Necesita ayuda para comprender las instrucciones de llamada asm E8 x86

Question

Necesito ayuda para entender las siguientes instrucciones de ensamblaje. Me parece que estoy llamando a una dirección en algún valor desconocido + = 20994A?

E8 32F6FFFF - call std::_Init_locks::operator=+20994A 

Answer 1

Lo que usted está utilizando para obtener el desmontaje está tratando de ser útil, al dar en el blanco de la llamada como un desplazamiento desde algún símbolo que se sabe sobre - pero teniendo en cuenta que el desplazamiento es tan grande, es probable que esté confundido.

El objetivo real de la llamada se puede calcular como sigue:

• E8 es una call con un desplazamiento relativo.
• En un segmento de código de 32 bits, el desplazamiento se especifica como un valor de 32 bits con signo.
• Este valor está en orden de bytes little-endian.
• El desplazamiento se mide desde la dirección de las siguientes instrucciones.

e.g.

<some address>  E8 32 F6 FF FF   call <somewhere> 
<some address>+5  (next instruction) 

• El desplazamiento es 0xFFFFF632.
• Interpretado como un valor de 32 bits con signo, esto es -0x9CE.
• La instrucción call está en <some address> y tiene 5 bytes de longitud; la siguiente instrucción está en <some address> + 5.
• Por lo tanto, la dirección de destino de la llamada es <some address> + 5 - 0x9CE.

Answer 2

Si está analizando el archivo PE con un desensamblador, es posible que el desensamblador le haya dado el código incorrecto. La mayoría de los programadores de malware utilizan la inserción de E8 como técnica antidesensamblaje. Puede verificar si los códigos sobre E8 son instrucciones de salto donde la ubicación del salto es después de E8.