x86体系结构（WinDbg学习笔记）

寄存器

eax	Accumulator	累加器
ebx	Base register	基寄存器
ecx	Counter register	计数器寄存器
edx	Data register - can be used for I/O port access and arithmetic functions	数据寄存器-可用于I/O端口访问和算术函数
esi	Source index register	源索引寄存器
edi	Destination index register	目标索引寄存器
ebp	Base pointer register	基指针寄存器
esp	Stack pointer	堆栈指针

所有的整数寄存器均为32位。但是，其中这么多都有16位或8位子寄存器

寄存器	子寄存器	位置说明
eax	ax	低16位
	ah	高16位
	al	低8位
ebx	bx	低16位
	bh	高16位
	bl	低8位
ecx	cx	低16位
	ch	高16位
	cl	低8位
edx	dx	低16位
	dh	高16位
	dl	低8位
esi	si	低16位
edi	di	低16位
ebp	bp	低16位
esp	sp	低16位

注意：在WinDbg使用”?“(Evaluate Expression)查看子寄存器时，子寄存器前要加“@”符号，如? @ax ，而不是 ? ax。但用“r”(Registers)命令时，不需要“@”符号

eip	Instruction pointer	指令指针，正在执行的指令的地址
flags	flags	标志位

调用约定

x86体系结构具有多个不同的调用约定。但都遵循相同的寄存器保留和函数返回规则：

• 函数必须保留所有寄存器，但eax、ecx和edx除外（可在函数调用中更改），esp（必须根据调用约定进行更新）
• 如果结果为32位或更小，则eax寄存器为返回值。如果结果为64位，则结果存储在edx:eax中。

x86体系结构上使用的调用约定：

• Win32（__stdcall)
  函数参数在堆栈上传递，从右向左推送，被调用方清理堆栈。
• 本机C++方法调用（也称为thiscall）
  函数参数在堆栈上传递，从右向左推送，"this"指针在ecx寄存器中传递，被调用方清理堆栈。
• COM（适用于c++的__stdcall)
• __fastcall
  前两个DWORD或较小的参数在ecx和edx寄存器中传递，其余参数在堆栈上传，从右向左推送。被调用方清理堆栈。
• __cdecl
  函数参数在堆栈上传递，从右向左推送，被调用方清理堆栈。__cdecl调用约定用于具有可变长度参数的所有函数。

x86标志位

(图片引用自：https://blog.csdn.net/weixin_46013401/article/details/111823010)

标志 代码	标志名称	值	状态与说明	其它
OF	Overflow Flag 溢出标志	0 1	nv-No overflow(无溢出) ov-Overflow(溢出)	有符号数
DF	Direction Flag 方向标志	0 1	up-Direction up(递增,低往高） dn-Direction down(递减,高往低)	仅仅用于串处理指令中, 控制SI、DI的改变方向 CLD指令：将DF置为0 STD指令：将DF置为1
IF	Interrupt Flag 中断标志	0 1	di-Interrupts disabled(禁用中断) ei-Interrupts-enabled(启用中断)	STI指令：将IF设置为1 CLI指令：将IF设置为0
SF	Sign Flag 符号标志	0 1	pl-Positive(or zero)正或零 ng-Negative(负数)	结果为负数，则SF=1 结果为非负，则SF=0
ZF	Zero Flag 零标志	0 1	nz-Nonzero(非零) zr-Zero(零)	结果为零，则ZF=1 结果为非零，则ZF=0
AF	Auxiliary Carry Flag 辅助进位标志	0 1	na-No auxiliary carry(无辅助进位) ac-Auxiliary carry(辅助进位)	反映加减运算时最低半字节有无进位或者借位 最低半字节有进位或借位时，AF=1， 否则AF=0。
PF	Parity Flag 奇偶标志	0 1	pe-Parity even(奇) po-Parity odd(偶)	所有bit位中的1的个数是否为偶数 偶数：则PF=1，奇数：则PF=0
CF	Carry Flag 进位标志	0 1	nc-No carry(无进位) cy-Carry(有进位)	无符号数 有进位或借位时CF=1,否则为0
TF	Trap Flag 跟踪标志	0 1	0-正常状态 1-单步状态	是否允许单步中断
iopl	I/O Privilege Level	00~11		操作系统用来控制对硬件的访问

用"r"命令查看或更改标志位的值

条件Conditions

条件描述一个或多个标志的状态。
汇编程序使用一个或两个字母缩写来表示条件。

条件名称	标志	说明
Z	ZF=1	最后一个操作的结果为零
NZ	ZF=0	最后一个操作的结果不为零
C	CF=1	最后一个操作进位或借位（对于无符号整数，表示溢出)
NC	CF=0	最后一个操作不需进位或借位
S	SF=1	最后一个操作具有高位集
NS	SF=0	最后一个操作没有高位集
O	OF=1	当视为有符号整数运算时，最后一个运算导致溢出
NO	OF=0	当视为有符号整数运算时，最后一个运算没有溢出

条件还可以用于比较两个值。cmp指令比较其两个操作数，然后设置标志，类似从一个操作数减去一个操作数。

条件名称	标志	CMP操作后的含义
E	ZF=1	value1 == value2
NE	ZF=0	value1 != value2
GE、NL	SF=OF	value1 >= value2（有符号整数）
LE、NG	ZF=1 or SF!=OF	value1 <= value2（有符号整数）
G、NLE	ZF=0 and SF=OF	value1 > value2 （有符号整数）
L、NGE	SF!=OF	value1
AE、NB	CF=0	value1 >= value2 （无符号整数）
BE、NA	CF=1 or ZF =1	value1 <= value2（无符号整数）
A、NBE	CF=0 and ZF=0	value1 > value2 （无符号整数）
B、NAE	CF=1	value1 < value2 （无符号整数）

条件通常用于处理cmp 或 test 指令的结果。

数据类型

• byte:8 bits
• word:16 bits
• dword:32 bits
• qword:64 bits（包括浮点双精度）
• tword:80 bits（包括浮点扩展双精度）
• oword:128 bits

符号

表示法	含义
r,r1,r2…	寄存器
m	内存地址
#n	即时常量
r/m	寄存器或内存地址
r/#n	寄存器或即时常量
r/m/#n	寄存器/内存地址/即时常量
cc	条件代码
T	“B”,“W” or “D” (byte,word,dword)
accT	T大小的累加器 T=“B”，则为al;T=“W”，为ax；T=“D”，为eax

寻址模式

采用 T PTR [expr]的形式寻址，其中T是某种数据类型，expr是涉及常量和寄存器的一些表达式。

图片来源于网络
引用：
https://learn.microsoft.com/zh-cn/windows-hardware/drivers/debugger/x86-architecture
https://blog.csdn.net/weixin_46013401/article/details/111823010