跳转指令与机器码

跳转指令和对应的机器码

0xE8 CALL 后面的四个字节是地址
0xE9 JMP 后面的四个字节是偏移
0xEB JMP 后面的二个字节是偏移
0xFF15 CALL 后面的四个字节是存放地址的地址
0xFF25 JMP 后面的四个字节是存放地址的地址

0x68 PUSH 后面的四个字节入栈
0x6A PUSH 后面的一个字节入栈

x32与x64系统区别

32为的x86系统中，CALL/JMP指令的使用个形式为“地址 指令 CALL/JMP”。
例如：
FF15 XXXXXXXX 指令用于调用API，其中XXXXXXXX “绝对地址”只想IAT区域的某个位置。x64系统中仍使用相同指令，但解析方法不同。

首先指令地址由原来的4个字节变为8个字节，然后，x86中FF15指令后跟着4个字节的绝对地址（VA）。若x64中也采用与x86相同的方式，则FF15后面应该跟着8个字节的绝对地址（VA），这样指令的长度就增加了。但是实际x64系统中指令后面仍然跟这着4个字节大小的地址，只不过该地址被解析为“相对地址”（RVA）。所以上面的指令，FF15后面的4个字节（A212E）被识别为相对地址，并通过下面的方法将相对地址转换为绝对地址。

00007FFC DAEF0ECC + A212E + 6 = 7FF CDAF93000

• 00007FFC DAEF0ECC ：CALL 指令地址
• A212E ：相对地址
• 6 ：CALL指令（FF15XXXXXXXX）长度
• 000007FF CDAF93000 ：变换后的绝对地址

CALL指令地址 + 相对地址 + CALL指令（FF15XXXXXXXX）长度 = 变换后的绝对地址