【软件逆向】第30课，软件逆向安全工程师之（五）寄存器相对寻址，每天5分钟学习逆向吧！

寄存器相对寻址是汇编语言中的一种寻址方式，它结合了寄存器间接寻址和立即数偏移。在这种寻址方式中，操作数的有效地址是通过将一个寄存器的内容与一个固定的偏移量（立即数）相加来得到的。以下是关于寄存器相对寻址的详细信息：

寄存器相对寻址的特点：

• 操作数地址是寄存器内容与偏移量的和：有效地址是寄存器的内容加上一个固定的立即数偏移量。
• 灵活且具体：提供了对特定内存位置的间接访问，同时允许通过改变寄存器的内容来轻松地改变访问的内存位置。
• 常用于数组处理：由于可以很容易地通过修改寄存器内容来访问数组的不同元素，因此它特别适合于数组处理。

识别寄存器相对寻址：

1. 查看指令格式：
   • 寄存器相对寻址的指令通常具有以下格式：指令 操作数, [寄存器 + 偏移量] 或 指令 [寄存器 + 偏移量], 操作数。
   • 例如：mov eax, [ebx + 4]，这里 [ebx + 4] 表示内存地址是ebx寄存器的内容加上4。
2. 观察操作数：
   • 如果操作数被方括号 [] 包围，并且方括号内是一个寄存器名称后跟一个立即数偏移量，那么它就是寄存器相对寻址。
   • 例如：add [ecx + 8], 5，在这里 [ecx + 8] 表示内存地址，其值是ecx寄存器的内容加上8。

使用寄存器相对寻址的例子：

• 数据传送：
  ``
  mov eax, [ebx + 4] ; 将内存地址 ebx+4 处的数据移入 eax 寄存器
  mov [edx + 8], ecx ; 将 ecx 寄存器的值移入内存地址 edx+8

• 算术操作：
  ``
  add [ebp - 4], 10 ; 将内存地址 ebp-4 处的数据加 10
  sub [esi + 16], edx ; 将内存地址 esi+16 处的数据减去 edx 寄存器的值

• 逻辑操作：
  ``
  and [edi + 32], 0xFF ; 将内存地址 edi+32 处的数据与 0xFF 进行逻辑与操作
  or [ebx - 2], 0x0F ; 将内存地址 ebx-2 处的数据与 0x0F 进行逻辑或操作

注意事项：

• 偏移量大小：偏移量通常是有符号数，可以是正数也可以是负数，表示相对于寄存器内容的偏移。
• 寄存器内容：寄存器中必须包含一个有效的内存地址，偏移量将加到这个地址上。
• 寻址范围：寄存器相对寻址的偏移量通常受限于指令集和操作系统的寻址能力。
  通过理解寄存器相对寻址的原理和识别方法，可以在汇编语言编程或逆向工程中更有效地访问和操作内存中的数据结构，特别是当需要通过索引来访问数组元素时。