7. 汇编核心指令与模式识别：数据传送、算术逻辑、控制转移与反汇编模式
好，咱们今天聊点硬核的。汇编指令，说白了就是CPU能听懂的最基本的语言。你写再高级的代码，最后都得翻译成这些指令才能跑起来。做逆向工程，不懂汇编？那就像医生看不懂X光片，只能瞎猜。
我个人习惯把汇编指令分成三大类：数据传送、算术逻辑运算、控制转移。这三类几乎覆盖了你日常逆向中95%以上的指令。咱们一个一个来拆。
7.1 数据传送指令：搬砖是基本功
数据传送指令，说白了就是“搬数据”。把数据从内存搬到寄存器，从寄存器搬到内存，或者从一个寄存器搬到另一个寄存器。最常见的当然是 MOV 指令。
核心指令速查：
MOV dest, src— 把 src 的值复制到 dest。注意，是复制，不是移动。PUSH src— 把 src 压入栈顶。栈指针 ESP/RSP 会减。POP dest— 从栈顶弹出数据到 dest。栈指针会加。LEA dest, [addr]— 加载有效地址。这个很特殊，它不访问内存，只计算地址。
我记得有一次逆向一个加壳程序，壳里全是 PUSH 和 POP 来回倒腾，看得我眼花。后来我总结了一个规律：看到连续的 PUSH，多半是在保存现场或者传递参数。
避坑指南：我曾经在分析一个恶意软件时，看到 MOV EAX, [EBP+8] 这种指令，第一反应是它在访问局部变量。结果跟踪了半天才发现，EBP 早就被篡改了，那个地址根本不是局部变量，而是堆上的数据。所以，永远不要假设寄存器里存的是什么，一定要动态跟踪确认。
7.2 算术与逻辑运算：CPU 的算盘
算术运算就是加减乘除，逻辑运算就是与或非异或。这些指令在逆向中经常出现，尤其是在加密算法、校验和计算中。
| 指令 | 含义 | 常见场景 |
|---|---|---|
ADD dest, src |
dest = dest + src | 循环计数器、指针偏移 |
SUB dest, src |
dest = dest - src | 栈指针调整、字符串长度计算 |
AND dest, src |
按位与 | 掩码操作、清零特定位 |
OR dest, src |
按位或 | 设置特定位、合并标志 |
XOR dest, src |
按位异或 | 加密、清零寄存器（XOR EAX, EAX） |
SHL dest, count |
左移 | 乘以2的幂 |
SHR dest, count |
右移 | 除以2的幂 |
你想想看，为什么编译器喜欢用 XOR EAX, EAX 来清零，而不是 MOV EAX, 0？因为 XOR 指令更短，编码更小，执行速度也更快。这就是逆向中常见的“模式识别”——看到 XOR reg, reg，你就知道它在清零。
注意：算术指令会影响 EFLAGS 标志寄存器。比如 ADD 会影响 CF（进位）、ZF（零标志）、SF（符号标志）等。后续的 JZ、JNZ 等跳转指令就是根据这些标志来决策的。所以，看到算术指令，要立刻想到它后面可能跟着条件跳转。
7.3 控制转移指令：程序的岔路口
没有控制转移，程序就只能一条道走到黑。控制转移指令让程序有了“选择”和“循环”。
- 无条件跳转：
JMP target— 直接跳，没商量。 - 条件跳转：
JZ/JE target（相等则跳）、JNZ/JNE target（不等则跳）、JG/JNLE target（大于则跳）等等。 - 调用与返回：
CALL target— 先把返回地址压栈，再跳转。RET— 从栈顶弹出返回地址并跳回去。
我个人经验是，条件跳转是逆向分析中最需要关注的地方。一个 JZ 后面跟着什么代码，往往决定了程序的分支逻辑。我曾经分析过一个注册算法，核心就是一个 CMP EAX, 0x12345678 后面跟着 JZ success。嗯，看到这个，你懂的——直接 patch 成 JMP success 就完事了。
7.4 常见反汇编模式：一眼看穿编译器的小把戏
做逆向久了，你会发现编译器生成汇编代码是有固定套路的。我把这些套路叫做“反汇编模式”。掌握了这些模式，你看到一段汇编，脑子里就能立刻还原出高级语言的逻辑。
模式一：函数序言与尾声
; 函数序言
PUSH EBP
MOV EBP, ESP
SUB ESP, 0x40 ; 分配局部变量空间
; ... 函数体 ...
; 函数尾声
MOV ESP, EBP
POP EBP
RET看到这个模式，你就知道这是一个标准的 C/C++ 函数。EBP 指向栈帧基址，局部变量通过 [EBP-xx] 访问，参数通过 [EBP+xx] 访问。
模式二：if-else 结构
CMP EAX, 0
JZ else_branch
; then 分支代码
JMP end_if
else_branch:
; else 分支代码
end_if:这个模式太常见了。看到 CMP 后面跟一个条件跳转，再跟一个 JMP，基本就是 if-else。
模式三：循环结构
loop_start:
; 循环体代码
INC ECX
CMP ECX, 100
JL loop_start看到 CMP 后面跟 JL 或 JG 跳回到前面的地址，这就是一个循环。ECX 通常是循环计数器。
我的一个小技巧：在 IDA Pro 或 Ghidra 里，看到 LEA EAX, [EBP+var_4] 这种指令，我通常会立刻把它标记为“局部变量地址”。因为 LEA 不访问内存，它只是计算地址，所以经常被用来取变量的地址，相当于 C 语言里的 & 运算符。
知识体系总览
下面这张图，是我自己总结的汇编指令与模式识别的知识框架。你可以把它当作一张地图，随时回来查阅。
好了，这一章的内容就到这里。记住，汇编指令本身不难，难的是在成千上万条指令中快速识别出模式。多练、多逆向、多总结，你也能做到一眼看穿。