需派上标号。在无标号的情况下，指令助记符前面必须保留一个或一个以上的空格再写指令助记符。指令助记符不能占用标号的位置，否则该助记符会被汇编程序作标号误处理。 书写标号时，规定第一字符必须是字母或半角下划线“—”，它后面可以跟英文和数字字符、冒号(：)制符表等，并可任意组合。再有标号不能用操作码助记符和寄存器的代号表示。标号也可以单独占一行。 2 操作码助记符该字段是指令的必选项。该项可以是指令助记符，也可以由伪指令及宏命令组成，其作用是在交叉汇编时，“指令操作码助记符”与“操作码表”进行逐一比较，找出其相应的机器码一一代之。 3 操作数由操作数的数据值或以符号表示的数据或地址值组成。若操作数有两个，则两个操作数之间用逗号(，)分开。当操作数是常数时，常数可以是二进制、八进制、十进制或十六进制数。还可以是被定义过的标号、字符串和ASCⅡ码等。具体表示时，规定在二进制数前冠以字母“B”，例如B10011100；八进制数前冠以字母“O”，例如O257；十进制数前冠以字母“D”，例如D122；十六进制数前冠以“H”，例如H2F。在这里PIC 8位单片机默认进制是十六进制，在十六进制数之前加上Ox，如H2F可以写成Ox2F。 指令的操作数项也是可选项。 PIC系列与MCS－51系列8位单片机一样，存在寻址方法，即操作数的来源或去向问题。因PIC系列微控制器采用了精简指令集(RISC)结构体系，其寻址方式和指令都既少而又简单。其寻址方式根据操作数来源的不同，可分为立即数寻址、直接寻址、寄存器间接寻址和位寻址四种。所以PIC系列单片机指令中的操作数常常出现有关寄存器符号。有关的寻址实例，均可在本文的后面找到。 4 注释用来对程序作些说明，便于人们阅读程序。注释开始之前用分号(；)与其它部分相隔。当汇编程序检测到分号时，其后面的字符不再处理。值得注意：在用到子程序时应说明程序的入口条件、出口条件以及该程序应完成的功能和作用。 二、清零指令(共4条) 1 寄存器清零指令 实例：CLRW；寄存器W被清零 说明：该条指令很简单，其中W为PIC单片机的工作寄存器，相当于MCS－51系列单片机中的累加器A，CLR是英语Clear的缩写字母。 2 看门狗定时器清零指令。 实例：CLRWDT；看门狗定时器清零(若已赋值，同时清预分频器)
PC是一个16位的程序计数器。用于存放和指示下一条要执行的指令的地址。寻址范围达64KB。PC有自动加1功能，以实现程序的顺序执行。PC没有地址，是不可寻址的，无法用指令对它进行读写。但在执行转移、调用、返回等指令时能自动改变其内容，以改变程序的执行顺序。 参数代表的意义： 1、Rn 表示R0～R7中的一个 2、＃data 表示8位的数值 00H～FFH 3、direct 表示8位的地址 00H～FFH（指的是内部RAM或SFR的地址） 4、@Ri 表示寄存器间接寻址只能是R0或者R1 5、@DPTR 表示数据指针间接寻址 6、bit 表示位地址 7、$ 表示当前地址 常见汇编语言指令解释： 寄存器寻址 MOV A,R1将R1中的数值赋予A 直接寻址 MOV A,3AH将地址3AH中的数值赋予A 立即寻址 MOV A,#3AH将3AH数值赋予A
寄存器间址 MOV A,@R0 将 R0中地址的数值赋予A 变址寻址 MOVC A,@A+DPTR以A中的数值为地址偏移量进行查表 相对寻址 AJMP MATN跳转到行号为MATN处 位寻址 MOV C,7FH 将位地址7FH的数值赋予C MOV A,#3AH数据传输、赋值命令 PUSH direct将direct为地址的数值压入堆栈中 POP direct将direct为地址的数值弹出堆栈 XCH A,direct将direct中的数值与A进行交换 ADD A,direct将direct中的数值与 INC direct将direct中的数值加1 SUBB A,direct将A中的数值减去direct中的数值和Cy值，并保存在A中，如果想使用不带Cy减法，可以在运算前对Cy清零：CLR C DEC direct将direct中的数值减1 DA A 用于对BCD码加减法后进行10进制调整 MUL A B将A和B相乘，并把高八位放在B中，低八位放在A中 DIV A B将A和B相除，并把商放在A中，余数放在B中 ANL A,direct将A与direct中的数值进行与运算，结果保留在A 中（与运算规律：有0出0，全1出1） ORL A,direct将A与direct中的数值进行或运算，结果保留在A中（或运算规律：有1出1，全0出0） XRL A,direct将A与direct中的数值进行异或运算，结果保留在A 中（异或运算规律：全0出0，全1出0，01、10出1）
常用命令 数据传送指令 一通用数据传送指令 MOV指令为双操作数指令，两个操作数中不能全为内存操作数 格式：MOV DST，SRC 执行操作：dst = src 注：1．目的数可以是通用寄存器，存储单元和段寄存器(但不允许用CS段寄存器). 2．立即数不能直接送段寄存器 3．不允许在两个存储单元直接传送数据 4．不允许在两个段寄存器间直接传送信息 PUSH入栈指令及POP出栈指令： 堆栈操作是以“后进先出”的方式进行数据操作。 格式：PUSH SRC //Word 执行操作：(SP)<-(SP)-2 ((SP)+1,(SP))<-(SRC) 注：1.入栈的操作数除不允许用立即数外，可以为通用寄存器，段寄存器(全部)和存储器。
2.入栈时高位字节先入栈，低位字节后入栈。 格式：POP DST //Word 执行操作：(DST)<-((SP+1),(SP)) (SP)<-(SP)+2 注：1．出栈操作数除不允许用立即数和CS段寄存器外，可以为通用寄存器，段寄存器和存储器。 2．执行POP SS指令后，堆栈区在存储区的位置要改变。 3．执行POP SP 指令后，栈顶的位置要改变。 XCHG(eXCHanG)交换指令： 将两操作数值交换。 格式：XCHG OPR1,OPR2 //Byte/Word 执行的操作：(OPR1)<-->(OPR2) 注：1．必须有一个操作数是在寄存器中 2．不能与段寄存器交换数据 存储器与存储器之间不能交换数据。 二累加器专用传送指令 IN输入指令 长格式为：IN AL,PORT(字节) IN AX,PORT(字) 执行的操作：(AL)<-(PORT)(字节)
——啊冲 第二节常用汇编指令 说明：汇编语言也是一门语言，其指令相当的多，非常丰富，在此我只介绍几个常用的、简单的汇编指令，让大家与我一同入门。其实在超多的计算机知识领域里我和大家一样只是个学生而已。所以，我所要求的同学级别(本视频所针对的对象)是：有一点编程经验，对反汇编感兴趣、零基础的朋友。 堆栈操作指令PUSH和POP ?格式: PUSH XXXX ?POP XXXX ?功能: 实现压入操作的指令是PUSH指令;实现弹出操作的指令是POP指令. ? 加减法操作add和sub指令 ?格式: ADD XXXX1,XXXX2 ?功能: 两数相加 ?格式: SUB XXXX1,XXXXX2 ?功能: 两个操作数的相减,即从OPRD1中减去OPRD2,其结果放在OPDR1中.
调用和返回函数CALL和RET(RETN) ?过程调用指令CALL ?格式: CALL XXXX ?功能: 过程调用指令 ?返回指令RET ?格式: RET ?功能: 当调用的过程结束后实现从过程返回至原调用程序的下一条指令,本指令不影响标志位. ? 数据传送MOV 格式: MOV XXXX1,XXXX2 ?功能: 本指令将一个源操作数送到目的操作数中,即XXXX1<--XXXX2. ? 逻辑异或运算XOR ?格式: XOR OPRD1,OPRD2 ?功能: 实现两个操作数按位‘异或’运算,结果送至目的操作数中. ? 逻辑或指令OR ?格式: OR OPRD1,OPRD2 ?功能: OR指令完成对两个操作数按位的‘或’运算,结果送至目的操作数中,本指令可以进行字节或字的‘或’运算.
有效地址传送指令LEA ?格式: LEA OPRD1,OPRD2 ?功能: 将源操作数给出的有效地址传送到指定的的寄存器中. ?实际上，有时候lea用来做mov同样的事情，比如赋值: ?Lea edi,[ebp-0cch] ? 字符串存储指令STOS ?格式: STOS OPRD ?功能: 把AL(字节)或AX(字)中的数据存储到DI为目的串地址指针所寻址的存储器单元中去.指针DI将根据DF的值进行自动调整. ?说明：在VC的DEBUG版里经常用来为局部变量空间写上cccccccc指令 ? 比效指令CMP(CoMPare) ?格式: CMP OPRD1,OPRD2 ?功能: 对两数进行相减,进行比较. ?说明：经常与跳转指令相配合来形成循环或跳出操作 ? 跳转指令JXX ?JMP：无条件转移指令
内容目录 计算机寄存器分类简介 计算机寄存器常用指令 一、常用指令 二、算术运算指令 三、逻辑运算指令 四、串指令 五、程序跳转指令 ------------------------------------------ 计算机寄存器分类简介: 32位CPU所含有的寄存器有： 4个数据寄存器(EAX、EBX、ECX和EDX) 2个变址和指针寄存器(ESI和EDI) 2个指针寄存器(ESP和EBP) 6个段寄存器(ES、CS、SS、DS、FS和GS) 1个指令指针寄存器(EIP) 1个标志寄存器(EFlags) 1、数据寄存器 数据寄存器主要用来保存操作数和运算结果等信息，从而节省读取操作数所需占用总线和访问存储器的时间。 32位CPU有4个32位的通用寄存器EAX、EBX、ECX和EDX。 对低16位数据的存取，不会影响高16位的数据。 这些低16位寄存器分别命名为：AX、BX、CX和DX，它和先前的CPU中的寄存器相一致。 4个16位寄存器又可分割成8个独立的8位寄存器(AX：AH-AL、BX：BH-BL、CX：CH-CL、DX：DH-DL)，每个寄存器都有自己的名称，可独立存取。 程序员可利用数据寄存器的这种“可分可合”的特性，灵活地处理字/字节的信息。 寄存器EAX通常称为累加器(Accumulator)，用累加器进行的操作可能需要更少时间。可用于乘、除、输入/输出等操作，使用频率很高； 寄存器EBX称为基地址寄存器(Base Register)。它可作为存储器指针来使用； 寄存器ECX称为计数寄存器(Count Register)。 在循环和字符串操作时，要用它来控制循环次数；在位操作中，当移多位时，要用CL来指明移位的位数；寄存器EDX称为数据寄存器(Data Register)。在进行乘、除运算时，它可作为默认的操作数参与运算，也可用于存放I/O的端口地址。 在16位CPU中，AX、BX、CX和DX不能作为基址和变址寄存器来存放存储单元的地址， 在32位CPU中，其32位寄存器EAX、EBX、ECX和EDX不仅可传送数据、暂存数据保存算术逻辑运算结果， 而且也可作为指针寄存器，所以，这些32位寄存器更具有通用性。 2、变址寄存器 32位CPU有2个32位通用寄存器ESI和EDI。 其低16位对应先前CPU中的SI和DI，对低16位数据的存取，不影响高16位的数据。 寄存器ESI、EDI、SI和DI称为变址寄存器(Index Register)，它们主要用于存放存储单元在段内的偏移量，用它们可实现多种存储器操作数的寻址方式，为以不同的地址形式访问存储单元提供方便。 变址寄存器不可分割成8位寄存器。作为通用寄存器，也可存储算术逻辑运算的操作数和运算结果。 它们可作一般的存储器指针使用。在字符串操作指令的执行过程中，对它们有特定的要求，而且还具有特殊的功能。 3、指针寄存器
?PTR?操作符：强制类型转换 MOV BYTE PTR [BX], 20H ；1B立即数20H送DS:[BX] MOV WORD PTR [BX], 20H ；立即数20H送DS:[BX]， ；00H送DS:[BX+1] 2．LEA(Load Effective Address) 设:变量X的偏移地址为1020H , (BP)=0020H 执行指令后： LEA DX, X LEA BX, [BP] ; 执行后, (DX) = 1020H ; 执行后, (BX) = 0020H 3.地址传送指令LDS,LES LDS REG16, MEM ; 从存储器取出4B，送入REG16和DS LES REG16, MEM ; 从存储器取出4B，送入REG16和ES 4.符号扩展指令CBW,CWD CBW ；将AL寄存器内容符号位扩展到AH CWD ；将AX寄存器内容符号位扩展到DX 设:（AX）= 8060H,(DX)=1234H 执行下列指令后 CBW ；（AX）= 0060H 设:（AX）= 8060H,(DX)=1234H 执行下列指令后 CWD ；（DX）= 0FFFFH，（AX）= 8060H 5.交换指令XCHG 例如，（AX）= 5678H 执行下面指令后 XCHG AH, AL ；（AX）= 7856H 6.换码指令XLAT XLAT ；AL←DS: [BX+AL] 表格的首地址事先存放在内存逻辑地址DS: BX中， AL的内容是相对于表格的位移量， 把对应内存的内容取出放在AL寄存器。 7.逻辑运算符 SHR（右移） SHL（左移） AND（与） OR（或） XOR（异或）
常用汇编指令:MOV指令为双操作数指令,两个操作数中必须有一个是寄存器. MOV DST , SRC // Byte / Word 执行操作: dst = src 1.目的数可以是通用寄存器, 存储单元和段寄存器(但不允许用CS段寄存器). 2.立即数不能直接送段寄存器 3.不允许在两个存储单元直接传送数据 4.不允许在两个段寄存器间直接传送信息 PUSH入栈指令及POP出栈指令: 堆栈操作是以"后进先出"的方式进行数据操作. PUSH SRC //Word 入栈的操作数除不允许用立即数外，可以为通用寄存器，段寄存器(全部)和存储器. 入栈时高位字节先入栈，低位字节后入栈. POP DST //Word 出栈操作数除不允许用立即数和CS段寄存器外, 可以为通用寄存器,段寄存器和存储器. 执行POP SS指令后,堆栈区在存储区的位置要改变. 执行POP SP 指令后,栈顶的位置要改变. XCHG(eXCHanG)交换指令: 将两操作数值交换. XCHG OPR1, OPR2 //Byte/Word 执行操作: Tmp=OPR1 OPR1=OPR2 OPR2=Tmp 1.必须有一个操作数是在寄存器中 2.不能与段寄存器交换数据 3.存储器与存储器之间不能交换数据. XLAT(TRANSLATE)换码指令: 把一种代码转换为另一种代码. XLAT (OPR 可选) //Byte 执行操作: AL=(BX+AL) 指令执行时只使用预先已存入BX中的表格首地址,执行后,AL中内容则是所要转换的代码. LEA(Load Effective Address) 有效地址传送寄存器指令 LEA REG , SRC //指令把源操作数SRC的有效地址送到指定的寄存器中. 执行操作: REG = EAsrc 注: SRC只能是各种寻址方式的存储器操作数,REG只能是16位寄存器 MOV BX , OFFSET OPER_ONE 等价于LEA BX , OPER_ONE MOV SP , [BX] //将BX间接寻址的相继的二个存储单元的内容送入SP中 LEA SP , [BX] //将BX的内容作为存储器有效地址送入SP中 LDS(Load DS with pointer)指针送寄存器和DS指令 LDS REG , SRC //常指定SI寄存器。 执行操作: REG=(SRC), DS=(SRC+2) //将SRC指出的前二个存储单元的内容送入指令中指定的寄存器中，后二个存储单元送入DS段寄存器中。 LES (Load ES with pointer) 指针送寄存器和ES指令 LES REG , SRC //常指定DI寄存器 执行操作: REG=(SRC) , ES=(SRC+2) //与LDS大致相同,不同之处是将ES代替DS而已. LAHF( Load AH with Flags ) 标志位送AH指令
实验一熟悉汇编环境，掌握DEBUG各类常用指令 一、实验目的： 1、掌握8086/8088基本指令的使用方法和功能。 2、初步了解汇编语言程序设计的基本结构和利用DEBUG调试 程序的方法。 3、进一步熟悉汇编语言的上机过程。 二、上机实验指导： DEBUG是一个DOS实用程序，是供程序员使用的程序调试工具，可以用它检查内存中任何地方的字节以及修改任何地方的字节。它可以用于指令执行某个程序以验证程序运行的正确性，也可以追踪执行过程、比较一个指令执行前后的值以及比较与移动内存中数据的范围，读写文件与磁盘扇区。 常用命令有： a (Assemble) 逐行汇编 a [address] c (Compare) 比较两内存块 c range address d (Dump) 内存16进制显示 d [address]或 d [range] e (Enter) 修改内存字节 e address [list] f (fin) 预置一段内存 f range list g (Go) 执行程序 g [=address][address...] h (Hexavithmetic) 制算术运算 h value value i (Input) 从指定端口地址输入 i pataddress l (Load) 读盘 l [address [driver seetor]] m (Move) 内存块传送 m range address n (Name) 置文件名 n filespec [filespec...] o (Output) 从指定端口地址输出 o portadress byte q (Quit) 结束 q r (Register) 显示和修改寄存器 r [register name] s (Search) 查找字节串 s range list t (Trace) 跟踪执行 t [=address] [value] u (Unassemble) 反汇编 u [address ]或range w (Write) 存盘 w [address[driver sector secnum]] ? 联机帮助 ? 备注：d (Dump) 内存16进制显示时: DEBUG显示的单元内容，左边用十六进制表示每个字节，右边用ASCII字符表示每个字节，·表示不可显示的字符。这里没有指定段地址，D命令自动显示DS段的内容。如果只指定首地址，则显示从首地址开始的80H个字节的内容。如果完全没有指定地址，则显示上一个D 命令显示的最后一个单元后的内容。 调试程序Debug的主要命令如下：
汇编语言实战经验 “ 哎哟，哥们儿，还捣鼓汇编呢？那东西没用，兄弟用VB"钓"一个API就够你忙活个十天半月的，还不一定搞出来。”此君之言倒也不虚，那吾等还有无必要研他一究呢？（废话，当然有啦！要不然你写这篇文章干嘛。）别急，别急，让我把这个中原委慢慢道来：一、所有电脑语言写出的程序运行时在内存中都以机器码方式存储，机器码可以被比较准确的翻译成汇编语言，这是因为汇编语言兼容性最好，故几乎所有跟踪、调试工具（包括WIN95/98下）都是以汇编示人的，如果阁下对CRACK颇感兴趣……；二、汇编直接与硬件打交道，如果你想搞通程序在执行时在电脑中的来龙去脉，也就是搞清电脑每个组成部分究竟在干什么、究竟怎么干？一个真正的硬件发烧友，不懂这些可不行。三、如今玩DOS的多是“高手”，如能像吾一样混入（我不是高手）“高手”内部，不仅可以从“高手”朋友那儿套些黑客级“机密”，还可以自诩“高手”尽情享受强烈的虚荣感--#$%& “醒醒!” 对初学者而言，汇编的许多命令太复杂，往往学习很长时间也写不出一个漂漂亮亮的程序，以致妨碍了我们学习汇编的兴趣，不少人就此放弃。所以我个人看法学汇编，不一定要写程序，写程序确实不是汇编的强项，大家不妨玩玩DEBUG，有时CRACK出一个小软件比完成一个程序更有成就感（就像学电脑先玩游戏一样）。某些高深的指令事实上只对有经验的汇编程序员有用，对我们而言，太过高深了。为了使学习汇编语言有个好的开始，你必须要先排除那些华丽复杂的命令，将注意力集中在最重要的几个指令上（CMP LOOP MOV JNZ……）。但是想在啰里吧嗦的教科书中完成上述目标，谈何容易，所以本人整理了这篇超浓缩（用WINZIP、WINRAR…依次压迫，嘿嘿！）教程。大言不惭的说，看通本文，你完全可以“不经意”间在前辈或是后生卖弄一下DEBUG，很有成就感的，试试看！那么――这个接下来呢？―― Here we go！（阅读时看不懂不要紧，下文必有分解） 因为汇编是通过CPU和内存跟硬件对话的，所以我们不得不先了解一下CPU和内存：（关于数的进制问题在此不提） ＣＰＵ是可以执行电脑所有算术╱逻辑运算与基本 I/O 控制功能的一块芯片。一种汇编语言只能用于特定的CPU。也就是说，不同的CPU其汇编语言的指令语法亦不相同。个人电脑由1981年推出至今，其CPU发展过程为：8086→80286→80386→80486→PENTIUM →……，还有AMD、CYRIX等旁支。后面兼容前面CPU的功能，只不过多了些指令（如多能奔腾的MMX指令集）、增大了寄存器（如386的32位EAX）、增多了寄存器（如486的FS）。为确保汇编程序可以适用于各种机型，所以推荐使用8086汇编语言，其兼容性最佳。本文所提均为8086汇编语言。寄存器（Register）是CPU内部的元件，所以在寄存器之间的数据传送非常快。用途：1.可将寄存器内的数据执行算术及逻辑运算。2.存于寄存器内的地址可用来指向内存的某个位置，即寻址。3.可以用来读写数据到电脑的周边设备。8086 有8个8位数据寄存器，这些8位寄存器可分别组成16位寄存器：ＡＨ&ＡＬ＝ＡＸ：累加寄存器，常用于运算；ＢＨ&ＢＬ＝ＢＸ：基址寄存器，常用于地址索引；ＣＨ&ＣＬ＝ＣＸ：计数寄存器，常用于计数；ＤＨ&ＤＬ＝ＤＸ：数据寄存器，常用于数据传递。为了运用所有的内存空间，8086设定了四个段寄存器，专门用来保存段地址：ＣＳ（Code Segment）：代码段寄存器；ＤＳ（Data Segment）：数据段寄存器；ＳＳ（Stack Segment）：堆栈段寄存器；ＥＳ（Extra Segment）：附加段寄存器。当一个程序要执行时，就要决定程序代码、数据和堆栈各要用到内存的哪些位置，通过设定段寄存器 CS，DS，SS 来指向这些起始位置。通常是将DS固定，而根据需要修改CS。所以，程序可以在可寻址空间小于64K的情