Introduction to x64
Introduction to x64
x64, ook bekend as x86-64, is 'n 64-bis verwerker argitektuur wat hoofsaaklik in lessenaar en bediener rekenaars gebruik word. Dit het ontstaan uit die x86 argitektuur wat deur Intel vervaardig is en later deur AMD met die naam AMD64 aangeneem is, en dit is die heersende argitektuur in persoonlike rekenaars en bedieners vandag.
Registers
x64 brei op die x86 argitektuur uit, met 16 algemene registers gemerk as rax
, rbx
, rcx
, rdx
, rbp
, rsp
, rsi
, rdi
, en r8
tot r15
. Elke een van hierdie kan 'n 64-bis (8-byt) waarde stoor. Hierdie registers het ook 32-bis, 16-bis, en 8-bis sub-registers vir kompatibiliteit en spesifieke take.
rax
- Tradisioneel gebruik vir terugwaardes van funksies.rbx
- Gereeld gebruik as 'n basisregister vir geheue operasies.rcx
- Gewoonlik gebruik vir lus tellers.rdx
- Gebruik in verskeie rolle insluitend uitgebreide aritmetiese operasies.rbp
- Basisaanwyser vir die stapelraam.rsp
- Stapelaanwyser, wat die bokant van die stapel dop hou.rsi
enrdi
- Gebruik vir bron en bestemming indekse in string/geheue operasies.r8
totr15
- Bykomende algemene registers wat in x64 bekendgestel is.
Calling Convention
Die x64 aanroep konvensie verskil tussen bedryfstelsels. Byvoorbeeld:
Windows: Die eerste vier parameters word in die registers
rcx
,rdx
,r8
, enr9
oorgedra. Verdere parameters word op die stapel geplaas. Die terugwaarde is inrax
.System V (gewoonlik gebruik in UNIX-agtige stelsels): Die eerste ses heelgetal of aanwyser parameters word in registers
rdi
,rsi
,rdx
,rcx
,r8
, enr9
oorgedra. Die terugwaarde is ook inrax
.
As die funksie meer as ses invoere het, sal die oorige op die stapel oorgedra word. RSP, die stapelaanwyser, moet 16 bytes geallineer wees, wat beteken dat die adres waarna dit verwys deelbaar moet wees deur 16 voordat enige aanroep plaasvind. Dit beteken dat ons normaalweg moet verseker dat RSP behoorlik geallineer is in ons shellcode voordat ons 'n funksie aanroep. In praktyk werk stelselaanroepe egter baie keer selfs al word hierdie vereiste nie nagekom nie.
Calling Convention in Swift
Swift het sy eie aanroep konvensie wat gevind kan word in https://github.com/apple/swift/blob/main/docs/ABI/CallConvSummary.rst#x86-64
Common Instructions
x64 instruksies het 'n ryk stel, wat kompatibiliteit met vroeëre x86 instruksies handhaaf en nuwe bekendstel.
mov
: Beweeg 'n waarde van een register of geheue ligging na 'n ander.Voorbeeld:
mov rax, rbx
— Beweeg die waarde vanrbx
narax
.push
enpop
: Druk of pop waardes na/vanaf die stapel.Voorbeeld:
push rax
— Druk die waarde inrax
op die stapel.Voorbeeld:
pop rax
— Pop die boonste waarde van die stapel inrax
.add
ensub
: Optelling en aftrekking operasies.Voorbeeld:
add rax, rcx
— Voeg die waardes inrax
enrcx
by en stoor die resultaat inrax
.mul
endiv
: Vermenigvuldiging en deling operasies. Let op: hierdie het spesifieke gedrag rakende operand gebruik.call
enret
: Gebruik om aan te roep en terug te keer van funksies.int
: Gebruik om 'n sagteware onderbreking te aktiveer. Byvoorbeeld,int 0x80
is gebruik vir stelselaanroepe in 32-bis x86 Linux.cmp
: Vergelyk twee waardes en stel die CPU se vlae op grond van die resultaat.Voorbeeld:
cmp rax, rdx
— Vergelykrax
metrdx
.je
,jne
,jl
,jge
, ...: Voorwaardelike sprong instruksies wat die beheerstroom verander op grond van die resultate van 'n vorigecmp
of toets.Voorbeeld: Na 'n
cmp rax, rdx
instruksie,je label
— Spring nalabel
asrax
gelyk is aanrdx
.syscall
: Gebruik vir stelselaanroepe in sommige x64 stelsels (soos moderne Unix).sysenter
: 'n Geoptimaliseerde stelselaanroep instruksie op sommige platforms.
Function Prologue
Druk die ou basisaanwyser:
push rbp
(stoor die oproeper se basisaanwyser)Beweeg die huidige stapelaanwyser na die basisaanwyser:
mov rbp, rsp
(stel die nuwe basisaanwyser op vir die huidige funksie)Allokeer ruimte op die stapel vir plaaslike veranderlikes:
sub rsp, <size>
(waar<size>
die aantal bytes is wat benodig word)
Function Epilogue
Beweeg die huidige basisaanwyser na die stapelaanwyser:
mov rsp, rbp
(deallokeer plaaslike veranderlikes)Pop die ou basisaanwyser van die stapel:
pop rbp
(herstel die oproeper se basisaanwyser)Terugkeer:
ret
(gee beheer terug aan die oproeper)
macOS
syscalls
Daar is verskillende klasse van syscalls, jy kan dit hier vind:
Dan kan jy elke syscall nommer in hierdie URL:
So om die open
syscall (5) van die Unix/BSD klas aan te roep, moet jy dit byvoeg: 0x2000000
So, die syscall nommer om open aan te roep, sou 0x2000005
wees
Shellcodes
Om te kompileer:
Om die bytes te onttrek:
Last updated