（坏）objdump的操作码

40dad1:       d6                      (bad)

402f1c:       ff                      (bad)
402f1d:       ff                      (bad)
402f1e:       ff                      (bad)
402f1f:       ff 01                   incl   (%ecx) #at last a valid instruction

#1 楼

您是正确的，objdump实际上是错误的反汇编此类指令，只是在以后的阶段将其标记为(bad)。

这是它的工作方式： />
db是87个FPU扩展之一，而a5实际上是Mod / rm字节。现在，对于FPU扩展，所有其他mod / rm指令的rm部分都“照常”，但是mod部分从此小表格中指示要使用的指令：

>
其中/x数字表示在mod / rm字节的mod部分中编码的内容（出于完整性考虑：db eX也形成一些有效的操作码）。

在所有可用代码中，那些使用..001...，..100..和..110...的mod / rm模式形成“错误”代码-但只有在解析mod / rm字节并检查此特定表的操作码DB后，您才知道这一点。 objdump在检查基本指令是否有效之前，先分析整个指令-包括4字节立即数。我想这只是一张表，上面写着

db a5 4e 9c 95 68    lock (bad) [rbp+0x68959c4e]

，而(bad)条目被当作实际上是有效的使用。这是无关紧要的，因为两种方式都可以得出结论，操作码是“错误的”，但是使用objdump的方法，您不仅会将第一个字节丢弃为“错误”，而且还会丢弃整个6个字节。至少从理论上讲，第一个字节（这将导致整个下一个序列无效）是数据，但紧随其后的是正确的代码，然后它将以序列a5 4e 9c 95 68开始-完全被objdump跳过。 br />
..这些（不良）说明有什么用途？


我想，看看您显示的其他说明，您正在分解的错误部分可执行文件，它根本不是代码，而是数据。

您应该检查PE / PE ++标头以找到这些部分，然后仅尝试在其Characteristics字段中标记为“ code”和/或“ executable”的部分上进行反汇编。即使这样，也有可能从``错误''位置开始（例如在较长指令的中间）或在内部数据（也可能位于.code部分内部）开始。