需要幫助瞭解E8 asm調用指令x86

Question

我需要幫助才能理解以下彙編指令。在我看來，我打電話給某個未知值+ = 20994A的地址？

E8 32F6FFFF - call std::_Init_locks::operator=+20994A 

Answer 1

無論您使用的是獲得拆卸嘗試是有益的，通過給呼叫是從它所知道的一些符號偏移量的目標 - 但考慮到偏移量是如此之大，它可能是困惑。

• E8是call具有相對偏移：

  呼叫的實際目標可以如下來計算。

• 在32位代碼段中，偏移量被指定爲帶符號的32位值。
• 該值採用little-endian字節順序。
• 偏移量是從以下指令的地址開始測量的。

例如

<some address>  E8 32 F6 FF FF   call <somewhere> 
<some address>+5  (next instruction) 

• 偏移是0xFFFFF632。
• 解釋爲有符號的32位值，這是-0x9CE。
• call指令位於<some address>，長度爲5個字節;下一條指令是<some address> + 5。
• 所以呼叫的目標地址是<some address> + 5 - 0x9CE。

Answer 2

如果你正在用反彙編器分析PE文件，反彙編器可能會給你錯誤的代碼。大多數惡意軟件編寫者使用E8的插入作爲反分解技術。您可以驗證E8以上的代碼是跳轉位置在E8之後的跳轉指令。