逆向工程核心原理——第三十七章

x64处理器

64位系统中的内存地址为64位（8个字节），所以使用64位大小的指针。所以含有的绝对地址(AV)的指令大小比原来增加了4个字节。

x64系统中，通用寄存器的大小扩展到了64位（8个字节），数量也增加到了18个（新增加了R8~R15寄存器）。x64系统下的所有通用寄存器的名称均以字母“R”开头（x86以字母“E”开头）。

call/jmp指令

在原来x86系统中，FF15 XXXXXXXX指令用于调用API，其中XXXXXXXX表示绝对地址，指向IAT区域的某个位置。

x64系统指令地址从原来的4字节变为现在8个字节，在x86中FF15(CALL)指令后跟着4个字节的绝对地址。若x64中也在FF15后跟随绝对地址，这样在FF15垢面应该跟着8个字节的绝对地址，这样指令的长度就增加。为了防止地址增加，x64系统中指令后面仍然跟着4个字节大小的地址，不过是这4字节大小的地址被解析成“相对地址（RVA）”。

绝对地址和相对地址转化方法为：

函数调用约定

在32位系统中，主要有三种cdecl、stdcall、fastcall，但64位系统中它们都统一为一种变形的fastcall。64位fastcall中可以把4个参数存储到寄存器中，如果超过4个参数，则会将从第5个开始的参数通过栈传递。

栈和栈帧

windows 64 os中使用栈和栈帧的方式也发生了变化。调用子函数时，不再使用PUSH命令，而是通过MOV指令操作寄存器与预定的栈来传递。

练习：

我们通过将下面的代码分别编译成x64、x86，并对其进行观察。

Stack32.cpp\Stack64.cpp

#include <stdio.h>
#include<Windows.h>

void main()
{
	HANDLE hFile = INVALID_HANDLE_VALUE;

	hFile = CreateFileA(
		"c:\\work\\ReverseCore.txt",
		GENERIC_READ,
		FILE_SHARE_READ,
		NULL,
		OPEN_EXISTING,
		FILE_ATTRIBUTE_NORMAL,
		NULL);

	if (hFile != INVALID_HANDLE_VALUE)
	{
		CloseHandle(hFile);
	}
}