Krebs::OutputStream
@KbsEcho · Post #556 · 08/11/2025, 11:03 AM
今天调试时被 Keystone 创了，发现一个比较奇怪的行为： 对于汇编 mov rax, qword ptr gs:[0x58] Keystone 将编码为 65 48 A1 58 00 00 00 00 00 00 00 而 GCC 会编码为 65 48 8B 04 25 58 00 00 00 主要区别在于 displacement 编码方式不同（前者选择了 64bit，后者使用的是 32bit），其实都没有错，因为这条指令本身有歧义。但坑点在于..... 1) 如果用 Capstone 反汇编 Keystone 的编码结果，将得到 movabs rax, qword ptr gs:[0x58] 可以说是 Keystone 和 Capstone 的一个不一致的地方... （也是我说 Keystone 行为奇怪的原因） 2) Keystone 的结果长了两个字节😇 3) 无法补救，因为 Keystone 不支持 NASM 语法中指定 displacement 的编码方式 mov rax, qword ptr gs:[dword 0x58] # ERROR 目前没有想到好的解决办法，只能换个汇编器，但又懒了，干脆先 dirty patch 一下罢... 🔗相关链接 https://github.com/keystone-engine/keystone/issues/430 https://scz.617.cn/misc/201811071803.txt #Assembly
Hashtags