Notes

形式一 Mov eax,dword ptr ds:[0x1111] 形式二 Mov eax,0x1111 Mov dword ptr ds:[eax],0x1234568 形式三 Mov ecx,0x1011 Mov eax,dword ptr ds:[ecx+4] 形式四 Mov eax,0x1111 Mov ecx…

内存地址 内存太大没法起名字，所以只能用编号。当我们想向内存中存储数据，或者从内存中读取数据时，必须用到这个编号，就像写信必须要写收信人地址一样。 这个编号又称为内存地址

互斥体 互斥体与线程锁的区别 线程锁只能用于单个进程间的线程控制 互斥体可以设定等待超时，但线程锁不能 线程意外终结时，Mutex可以避免无限等待 Mutex效率没有线程锁高

寄存器 存储数据： CPU > 内存 > 硬盘 32位CPU：8 16 32 64位CPU：8 16 32 64 通用寄存器 32位通用寄存器 EAX ECX EDX EBX ESP EBP ESI EDI MOV指令 立即数到寄存器 寄存器到寄存器

线程安全问题 每个线程都有自己的栈，而局部变量是存储在栈中的，这就意味着每个线程都有一份自己的“局部变量”，如果线程仅仅使用“局部变量”，那么就不存在线程安全问题。如果多个线程公用一个全局变量呢？ 线程锁

线程控制

学汇编不是为了写代码

加法流程 异或 与运算（判断是否进位） 左移一位（如果进位） 继续异或 继续判断是否进位，如果没有进位，那么结果就是继续异或的结果 减法流程 与加法流程基本一致 乘法流程 乘法本质就是不断地加 除法流程 除法本质就是不断减

线程 线程是附属在进程上的执行实体，是代码的执行流程 一个进程可以包含多个线程，但是一个进程至少要包含一个线程 创建线程

ID与句柄 进程句柄：当前进程私有句柄表中的索引，用于访问对应的内核对象。 进程ID（PID）：操作系统分配给进程的唯一标识符，在整个系统范围内唯一。 线程句柄和TID同理 以挂起的形式创建进程 CreateProcess中的第六个参数creation flag 模块目录和工作目录 GetModuleFileName：…

为什么要学习位运算 有些功能必须通过位运算才能实现：比如写调试器，判断CPU的各种状态位 大公司面试题：比如2x8效率最高的实现方式 位运算 与运算（and &） 两个位都为1，结果才为1 或运算（or |） 两个只要有一个为1就是1 异或运算（xor ^） 不一样的时候是1 非运算（not ~） 0就是1 1就是0…

编码规则 不同文件有不同的编码规则 有符号数的编码规则 原码：最高位为符号位，其余各位为数值本身的绝对值 反码： 正数：反码与原码相同 负数：符号位为1，其余位为原码取反 补码 正数：补码与原码相同 负数：符号位为1，其余位对原码取反加1 总结： 正数：原码存储 负数：补码存储

内核对象 像进程、线程、文件、互斥体、事件等在内核都有一个对应的结构体，这些结构体由内核负责管理。我们管这样的对象叫做内核对象。 管理内核对象 每个进程都有一个句柄表 用户层通过句柄表来操作内核层的结构体 句柄表属于进程（EPROCESS）对象，每个进程拥有自己的句柄表。 多进程可以共享一个内核对象,CreatePro…

无符号数的编码规则 10011010->9A 有符号数的编码规则 10011010->-1A

以上是利用win32创建进程的例子 可以利用GetStartupInfo()函数来做一些反调试