x86体系结构（WinDbg学习笔记）

寄存器

所有的整数寄存器均为32位。但是，其中这么多都有16位或8位子寄存器

注意：在WinDbg使用”?“(Evaluate Expression)查看子寄存器时，子寄存器前要加“@”符号，如? @ax ，而不是 ? ax。但用“r”(Registers)命令时，不需要“@”符号

调用约定

x86体系结构具有多个不同的调用约定。但都遵循相同的寄存器保留和函数返回规则：

• 函数必须保留所有寄存器，但eax、ecx和edx除外（可在函数调用中更改），esp（必须根据调用约定进行更新）
• 如果结果为32位或更小，则eax寄存器为返回值。如果结果为64位，则结果存储在edx:eax中。

x86体系结构上使用的调用约定：

• Win32（__stdcall)
  函数参数在堆栈上传递，从右向左推送，被调用方清理堆栈。
• 本机C++方法调用（也称为thiscall）
  函数参数在堆栈上传递，从右向左推送，"this"指针在ecx寄存器中传递，被调用方清理堆栈。
• COM（适用于c++的__stdcall)
• __fastcall
  前两个DWORD或较小的参数在ecx和edx寄存器中传递，其余参数在堆栈上传，从右向左推送。被调用方清理堆栈。
• __cdecl
  函数参数在堆栈上传递，从右向左推送，被调用方清理堆栈。__cdecl调用约定用于具有可变长度参数的所有函数。

x86标志位

(图片引用自：https://blog.csdn.net/weixin_46013401/article/details/111823010)

用"r"命令查看或更改标志位的值

条件Conditions

条件描述一个或多个标志的状态。
汇编程序使用一个或两个字母缩写来表示条件。

条件还可以用于比较两个值。cmp指令比较其两个操作数，然后设置标志，类似从一个操作数减去一个操作数。

条件通常用于处理cmp 或 test 指令的结果。

数据类型

• byte:8 bits
• word:16 bits
• dword:32 bits
• qword:64 bits（包括浮点双精度）
• tword:80 bits（包括浮点扩展双精度）
• oword:128 bits

符号

寻址模式

采用 T PTR [expr]的形式寻址，其中T是某种数据类型，expr是涉及常量和寄存器的一些表达式。

图片来源于网络
引用：
https://learn.microsoft.com/zh-cn/windows-hardware/drivers/debugger/x86-architecture
https://blog.csdn.net/weixin_46013401/article/details/111823010