Introduction to x64
Wprowadzenie do x64
x64, znane również jako x86-64, to 64-bitowa architektura procesora, głównie używana w komputerach stacjonarnych i serwerach. Pochodzi z architektury x86 produkowanej przez Intel, a później przyjętej przez AMD pod nazwą AMD64, jest to dominująca architektura w komputerach osobistych i serwerach dzisiaj.
Rejestry
x64 rozwija architekturę x86, oferując 16 rejestrów ogólnego przeznaczenia oznaczonych jako rax
, rbx
, rcx
, rdx
, rbp
, rsp
, rsi
, rdi
, oraz r8
do r15
. Każdy z nich może przechowywać wartość 64-bitową (8-bajtową). Te rejestry mają również 32-bitowe, 16-bitowe i 8-bitowe podrejestry dla zgodności i specyficznych zadań.
rax
- Tradycyjnie używany do wartości zwracanych z funkcji.rbx
- Często używany jako rejestr bazowy dla operacji pamięci.rcx
- Powszechnie używany do liczników pętli.rdx
- Używany w różnych rolach, w tym rozszerzonych operacjach arytmetycznych.rbp
- Wskaźnik bazowy dla ramki stosu.rsp
- Wskaźnik stosu, śledzący szczyt stosu.rsi
irdi
- Używane do indeksów źródłowych i docelowych w operacjach na łańcuchach/pamięci.r8
dor15
- Dodatkowe rejestry ogólnego przeznaczenia wprowadzone w x64.
Konwencja wywołań
Konwencja wywołań x64 różni się w zależności od systemu operacyjnego. Na przykład:
Windows: Pierwsze cztery parametry są przekazywane w rejestrach
rcx
,rdx
,r8
ir9
. Dalsze parametry są umieszczane na stosie. Wartość zwracana znajduje się wrax
.System V (powszechnie używany w systemach podobnych do UNIX): Pierwsze sześć parametrów całkowitych lub wskaźnikowych jest przekazywanych w rejestrach
rdi
,rsi
,rdx
,rcx
,r8
ir9
. Wartość zwracana również znajduje się wrax
.
Jeśli funkcja ma więcej niż sześć argumentów, pozostałe będą przekazywane na stosie. RSP, wskaźnik stosu, musi być wyrównany do 16 bajtów, co oznacza, że adres, na który wskazuje, musi być podzielny przez 16 przed jakimkolwiek wywołaniem. Oznacza to, że normalnie musielibyśmy upewnić się, że RSP jest odpowiednio wyrównany w naszym shellcode przed wywołaniem funkcji. Jednak w praktyce wywołania systemowe działają wiele razy, nawet jeśli ten wymóg nie jest spełniony.
Konwencja wywołań w Swift
Swift ma swoją własną konwencję wywołań, którą można znaleźć w https://github.com/apple/swift/blob/main/docs/ABI/CallConvSummary.rst#x86-64
Typowe instrukcje
Instrukcje x64 mają bogaty zestaw, zachowując zgodność z wcześniejszymi instrukcjami x86 i wprowadzając nowe.
mov
: Przenieś wartość z jednego rejestru lub lokacji pamięci do drugiego.Przykład:
mov rax, rbx
— Przenosi wartość zrbx
dorax
.push
ipop
: Wstawiaj lub wyjmuj wartości z stosu.Przykład:
push rax
— Wstawia wartość wrax
na stos.Przykład:
pop rax
— Wyjmuje górną wartość ze stosu dorax
.add
isub
: Operacje dodawania i odejmowania.Przykład:
add rax, rcx
— Dodaje wartości wrax
ircx
, zapisując wynik wrax
.mul
idiv
: Operacje mnożenia i dzielenia. Uwaga: mają one specyficzne zachowania dotyczące użycia operandów.call
iret
: Używane do wywoływania i zwracania z funkcji.int
: Używane do wywoływania oprogramowania przerwania. Np.int 0x80
było używane do wywołań systemowych w 32-bitowym x86 Linux.cmp
: Porównaj dwie wartości i ustaw flagi CPU na podstawie wyniku.Przykład:
cmp rax, rdx
— Porównujerax
zrdx
.je
,jne
,jl
,jge
, ...: Instrukcje skoku warunkowego, które zmieniają przepływ sterowania na podstawie wyników poprzedniegocmp
lub testu.Przykład: Po instrukcji
cmp rax, rdx
,je label
— Skacze dolabel
, jeślirax
jest równyrdx
.syscall
: Używane do wywołań systemowych w niektórych systemach x64 (jak nowoczesny Unix).sysenter
: Zoptymalizowana instrukcja wywołania systemowego na niektórych platformach.
Prolog funkcji
Wstaw stary wskaźnik bazowy:
push rbp
(zapisuje wskaźnik bazowy wywołującego)Przenieś aktualny wskaźnik stosu do wskaźnika bazowego:
mov rbp, rsp
(ustawia nowy wskaźnik bazowy dla bieżącej funkcji)Przydziel miejsce na stosie dla zmiennych lokalnych:
sub rsp, <size>
(gdzie<size>
to liczba bajtów potrzebnych)
Epilog funkcji
Przenieś aktualny wskaźnik bazowy do wskaźnika stosu:
mov rsp, rbp
(zwalnia zmienne lokalne)Wyjmij stary wskaźnik bazowy ze stosu:
pop rbp
(przywraca wskaźnik bazowy wywołującego)Zwróć:
ret
(zwraca kontrolę do wywołującego)
macOS
syscalls
Istnieją różne klasy wywołań systemowych, możesz znaleźć je tutaj:
Następnie możesz znaleźć każdy numer syscall pod tym adresem:
Aby wywołać syscall open
(5) z klasy Unix/BSD, musisz dodać: 0x2000000
Zatem numer syscall do wywołania open to 0x2000005
Shellcodes
Aby skompilować:
Aby wyodrębnić bajty:
Last updated