前缀指令分组

上文中我们了解到硬编码的结构，在结构图中第一部分为前缀指令，前缀指令下面有一个描述是“最多有四个前缀，每个前缀只能有1个字节”（并且途中表示前缀指令是可选的，所以前缀指令最少占0字节，最多占4字节），这也就表示这前缀指令是有分组的，也就是四组，在前缀指令中每组只能出现一个，分组如下所示：

• LOCK和REPEAT前缀指令：

  1. LOCK(硬编码：F0)：LOCK是用来锁地址总线，例如01002891这个地址开头是LOCK指令，当前地址在多核情况下，只能有一个核CPU去读这个地址，其他核CPU是可以不读取的；

  2. REPNE/REPNZ(硬编码：F2)：REP*就是我们之前汇编所学过的重复指令，在这里的NE或者NZ表示根据EFLAG标志寄存器ZF位为0的时候执行；

  3. REP/REPZ(硬编码：F3)；重复指令，在这里Z表示根据EFLAG标志寄存器ZF位为1的时候执行。

• 段前缀指令

  • 这里的段实际上表示着段寄存器，如下英文字母都表示是寄存器：

    1. CS(硬编码：2E)

    2. SS(硬编码：36)

    3. DS(硬编码：3E)

    4. ES(硬编码：26)

    5. FS(硬编码：64)

    6. GS(硬编码：65)

• • 如下图所示为DTDebug中的段寄存器位置：

1. • 默认情况下你要使用段寄存器的地址不加段前缀指令时都为DS段寄存器的地址：

1. • 如果你想使用其他段寄存器就可以在这段硬编码之前加入对应段前缀指令（在DTDebug中选中需要修改的然后按快捷键Ctrl+E进行修改）：

• 操作数宽度前缀指令，硬编码：66，其是用来改变操作数的宽度，这种改变是双向的，例如你当前操作数的宽度是32位的，当你在硬编码之前加上66，则操作数的宽度变成16位，反之如果你当前操作数的宽度是16位的，加上之后就会变成32位。

  • 例如在如下的程序中有一个硬编码55，对应的汇编就是PUSH EBP，这个EBP的宽度是32位的，这里的宽度之所以是32位是因为当前CPU的模式是32位的，想要知道当前CPU模式就需要涉及段寄存器的知识，这里我们简单了解下（后续课程深入了解），在段寄存器CS中有一个属性位称之为DB位，当DB位为1的时候当前CPU处于32位模式，为0的时候就表示当前CPU处于16位模式，所以在这里是32位的模式操作数也就是32为宽度。

• • 那如果你在32位的模式下去使用16位的寄存器，就可以在硬编码之前加上66:

• 地址宽度前缀指令，硬编码：67，其用来改变地址宽度，你可以与操作数宽度前缀指令一样去理解（双向改变），例如在32位模式下寻址默认是32位的地址宽度，但是当你在硬编码之前加上67之后，寻址就按照16位的地址宽度进行了：

注意：前缀指令使用的时候是没有顺序的。

什么是定长、变长指令

如下图所示50、52之类的硬编码实际上就是定长指令，但并不表示定长指令就只有一个字节；同样，如00D4、0034C3之类的硬编码就是变长指令。

简而言之，定长指令可以直接通过Opcode确定硬编码长度，变长指令就无法通过Opcode确定硬编码长度。

如何区分指令是定长或变长

如何区分指令是定长或变长，这需要去根据官方的文档来看：

如下图所示展开到「A.3 ONE, TWO, AND THREE-BYTE OPCODE MAPS」，向下拉就可以看到一张表，这张表是1个字节的Opcode的对应表，但实际上其他字节的Opcode就是通过这张表进行扩展的，所以这张表就是主表，也是所有x86硬编码中最重要的一张表（这张图中的表是不完整的，向下拉还有一张表，两张表拼在一块才是完整的）：

通过这张表，我们可以直接看到之前举例的定长指令50就正是对应着PUSH EAX，举一反三，51就是PUSH ECX...，图中的rAX表示着这里可以是64位的RAX（64位模式下才有）、32位的EAX、16位的AX，而eAX则表示这里可以是32位的EAX、16位的AX（默认取决于你的CPU运行模式）：

但是我们之前举例的变长指令00却让有点让人摸不着头脑：

这里我们知道对应的汇编代码是ADD，但是表格中的Eb,Gb却不清楚是什么；实际上这是Intel定义的一种Zz表示法，第一个字母为大写，第二个字母为小写。

在文档的「A.2.1 Codes for Addressing Method」、「A.2.2 Codes for Operand Type」中有解释每个字母的含义，

结合内容，再根据之前知道的Opcode决定有没有ModR/M，返过来一推，Opcode后面有ModR/M则表示这是一个变长指令，没有则是一个定长指令，也就是说操作数只要存在Ex或Gx的就为定长指令，没有的则为定长指令。

修改ERX

标题中的ERX就表示EAX、ECX、EDX等等32位的寄存器。

修改EIP

我们在学习会变的时候都知道无法通过MOV、ADD之类的指令去修改EIP，所以要修改EIP需要借助JCC、CALL、JMP之类的指令进行，接下来我们学习的硬编码就跟这些指令有关的。

ModR/M

当指令中出现内存操作对象的时候，就需要在操作码后面附加一个字节来进行补充说明，这个字节被称为ModR/M，其只有一个字节宽度，但如果你看PDF官方文档中那个表的话就会发现其有两个参数，这也正是它复杂的地方。

如下所示就几个经典的变长指令：

指令中参数的释义如下所示：

Reg/Opcode

之前我们了解到ModR/M结构可以拆分为三部分，其中Reg/Opcode的描述了G的意义（通用寄存器），但其并不仅仅用来表示寄存器，有时候也可以用来表示Opcode。

在官方文档的Table A-2中，有0x80、0x81、0x82、0x83这几个编码没有给出具体的指令，我们可以看见在原来指令的位置变成了Immediate Grp 1(1A)：

首先这个1A我们可以查文档的Table A-1中有描述：

其表示在ModR/M字节的3、4、5位可以作为Opcode的拓宽，也就可以认为其不用来表示通用寄存器了。

而当你看见Immediate Grp的时候就需要带入ModR/M字节的3、4、5位去看Table A-6这张表的内容，才能知道具体的指令是什么：

SIB

根据之前的了解我们可以知道ModR/M字段是用来进行内存寻址的，可当地址形如DS:[EAX + ECX*2 + 12345678]时，仅仅靠ModR/M字段，是描述不出来的，这时就在ModR/M后面增加一个SIB字节，其与ModR/M字段共同描述。

当你手动解析某一个指令的时候发现出现如下这三种情况，有“[--]”的存在就表示ModR/M字段无法描述出来这段地址，你就需要SIB字节来填充这些“[--]”，也就表示在ModR/M字段之后一定存在SIB。

SIB字节的8个位被分成了三部分：

在例子 DS:[EAX + ECX*2 + 12345678] 中，Scale描述2的1次方，Index描述ECX, Base描述EAX，而12345678由ModR/M字段决定，所以SIB字段的描述方式为：

而你要想查询三部分每个对应着什么内容就要去查看Table 2-3：