Introduction to x64
Einführung in x64
x64, auch bekannt als x86-64, ist eine 64-Bit-Prozessorarchitektur, die hauptsächlich in Desktop- und Server-Computing verwendet wird. Ursprünglich von der von Intel produzierten x86-Architektur abgeleitet und später von AMD unter dem Namen AMD64 übernommen, ist sie heute die vorherrschende Architektur in Personalcomputern und Servern.
Register
x64 erweitert die x86-Architektur und verfügt über 16 allgemeine Register, die als rax
, rbx
, rcx
, rdx
, rbp
, rsp
, rsi
, rdi
und r8
bis r15
bezeichnet sind. Jedes dieser Register kann einen 64-Bit (8-Byte) Wert speichern. Diese Register verfügen auch über 32-Bit-, 16-Bit- und 8-Bit-Teilregister für Kompatibilität und spezifische Aufgaben.
rax
- Traditionell für Rückgabewerte von Funktionen verwendet.rbx
- Oft als Basisregister für Speicheroperationen verwendet.rcx
- Häufig für Schleifenzähler verwendet.rdx
- Wird in verschiedenen Rollen einschließlich erweiterter arithmetischer Operationen verwendet.rbp
- Basiszeiger für den Stapelrahmen.rsp
- Stapelpointer, der die Spitze des Stapels verfolgt.rsi
undrdi
- Für Quell- und Zielindizes in Zeichenketten-/Speicheroperationen verwendet.r8
bisr15
- Zusätzliche allgemeine Register, die in x64 eingeführt wurden.
Aufrufkonvention
Die x64-Aufrufkonvention variiert zwischen Betriebssystemen. Zum Beispiel:
Windows: Die ersten vier Parameter werden in den Registern
rcx
,rdx
,r8
undr9
übergeben. Weitere Parameter werden auf den Stapel geschoben. Der Rückgabewert befindet sich inrax
.System V (üblicherweise in UNIX-ähnlichen Systemen verwendet): Die ersten sechs ganzzahligen oder Zeigerparameter werden in den Registern
rdi
,rsi
,rdx
,rcx
,r8
undr9
übergeben. Der Rückgabewert befindet sich ebenfalls inrax
.
Wenn die Funktion mehr als sechs Eingaben hat, werden die restlichen auf dem Stapel übergeben. RSP, der Stapelpointer, muss 16 Byte ausgerichtet sein, was bedeutet, dass die Adresse, auf die er zeigt, vor jedem Aufruf durch 16 teilbar sein muss. Das bedeutet, dass normalerweise sichergestellt werden müsste, dass RSP in unserem Shellcode ordnungsgemäß ausgerichtet ist, bevor wir einen Funktionsaufruf tätigen. In der Praxis funktionieren Systemaufrufe jedoch viele Male, auch wenn diese Anforderung nicht erfüllt ist.
Aufrufkonvention in Swift
Swift hat seine eigene Aufrufkonvention, die unter https://github.com/apple/swift/blob/main/docs/ABI/CallConvSummary.rst#x86-64 gefunden werden kann.
Gemeinsame Anweisungen
x64-Anweisungen verfügen über einen umfangreichen Satz, der die Kompatibilität mit früheren x86-Anweisungen beibehält und neue einführt.
mov
: Verschiebt einen Wert von einem Register oder einer Speicherstelle an eine andere.Beispiel:
mov rax, rbx
— Verschiebt den Wert vonrbx
nachrax
.push
undpop
: Werte auf/ vom Stapel schieben oder poppen.Beispiel:
push rax
— Schiebt den Wert inrax
auf den Stapel.Beispiel:
pop rax
— Popt den obersten Wert vom Stapel inrax
.add
undsub
: Additions- und Subtraktionsoperationen.Beispiel:
add rax, rcx
— Addiert die Werte inrax
undrcx
und speichert das Ergebnis inrax
.mul
unddiv
: Multiplikations- und Divisionsoperationen. Hinweis: Diese haben spezifische Verhaltensweisen in Bezug auf die Operandennutzung.call
undret
: Zum Aufrufen und Zurückkehren von Funktionen verwendet.int
: Wird verwendet, um einen Software-Interrupt auszulösen. Z.B. wurdeint 0x80
für Systemaufrufe in 32-Bit-x86-Linux verwendet.cmp
: Vergleicht zwei Werte und setzt die Flags der CPU basierend auf dem Ergebnis.Beispiel:
cmp rax, rdx
— Vergleichtrax
mitrdx
.je
,jne
,jl
,jge
, ...: Bedingte Sprung-Anweisungen, die die Steuerung basierend auf den Ergebnissen eines vorherigencmp
oder Tests ändern.Beispiel: Nach einer
cmp rax, rdx
-Anweisung,je label
— Springt zulabel
, wennrax
gleichrdx
ist.syscall
: Wird für Systemaufrufe in einigen x64-Systemen (wie modernem Unix) verwendet.sysenter
: Eine optimierte Systemaufruf-Anweisung auf einigen Plattformen.
Funktionsprolog
Altes Basisregister auf den Stapel schieben:
push rbp
(speichert das Basisregister des Aufrufers)Aktuellen Stapelpointer in das Basisregister verschieben:
mov rbp, rsp
(richtet das neue Basisregister für die aktuelle Funktion ein)Platz auf dem Stapel für lokale Variablen reservieren:
sub rsp, <Größe>
(wobei<Größe>
die Anzahl der benötigten Bytes ist)
Funktionsepilog
Aktuelles Basisregister in den Stapelpointer verschieben:
mov rsp, rbp
(lokale Variablen freigeben)Altes Basisregister vom Stapel poppen:
pop rbp
(stellt das Basisregister des Aufrufers wieder her)Rückkehr:
ret
(gibt die Steuerung an den Aufrufer zurück)
macOS
syscalls
Es gibt verschiedene Klassen von syscalls, die Sie hier finden können:
Dann kannst du jede Syscall-Nummer in dieser URL:
So um den open
-Syscall (5) aus der Unix/BSD-Klasse aufzurufen, müssen Sie 0x2000000
hinzufügen:
Daher wäre die Syscall-Nummer zum Aufrufen von open 0x2000005
Shellcodes
Zum Kompilieren:
Um die Bytes zu extrahieren:
Last updated