Notes

汇编语言 汇编语言->编译器->机器码 INC EAX->编译器->0100 0000

学习进制 先忘记十进制，也要忘记进制间的转换 进制的定义 八进制：缝八进一 十进制：缝十进一 二进制：缝二进一 N进制：逢N进一

ASCII编码 美国信息交换标准代码 原始ASCII码表 0-7F 扩展ASCII码表 0-FF GB2312：两个扩展ASCII码组成一个汉字 弊端：每个国家用的格式不同，本机是GB2312可能显示是中文，在他机上就可能会是乱码 Unicode编码 0-0x10FFFF 把所有符号全部存储，每个符号都是唯一编码 问题…

八进制运算

字符和字符串在内存中的值 宽字符和宽字符串的函数调用也与普通字符和字符串调用的函数不一样

计算机为什么使用二进制 计算机是需要用电的，电路只有两个状态，1 真（通电），0 假（断电） 计算机中存储的任何文件、接受的任何指令都是由0和1组成的 二进制的简写形式

Win32 API 主要存放在 C:\\WINDWOS\system32 下面所有的dll 重要DLL： Kernel32.dll：最核心的功能模块，比如管理内存、进程和线程相关的函数等 User32.dll：是Winodws用户界面相关应用程序接口，如创建窗口和发送消息等 GDI32.dll：全称是Graphical…

什么是进程？ 进程是提供程序所需的资源，如：数据、代码等等 进程内存空间的地址划分 分区 x86 32位Windows 空指针赋值区 0x00000000-0x00000FFFF 用户模式区 0x00010000-0x7FFEFFFFF 64KB禁入区 0x7FFF0000-0x7FFFFFFFF 内核 0x80000…

数据宽度 数学上的数字，是没有大小限制的，可以无限大。但在计算机中，由于受硬件的约束，数据都是由长度限制的（我们成为数据宽度），超过最多宽度的数据会被丢弃 计算机中常见的数据宽度 位（BIT） 字节（Byte）：0-0xFF 字（Word）：0-0xFFFF 双字（DoubleWord）：0-0xFFFFFFFF 超过…

以上是利用win32创建进程的例子 可以利用GetStartupInfo()函数来做一些反调试

无符号数的编码规则 10011010->9A 有符号数的编码规则 10011010->-1A

内核对象 像进程、线程、文件、互斥体、事件等在内核都有一个对应的结构体，这些结构体由内核负责管理。我们管这样的对象叫做内核对象。 管理内核对象 每个进程都有一个句柄表 用户层通过句柄表来操作内核层的结构体 句柄表属于进程（EPROCESS）对象，每个进程拥有自己的句柄表。 多进程可以共享一个内核对象,CreatePro…

编码规则 不同文件有不同的编码规则 有符号数的编码规则 原码：最高位为符号位，其余各位为数值本身的绝对值 反码： 正数：反码与原码相同 负数：符号位为1，其余位为原码取反 补码 正数：补码与原码相同 负数：符号位为1，其余位对原码取反加1 总结： 正数：原码存储 负数：补码存储

为什么要学习位运算 有些功能必须通过位运算才能实现：比如写调试器，判断CPU的各种状态位 大公司面试题：比如2x8效率最高的实现方式 位运算 与运算（and &） 两个位都为1，结果才为1 或运算（or |） 两个只要有一个为1就是1 异或运算（xor ^） 不一样的时候是1 非运算（not ~） 0就是1 1就是0…

ID与句柄 进程句柄：当前进程私有句柄表中的索引，用于访问对应的内核对象。 进程ID（PID）：操作系统分配给进程的唯一标识符，在整个系统范围内唯一。 线程句柄和TID同理 以挂起的形式创建进程 CreateProcess中的第六个参数creation flag 模块目录和工作目录 GetModuleFileName：…