13

Tenho escrito um programa cujo objetivo é ler um arquivo executável binário compilado para a arquitetura x86 (intel) e interpretar o código assembly ali contido executando-o instrução por instrução. A parte de ler o executável, extrair as seções e criar uma memória virtual que inclui o código executável funciona sem problemas e pude executar alguns programas bem simples (exemplo: int main() {return 0;}).

Para decodificar as instruções estou me baseando no manual da intel (em inglês). Adicionalmente estou usando o utilitário objdump -d para exibir o disassembly do executável para comparar com os meus resultados.

Meu problema está em decodificar a seguinte sequência de bytes: (hexadecimal)

67 89 04 18

O objdump afirma corretamente que isso significa:

mov    %eax, (%eax, %ebx, 1)

Meu problema está quando faço o processo manualmente tomando por base o manual:

  1. 67: Prefixo de alteração do tamanho do endereço;
  2. 89: Opcode da instrução mov de um registro para uma memória/registro;
  3. 04: Byte do ModR/M para indicar que o primeiro argumento é %eax, a necessidade de um SIB e que o displacement é zero;
  4. 18: Byte do SIB indicando que o último argumento é %eax+%ebx.

O detalhe é que ambos o ModR/M e o SIB são considerados em 32-bits. Significa que neste estágio o tamanho do operando e o tamanho do endereço são 32-bits. No entanto o prefixo de alteração do tamanho de endereço precisou ser utilizado, o que significa que a instrução original (sem o prefixo) é de 32-bits no operando e 16-bits no endereço. Isto está correto?

Como é possível existir uma instrução com operandos e 32-bits e endereçamento de 16-bits? Tentei compilar um código com uma instrução assim usando o gas (GNU Assembler) e ele retorna um erro afirmando que aquela combinação é impossível. Por que então é o padrão?

3
  • Uma pergunta simples: Que tipo de programa C quando compilado gera a sequência 67 89 04 18? Quando você executa este programa, o que esta instrução faz quando tem endereços e registradores cujos valores não cabem em 16 bits? 16/12/2013 às 2:16
  • Um pode pode gerar uma instrução bastante semelhante: int main() { volatile int a[] = {1, 2, 3, 4, 5}; volatile int i = 2; a[i] = i; }. Produz essa ao compilar com o gcc -O3: mov %edx, 8(%esp, %eax, 4). Bastante semelhante ao exemplo que usei. 16/12/2013 às 2:23
  • Curiosamente essa é codificada como 89 54 84 08. Não usou nenhum prefixo. Agora estou confuso... Por que um caso requer o prefixo e o outro não? 16/12/2013 às 2:26

1 Resposta 1

7

O manual da Intel, na seção 2.1.1 afirma que o prefixo 67H permite que programas mudem o endereçamento entre 16 e 32 bits. Que qualquer tamanho pode ser o padrão, e que o prefixo seleciona o não-padrão:

The address-size override prefix (67H) allows programs to switch between 16- and 32-bit addressing. Either size can be the default; the prefix selects the non-default size.

O prefixo muda o endereçamento, olhe as tabelas 2-1 e 2-2 da seção 2.1.5.
Por exemplo, uma instrução sem prefixo poderia ser MOV [EBX], ESP e adicionando o prefixo se tornaria MOV [BP+DI], ESP.

4
  • Sim, isso eu escrevi na pergunta. A dúvida é: por que mov %eax, (%eax, %ebx, 1) precisa do prefixo e mov %edx, 8(%esp, %eax, 4) não? Qual a diferença? 16/12/2013 às 10:07
  • Após a edição. De fato, esse é o comportamento que observei na maior parte dos casos e que entendo ser o certo. Mas por que MOV [EAX+EBX], EAX tem o prefixo? 16/12/2013 às 16:22
  • Que eu saiba, não se pode usar SIB com endereçamento 16 bits. Isso quer dizer que o programa está executando com 16 bits de endereçamento por padrão, e o prefixo serve para entrar em modo 32 bits. 16/12/2013 às 16:57
  • Eu fiz alguns testes a mais e não consegui reproduzir o meu problema. Provavelmente eu tinha feito algo errado na hora de interpretar os dados. O prefixo 67 não aparece para o exemplo da pergunta agora. De qualquer forma, aceitarei sua resposta, obrigado. 17/12/2013 às 11:07

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .