x86/x64 汇编指令速查手册（逆向工程版）

LEA EAX, [ECX + EDX]        ; EAX = ECX + EDX
LEA EAX, [ECX * 4 + 10]     ; EAX = ECX * 4 + 10
LEA RAX, [RBX + RSI * 8]    ; RAX = RBX + RSI * 8
LEA RAX, [RIP + 0x1234]     ; RAX = 当前指令地址 + 0x1234（位置无关代码）

CMP EAX, 5
JE  label       ; if (EAX == 5) goto label
; 等价 C: if (EAX == 5)

; 1. 寄存器清零（比 MOV EAX, 0 少1字节）
XOR EAX, EAX        ; EAX = 0

; 2. 两数交换（无临时变量）
XOR EAX, EBX
XOR EBX, EAX
XOR EAX, EBX        ; EAX <-> EBX

; 3. 加密/解密（CTF 中最常见的编码方式）
XOR AL, 0x37        ; AL ^= 0x37
XOR [RSI+RCX], CL   ; 按字节异或

TEST EAX, EAX       ; EAX AND EAX，结果为0说明 EAX==0
JZ  label            ; if (EAX == 0) goto label

TEST AL, 1          ; AL AND 1，检查最低位
JNZ label            ; if (AL & 1) goto label（奇数检测）

TEST EAX, 0x80      ; 检查第7位（符号位）
JNZ label            ; if (EAX & 0x80) goto label

JMP label       ; goto label
JMP rax         ; 跳转到 RAX 中的地址（间接跳转/switch-case）
JMP [rax*8+table] ; 跳转表，编译器实现 switch-case 的方式

; for (int i = 0; i < 10; i++)
    XOR ECX, ECX           ; i = 0
loop_start:
    CMP ECX, 10            ; i < 10 ?
    JGE loop_end            ; if (i >= 10) break
    ; ... loop body ...
    INC ECX                ; i++
    JMP loop_start
loop_end:

; memcpy(dst, src, len) 的汇编实现
MOV RDI, dst        ; 目的
MOV RSI, src        ; 源
MOV RCX, len        ; 计数
REP MOVSB           ; 逐字节复制

; strlen 的汇编实现
MOV RDI, str
XOR AL, AL          ; AL = 0 (null terminator)
MOV RCX, -1         ; 最大计数
REPNE SCASB         ; 扫描直到找到 0
NOT RCX             ; 取反得到长度
DEC RCX             ; 减去 null 自身

; 函数序言（Prologue）
PUSH RBP
MOV RBP, RSP
SUB RSP, 0x30       ; 分配局部变量空间

; 函数尾声（Epilogue）
MOV RSP, RBP        ; 或 LEAVE
POP RBP
RET

CMP EAX, 5
JNE else_branch     ; if (EAX != 5) goto else
; then 分支
JMP end_if
else_branch:
; else 分支
end_if:

CMP EAX, 0
JNZ not_zero
MOV EBX, 10         ; result = 10
JMP done
not_zero:
MOV EBX, 20         ; result = 20
done:
; 等价 C: result = (EAX == 0) ? 10 : 20;

CMP EAX, 3          ; 检查范围
JA default           ; 超出范围跳到 default
JMP [rax*8 + table]  ; 查跳转表
; 每个 case 是一个地址

; while (i < n)
loop:
CMP ECX, EDX
JGE exit
; ... body ...
INC ECX
JMP loop
exit:

; do { ... } while (i < n)
loop:
; ... body ...
INC ECX
CMP ECX, EDX
JL loop

; arr[i]，int 类型（4字节）
MOV EAX, [RBX + RCX * 4]    ; EAX = arr[i]

; arr[i]，char 类型（1字节）
MOVZX EAX, BYTE PTR [RBX + RCX]  ; EAX = (unsigned char)arr[i]

; obj->field，field 偏移为 0x10
MOV RAX, [RBX + 0x10]       ; RAX = obj->field

; obj.field = value
MOV DWORD PTR [RBX + 0x10], 42  ; obj.field = 42

; ptrace(PTRACE_TRACEME, 0, 1, 0)
XOR EDX, EDX        ; addr = 0 (或 MOV EDX, 1)
MOV ESI, 1          ; data = 1 (或 XOR ESI, ESI)
XOR EDI, EDI        ; request = PTRACE_TRACEME
CALL ptrace
TEST EAX, EAX
JS detected          ; if (ret < 0) → 被调试
; 正常路径
JMP continue
detected:
; 假路径 / exit
continue:

; write(1, "hello", 5)
MOV RAX, 1          ; sys_write
MOV RDI, 1          ; fd = stdout
LEA RSI, [msg]      ; buf = "hello"
MOV RDX, 5          ; count = 5
SYSCALL