逆向，是安全領域必備的技能之一。但凡有編程經驗的人都應該熟知高級語言源代碼從編譯鏈接到執行的過程，逆向就是把這個過程反了過來，反病毒人員捕獲到樣本，需要對其逆向才能分析出該樣本的行為，才能開發出有效的專殺工具。

　　在開始真正接觸逆向之前，首先要具備一些匯編的基礎知識，之所以說匯編的基礎知識，是說搞逆向沒有必要精通匯編，因為并不是要求我們成為匯編程序員；學習匯編的道路晦澀難懂，最好的方式是在學習逆向破解的過程中去根據實際需要去學習，那么本文主要介紹的是逆向基礎的寄存器和內存方面的信息，首先介紹的是逆向主要是做什么的，其次對編程和機器架構做了個簡介，最后詳細的闡述了逆向基礎的寄存器和內存。

　　逆向主要是做什么的

　　1、逆向分析已經編譯好的軟件，然后使用高級語言重現，可以模仿已有的比較好的軟件，供自己創業使用。

　　2、用于分析病毒，提取出特征碼，便于開發殺毒程序。

　　3、高級代碼審計，在匯編層面調試程序，寫出來的代碼更加安全。

　　4、外掛，游戲的外掛就是這樣產生的，具體就不詳細介紹的，畢竟不是光彩的事。

　　5、分析嵌入式設備中的漏洞。

　　6、開發嵌入式設備的軟件。

　　匯編語言的位置

　　為什么要學習匯編語言呢？就像學習美國文化要先懂英語一樣，如果不了解計算機的語言，又何談懂計算機呢？我們知道，計算機執行的語言，或者稱之為命令序列或數據，都是以“1和0”的二進制語言，物理上則表現為電信號的高低電平。雖然我們現在有C/C++、Java、Python等一系列強大的高級語言，但是其真正落實到計算機的執行時還是需要編譯或解釋成計算機懂的機器語言。最早的時候計算機編程就是在紙帶上打孔表示1或0，以此作為編程指令，不僅難于操作，而且很難查錯，記憶也很困難。于是人們發明了機器語言的“人性化”表示：匯編語言（Assembly language），每條匯編指令都對應著一條機器二進制串，但是卻更加容易理解和記憶：

　　雖然我們現在有許多的高級語言可以用來編程，但是如果想真的理解代碼執行的實際過程，還是需要我們去懂些匯編語言，從本質上理解機器的行為。因此當今IT的各位童鞋們學習匯編語言還是十分重要的，逆向就更不用說了。

　　機器架構

　　計算機的核心是CPU，負責各種運算，其中又包括運算器和寄存器，寄存器中也用來存儲數據，但是一般較小，讀寫速度快，是運算器直接操作的對象；CPU之外有存儲器，存儲器一般指內存，分為可讀寫的RAM和只可讀的ROM；其余各種外設比如顯卡、網卡等都通過主板上的總線與CPU相連，CPU通過總線同存儲器以及各種外設中的芯片（進而同外設中的存儲器）進行數據通信。

　　存儲器按字節大小分為存儲單元，例如一個字節是一個存儲單元。CPU訪問存儲器時必須完成三件任務：1. 存儲單元的地址（地址信息）；2. 器件的選擇，讀或寫的命令（控制信息）；3. 讀或寫的數據（數據信息）；因此，CPU同各種存儲器之間自然而然存在三種總線：地址總線、控制總線與數據總線。

　　控制總線決定了命令的種類，數據總線決定了一次處理的數據最大位數，8位數據總線處理16位數據時要分兩次進行，而16位數據總線一次就能解決問題。地址總線則決定了CPU的尋址能力，即內存的大小，比如8位的地址總線最大只有256個單元，即256字節，而32位的地址總線最多有2的32次冪bit，即4GB，這也是x86最多支持4G內存的原因。

　　既然說到了4G內存的由來，那么就可以趁熱打鐵說說內存地址空間了，CPU認識的每個存儲單元默認為1字節，因此可以定位的所有內存單元最大就是2的N次冪，N為地址總線長度，因此這個內存地址也就構成了計算機的內存地址空間，即所有可讀寫的存儲器單元必須在這其中，否則就無法為CPU所定位檢索。一般的架構是這樣的：

　　這里0x9ffff是655539，0xbffff是786431，0xfffff是1048575，這樣認識的會更清楚些（感謝Python的計算機功能，果然方便）。主存儲器地址空間即內存，如果直接操作這個地址空間內的數據，效果就是直接讀寫內存數據；顯存地址空間指的的是顯存中的RAM部分。

　　逆向基礎之寄存器和內存

　　CPU中的主要結構是運算器、控制器與寄存器，這些器件通過CPU的內部總線相連，其中運算器負責信息處理，寄存器負責信息存儲，控制器控制各種器件進行工作，內部總線連接各種器件，在它們之間進行數據的傳送。對于匯編程序員來說，主要部件是寄存器，因為只有寄存器是我們可以編程直接操作的。不同的CPU架構不同，8086CPU共有14個寄存器，分別是AX、BX、CX、DX、SI、DI、SP、BP、IP、CS、SS、DS、ES、PSW，今天我們先來學習基礎的通用寄存器，其余的寄存器在用到時會給予說明。

　　一、通用寄存器

　　AX、BX、CX和DX是四個通用寄存器，通常用來存放一般性的數據，后面的分析都在8086CPU中進行。每個通用寄存器是16位，即一次可以處理一個字（2個字節）的數據，但是為了與8086CPU之前的CPU相容，也支持一個字節的寄存器，即AH與AL，類似的還有BH和BL等，CPU操作時會降AH和AL當作獨立的寄存器，運算進位時會直接丟棄，因為CPU認為只有一個8位的寄存器而已：

　　二、物理地址

　　CPU訪問內存需要知曉存儲單元的地址，由于8086CPU地址總線為20位，但是寄存器卻只有16位，即一次處理的地址最多只有2的16次冪，遠小于2的20次冪。為了彌補這個問題，8086CPU采用了一種特殊的方式通過16位的寄存器來構造20位的訪問地址，簡單來說，即：段地址*16+偏移地址。從計算的位數上來說，段地址和偏移地址存儲在CPU寄存器中，都是16位的；段地址*16，即整體在右邊添加4個二進制位，成為了20位；20位與16位相加，得到了20位的實際內存地址。這里雖然是8086CPU中的方法，但是其實確實現在所有CPU中的實際尋址算法，即一個基地址加上一個偏移量得到一個實際地址。由此我們可以得到段的概念，內存本身不分段，但是由于CPU的特殊尋址方式，我們可以將內存看作最大64KB的一個個段（16位的最大值正好是64KB），因此我們可以在匯編中人為的指定段的起始和結束。當然，這里的段地址和偏移量實際上存儲在CPU的寄存器中，比如獲取指令的CS:IP，其中CS為代碼段寄存器，其中存儲代碼段的基地址，IP寄存器則存儲著當前要執行的指令的指針，即一個偏移量，因此CS:IP指定了接下來CPU要執行的指令的位置。這里需要說明的是，內存中的數據對于CPU來說都是二進制位，能夠區分數據和指令的唯一標準就是指令曾經或者正在被CS:IP指定；每執行完一條指令，IP會累加上條指令的長度，從而指向下調指令。

　　我們是否可以修改控制CS:IP的值呢？答案是肯定的，只不過我們不能使用mov等傳送指令，而應當使用jmp這類轉移指令，基本的用法是：

　　-1. 修改CS:IP： jmp 2AE3:3 執行后：CS=2AE3H， IP=0003H；

　　-2. 僅修改IP：jmp ax（ie. move ip， ax）即用寄存器中的值修改IP；

　　三、內存訪問

　　CPU訪問內存除了獲取指令，還要獲取數據，那么數據部分如何定位的呢？同指令的CS:IP一樣，8086CPU使用DS：［。。。］來獲取內存數據地址，其中段寄存器存儲內存數據段的基地址，而［。。。］表示一個內存偏移量指向的內存單元，如［0］表示偏移量為0的內存單元，這里使用時要注意，8086CPU不支持直接對DS傳送值，因此mov ds， 1000H是非法的，正確地是通過寄存器來實現，即：mov ax， 1000H; mov ds， ax;

　　這部分我們要學習基本的匯編指令，如mov、sub、add等，都可以操作寄存器，操作完之后將數據放入第一個參數表示的寄存器中。CPU中的內存數據一種特殊的結果就是棧，即只能從一端讀寫數據的結構，其基本指令是push ax；將寄存器ax的值入棧；和pop ax；從棧中取出棧頂元素放入寄存器ax中；下面是mov\add\sub命令的一個簡單示例：

　　然后我們來看看PUSH命令的執行過程：

　　然后是POP命令：

　　可以看出，棧的操作關鍵是棧頂位置的確定，因此CPU專門使用SS:SP來獲取當前內存中棧頂的位置。值得一提的是，CPU本身并沒有對棧的大小進行檢查，因此實際中會出現棧頂越界的問題（上限超出-PUSH；下限超出-POP），這也就要求我們必須人為進行檢查，否則就會出現程序的漏洞。