ARM/THUMB汇编(补丁开发类)基础教程

一、汇编基础
（1）、ARM与THUMB
　　汇编是与C语言挂钩的，没有C语言基础，很难学汇编。索尼爱立信的固件主要用的是THUMB指令，当然还有小部分是ARM指令。如何区分THUMB和ARM指令呢？在IDA中，一段函数反汇编后，机器码最小是2的就是THUMB指令，机器码最小是4的就是ARM指令，ARM在IDA中表示为CODE32，THUMB在IDA中表示为CODE16。当我们确定好该函数是ARM还是THUMB，就可以开始反了。（以下反汇编都是随便从某个地址中开始反，因为这样在实际中比较常见，很少有人把整个固件反的。）由于我们在固件的开头按了alt+g，选“1”，也就是说默认的是THUMB指令，可是当我们反到一个函数是ARM指令的怎么办呢？按alt+g选“ROM”即可继续按C反汇编。另外，再给一些经验就是ARM指令的机器码有个规律，都是“??,??,??,E?”形式的，这样好辨认了吧。
（2）、寄存器
　　ARM模式：
　　　　一般通用寄存器：R0~R12
　　　　堆栈指针：R13
　　　　链接寄存器：R14
　　　　程序计数器：R15
　　THUMB模式：
一般通用寄存器：R0~R7
堆栈指针：SP
链接寄存器：LR
程序计数器：PC
（3）、基本指令
（我以asm补丁比较常见的为例）
MOV：赋值指令
MOV R1，0x6
翻译成C语言就是R1=0x6;
简单吧，但是MOV的立即值是有范围的，在0~0xFF之间。如果我要赋的值大于0xFF怎么办？看下面
MOVL：赋值指令
MOVL R1, 0xFB0
翻译成C语言就是R1=0xFB0;
当然这个MOVL也是有范围的，不能大于0xFFF。可是问题来了，如果我要赋的值大于0xFFF怎么办？看下面
LDR：装载指令
LDR R0, dword_label
……
（这里可以很远很远，也可以很近很近）
……
dword_label dw 0x6FFFFFFF
说明：这里“dword_label”只是一个标记，你想神马名字都可以的
ADD：加法指令
ADD R1, R0, 0
翻译成C语言就是R1=R0+0;
咦，这样不是把R0的完全不变传递到R1了么？没错，就是这样子的。
SUB：减法指令
SUB SP, SP, 0x8
翻译成C语言就是SP=SP-0x8;
LSL：左移指令
LSL R7, R7, 2
翻译成C语言就是R7=R7<<2;
LSR：右移指令
LSR R0, R0, 0x14
翻译成C语言就是R0=R0>>0x14;
CMP：比较指令
CMP R1, 0
翻译成C语言就是if(R1!==0)
一般下面都会有BEQ、BNE的。BEQ执行的是条件成立的事件，BNE执行的是条件不成立的事件。
B：跳
有点像C语言里面那个go to，总之就是跳到某个地方，当然这个跳是有范围限制的，具体我也不清楚。超出范围的话，ARM PC会提示超出范围。如果需要跳到很远很远的地方，比如一般的占用补丁，都是一下这种类型的。
LDR R3, out_1
BLX R3
out_1 dw outout_1+1
BL：带返回的跳
一般的执行函数都是用BL来执行的。
BX：带切换的跳
比如原先是ARM模式，跳过去就是THUMB模式；反之，原先是THUMB模式，跳过去就是ARM模式。
BLX：带返回带切换的跳
其实就是BL的基础上加一个带返回的功能，3350平台调用函数一般用这个。

二、看懂汇编
好，接下来，我们来随便写句简单的语句。
STRID s=STR(“你好”);
上面的看不懂请先学习如何编写ELF，谢谢。
提示：在include/Types.h里面
#define STR(__STR__) Str2ID(_T(__STR__),0,SID_ANY_LEN)
#define _T(__STR__) L##__STR__
#define SID_ANY_LEN 0xFFFF
其实翻译一下就是STRID s =Str2ID(L”你好”,0, 0xFFFF);
第二个参数0代表wchar_t，5代表数组，6代表char。（PS：某种类型补丁汉化就是把6改0）
OK，现在开始用汇编编写这句。
LDR R0,dword_string
MOV R1,0
LDR R2,dword_anylen
BL Str2ID
dword_string db 0x60,0x4F,0x7D,0x59,0,0
dword_anylen dw 0xFFFF
一开始，R0存的是“你好”，汇编要转成Unicode。R1存的是0，R2存的是0xFFFF，恰好，R0是Str2ID的第一个参数，R1是Str2ID的第二个参数，R2是Str2ID的第三个参数。然后BL执行函数，执行完之后，不是有返回值(STRID)s么？是的，BL执行完之后，R0存的就是(STRID)s了，其它函数也是这个道理。从此以后，就是可以开始在固件中找函数了。

三、汇编函数
大家移植LIB的话会发现，函数有个共同点，就是以PUSH开始，POP结束。还有一个共同点就是PUSH后面一定有LR，POP后面一定有PC。PUSH叫入栈，POP叫出栈。还是举例来说。
（1）、保护寄存器
PUSH {R1-R3,LR}
把R1，R2，R3，LR入栈，入栈前R1，R2，R3存的值，会在
POP {R1-R3,PC}
之后恢复。
（2）、局部变量
写过函数都知道，函数里面是可以有局部变量的。
PUSH {R1-R3,LR}
入栈了四个寄存器，也就是说函数里面预留了0x4*0x4=0x10字节的空间，可以存4个int型的变量。如果我需要的局部变量更多，那就要用指针了。假如这个函数需要5个int型的局部变量，入栈里面差一个，可以PUSH多一个寄存器，但是我们没必要还原那个寄存器。可以这样，在PUSH后
SUB SP, SP, 0x4
POP前
ADD SP, SP, 0x4
即可。