Potrzebujesz pomocy w zrozumieniu instrukcji E8 asm call x86

Question

Potrzebuję pomocy, aby zrozumieć następującą instrukcję montażu. Wydaje mi się, że dzwonię pod adres w UnNknownValue + = 20994A?

E8 32F6FFFF - call std::_Init_locks::operator=+20994A 

Answer 1

Cokolwiek używasz do uzyskania demontaż stara się być pomocny, dając cel rozmowy jako przesunięcie od jakiegoś symbolu, który wie o - ale biorąc pod uwagę, że przesunięcie jest tak duża, prawdopodobnie jest zdezorientowany.

Rzeczywisty cel zaproszenia można obliczyć w następujący sposób:

• E8 jest call ze względnym przesunięciem.
• W 32-bitowym segmencie kodu odsunięcie jest określane jako podpisana wartość 32-bitowa.
• Ta wartość jest uporządkowana w bajtach z małą liczbą bajtów.
• Przesunięcie jest mierzone od adresu poniższej instrukcji.

np.

<some address>  E8 32 F6 FF FF   call <somewhere> 
<some address>+5  (next instruction) 

• Przesunięcie jest 0xFFFFF632.
• Zinterpretowana jako podpisana wartość 32-bitowa, jest to -0x9CE.
• Instrukcja call ma numer <some address> i ma długość 5 bajtów; następna instrukcja to <some address> + 5.
• Adres docelowy połączenia to <some address> + 5 - 0x9CE.

Answer 2

Jeśli analizujesz plik PE za pomocą dezasemblera, dezasembler mógł podać nieprawidłowy kod. Większość programów piszących o złośliwym oprogramowaniu wykorzystuje technologię E-8 jako technikę zapobiegającą dezasemblacji. Możesz sprawdzić, czy kody powyżej E8 są instrukcjami skoku, gdzie lokalizacja skoku jest po E8.