汇编基础入门知识

1、汇编基础入门知识 最近想初步了解一下汇编的内容，在网上搜了搜，发现一篇写得很不错的文章，特地转过来留存。写得浅显易懂，而且加入了很多个人的见解，比书上写的好懂多了。比较钦佩作者，可惜找了半天没有找到这篇文章的原作者是谁。转载地址： 学习汇编前你应该知道的知识 1、汇编需要什么工具和程序，到哪里下载？ 目前阶段，汇编程序仅需要两个程序就够了。masm.exe,link.exe。 前者是编译程序，后者是链接程序。另外，为了验证和调试程序，还需要一个程序debug.exe，该程序由windows本身就提供。 将二者下载后，放到某一个目录中(任意目录都可以)，考虑到很多命令需要通过键盘敲入，所以建议你

2、不要把文件放入到长文件名目录、中文目录或很深的目录中。比如你可以建一个“d:masm”目录，并建议此后的程序都放这个目录，此后称这个目录为汇编目录。 2、学习汇编需要有哪些编程方面的知识？ 没有任何编程方面的知识，学习此语言等于缘木求鱼，所以请放弃学习的想法。一般来说至少要知道如下几点： *）程序的运行逻辑结构有顺序(按语句依次执行)、分支结构(if.then.else.)，循环结构(for.next)三种结构。 *）知道什么是子程序，什么是调用。 *）汇编程序员的视角。不同编程视角编程要求是不一样的。比如删除文件： 用户的视角是找到“删除”按钮或菜单，然后单击一下即可。 高级程序员的视角是知

3、道删除的文件，并发出删除命令。这些通过api实现。 汇编程员的视角是得到要删除的文件名，找到该文件所在位置，通过调用删除“中断命令”进行删除。 操作系统开发人员的视角则是接到删除命令后，先找到系统根目录区，由根目录区的链接依次找到子目录区，直到找到要删除的文件，然后按照操作系统删除文件的规则对该文件名进行修改。比如dos，只把第一个字符改成?。 按程序语句等价的角度看，一行vb的打印语句，用汇编实现大约需要一百二十多行。知道汇编语言的视角后就要知道，前面的道路是坎坷的，没有耐心是不行的。想通过几分钟几行程序就完成很复杂的操作不是件容易的事。 3、学汇编有什么用？ 汇编产生于dos时代或更早，而

4、现在是windows时代，所以可能 遗憾地说：尽管还有批牛人在用汇编开发核心级程序，但我们几乎没什么用，除了必要时间能拿来分析一两个程序的部分代码之外，别的也就没干什么用了。并且并不是所有的汇编命令都能在windows下使用。而泛泛地追求“时髦”而学本语言，最后的结果是损了夫人又折兵。所以学之前你要考虑好。我劝那些为了当“黑客”而学汇编的人就此止步。第零讲 预备知识 1、一个汇编程序的编译过程是怎么样的？ 1）首先你需要找一个编辑器，编辑器用任何“纯文本”编辑器都可以。比如记事本。编好以后保存到汇编目录中。扩展名为asm，比如myfirst.asm。但这里建议你找一个能显示出当前行的编译器。这

5、样出错后排错很容易。 2）然后在dos下进入d:masm目录中，输入“masm myfirst.asm，如果有错系统会提示出错的行位置和出错原因。 3）然后再输入“link myfirst.obj”，即可看到当前目录下有一个myfirst.exe程序。 2、宏汇编和汇编有什么区别吗？ 二者的区别在于前者提供宏，后者不提供。后者已找不到了，所以你可以认为二者没有区别。 3、机器语言、汇编语言、高级语言的关系 最早的计算机采用机器语言，这种语言直接用二进制数表示，通过直接输入二进制数，插拔电路板等实现，这种“编程”很容易出错，每个命令都是通过查命令表实现，既然是通过“查表”实现的，那当然也可以让计

6、算机来代替人查表实现了。于是就产生了汇编语言，所以不管别人怎么定义机、汇语言，我就认为，二者是等价。后来人们发现，用汇编语言编某一功能的时候，连续一段代码都是相同或相似，于是就考虑用一句语言来代替这一段汇编语言，于是就产生了高级语言。因此，所有高级语言都能转化成汇编语言，而所以汇编语言又可转化成机器语言。反之，所有机器语言可以转成汇编语言（因为二者等价）。但并不是所以汇编语言都能转成高级语言。 4、计算机的组成 通常都把计算机定义成五部分：运算器、控制器、存储器、输入系统、输出系统。 为了简单起见，我们如此理解：运算器+控制器=cpu。存储器=内存（暂不包括外存，也不包括cache）。输入系统

7、=键盘（不包括鼠标），输出系统=显示器（不包括打印机，绘图仪）。 5、寄存器和内存的区别 寄存器在cpu中。内存在内存条中。前者的速度比后者快100倍左右。后面的程序要求每条指定要么没有内存数据，要么在有一个寄存器的参与下有一个内存数据。（也就是说，不存在只访问内存的指令）。 6、汇编语言的计数 与生活中的计数不一样，汇编中的计数是从0开始的。比如16个计数，则是从015，而不是生活中的116。这一点看起来简单，真运算起来就不是件容易的事了，不信等着瞧。 7、进制问题 又与生活中不一样的地方是进制。切记下面的常识： *）计算机内部存储都用二进制。 *）我们的汇编源程序默认都用十进制。（除非你指

8、明类型） *）我们用的调试程序debug默认的都是十六进制。（无法指明其他类型） 其中十六进制的十六个个位数依次是：0,1,2,3,4,5,6,7,8,9,a,b,c,d,e,f。 8、进制转换 一个比较简单的方法是查表法。 十进制十六进制二进制 0 0 0000 1 1 0001 2 2 0010 3 3 0011 4 4 0100 5 5 0101 6 6 0110 7 7 0111 8 8 1000 9 9 1001 10a 1010 11b 1011 12c 1100 13d 1101 14e 1110 15f 1111 好了，结合6，7，8三条。大家来算一个“题”。某一组数据显示时，

9、每个数据占了四个位置，每行共十六个。问：十六进制的13位置在哪里（第几行，第几列）。 格式如下：m m m m n n n n o o o o p p p p 注：之所以没用abc是怕与上面十六进制弄混。 r r r r s s s s t t t t u u u u第一讲 基础知识 1、访问内存 程序在内存中，访问内存是几乎每一程序都要进行的操作，计算机对内存编址是线性的，也就是说是一维的，比如256m的内存，地址就应该是从0(256m-1)，这个地址称为物理地址或绝对地址。 1.1 地址表示 但从汇编程序员的角度看，内存却是二维的，要说明一个地址，需要给出两个值，就象你在平面上指定一点需要

10、说出（x，y）坐标一样，汇编程序员的内存视角也需要两个“坐标”，前一个称为段地址(segment)，后一个称为偏移地址(offset)，该地址称为逻辑地址。 比如“1234:3df5”就是一个地址。“1f3f:”不是一个地址，因为他只有段地址，没有偏移地址。注意此后的地址都用十六进制表示。 1.2 地址计算 前面提到，计算机编址是一维的，汇编程序员是二维的，那么二者怎么换算呢？由后者到前者的换算方法是，“段地址串”后面加个“0”，然后再加上偏移地址。 比如“1234:3df5”（十六进制的加减运算参见相关资料） 12340 -串后加了一个0 3df5 - 16135-注意此串仍然是十六进制。

11、所以，汇编程序员眼中的地址“1234:3df5”就是物理地址(计算机编址)：16135。 知道了由后者向前者的转换，那么由前者向后者的转换呢？ “不知道”，为什么不知道，继续往下看。 1.3 到底哪个地址对 知道了1.2的地址算法后，我又发现一个问题： “1000:6135”的物理地址是多少呢？ 10000+6135=16135。 “1001:6125”的物理地址呢？ 10010+6125=16135。 . 那么到底哪个对呢？问题的回答是这样的：假设我现在让你按一下“l”键，我可以告诉你如下几种方法中的一种或几种。1 请按一下“l”键； 2请按一下键盘上第四行第十个键；3 请按一下第十列中的第

12、四个键；4 请按一下“k”右边的键；5 按标准指法单击一下右手无名指。 举上面的例子也就是说，同一个地址有很多种表示方式，具体用哪一种，要看实际使用时的情况。但无论用哪种方式，只要能达到目的即可。（实际中该问题一般不会受此问题困扰，但初学时突然想不通）。 1.4 有多少内存可以访问 无论是段地址还是偏移地址都是四位十六进制(如果不够四位，前面补0)。也就是说：总共可以访问的地址说是：0000:0000ffff:ffff。 总共ffff0+ffff+1=10fff0个地址。也就是不到1m的空间。 记住如下结论： *) 不管你实际内存有多少，目前我们只能访问不到1m的空间。 *) 而实际上连这1m

13、也用不完。其中上端的384k的址只能读不能写，只能读，一般称为rom。 *) 低端的640k可以读写。但这640k的低端100多k也不能随便写，因此dos系统使用该区。 *) 原来1024m的内存，汇编程序只能使用其中400多k。这段内存的容易相当于一个普通文档的大小。不过这就足够了。 2、debug的使用 先记住以下两个命令：d命令和q命令。前者是显示内存内容，后者是退出debug命令。 -以下为抄别的人内容- debug.exe程序是专门为分析、研制和开发汇编语言程序而设计的一种调试工具，具有跟踪程序执行、观察中间运行结果、显示和修改寄存器或存储单元内容等多种功能。它能使程序设计人员或用户

14、触及到机器内部，因此可以说它是80x86cpu的心灵窗口，也是我们学习汇编语言必须掌握的调试工具。 1) debug程序使用 在dos提示符下键入命令： cdebug 盘符：路径文件名.exe参数1参数2 这时屏幕上出现debug的提示符“-”，表示系统在debug管理之下，此时可以用debug进行程序调试。若所有选项省略，仅把debug装入内存，可对当前内存中的内容进行调试，或者再用n和l命令，从指定盘上装入要调试的程序；若命令行中有文件名，则dos把debug程序调入内存后，再由debug将指定的文件名装入内存。 2) debug的常用命令 (1)退出命令 q 格式：q 功能：退出debu

15、g，返回到操作系统。(2)显示存储单元命令 d 格式1：d起始地址 格式2：d起始地址结束地址|字节数 功能：格式1从起始地址开始按十六进制显示80h个单元的内容，每行16个单元，共8行，每行右边显示16个单元的ascii码，不可显示的ascii码则显示“.”。格式2显示指定范围内存储单元的内容，其他显示方式与格式1一样。如果缺省起始地址或地址范围，则从当前的地址开始按格式1显示。 例如：-d 200-表示从ds:0200h开始显示128个单元内容-d 100 120-表示显示ds:0100-ds:0120单元的内容 说明：在debug中，地址表示方式有如下形式： 段寄存器名:相对地址，如：d

16、s:100 段基值:偏移地址(相对地址)，如：23a0:1500 -小抄结束- 3、验证第一节里的内容 运行“开始/程序/附件/ms-dos命令提示符”（这是win2000,win98下自己找吧） 在“-”下输入d，显示-d1398:0100 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0110 00 00 00 00 00 00 00 00-00 00 00 00 34 00 87 13 .4.1398:0120 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0130

17、 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0140 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0150 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0160 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1398:0170 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .- 我们记下：1398：01

18、1c的值是个34。1389：011c的物理地址应该是：13a9c。 那么1000:3a9c的物理地址也应该是13a9c，他的内存也应该是34，（因为本来就是一个地址吗，就象第三行第十列和第十列第三行当然应该是同一个位置）。-d 1000:3a9c1000:3a90 34 00 87 13 4.1000:3aa0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3ab0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3ac0 00 00 00 00 00 00 00 00-0

19、0 00 00 00 00 00 00 00 .1000:3ad0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3ae0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3af0 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3b00 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .1000:3b10 00 00 00 00 00 00 00 00-00 00

20、00 00 .- 果然如此，同样你可以验证：13a9：000c也肯定是指这一个地址，不信试试。4、debug命令 -继续小抄- 前面已学过：显示存储单元命令 d 再学一个命令(1)修改存储单元命令 e 格式1：e起始地址 内容表 格式2：e地址 功能：格式1按内容表的内容修改从起始地址开始的多个存储单元内容，即用内容表指定的内容来代替存储单元当前内容。 例如：-e ds:0100 var 12 34 表示从ds:0100 为起始单元的连续五个字节单元内容依次被修改为 v、a、r、12h、34h。 格式2是逐个修改指定地址单元的当前内容。 如：-e ds:0010 156f:0010 41.5f

21、 其中156f:0010单元原来的值是41h，5fh为输入的修改值。若只修改一个单元的内容，这时按回车键即可；若还想继续修改下一个单元内容，此时应按空格键，就显示下一个单元的内容，需修改就键入新的内容，不修改再按空格跳过，如此重复直到修改完毕，按回车键返回debug“-”提示符。如果在修改过程中，将空格键换成按“-”键，则表示可以修改前一个单元的内容。 -小抄结束- 5、使用dos时，汇编用户可以从dos操作系统中得到什么？ 现在编程，通常很多功能都是通过调用系统api。很多高级语言都直接把这些api包装起来，以系统接口或函数的方式提供给用户，那么汇编函数都能得到什么呢？ 首先，汇编用户有很多

22、东西可以调用。他们主要是： 5.1 bios提供的接口。现在硬件与软件的区分已越来越不明显，很多硬件不仅仅是电路，而还要提供一些固化写入硬件的一部分“程序”，这些程序以rom的方式出现，汇编用户最大的好处就是可以直接使用这些“程序”，这些使用不仅功能强大，而且效率非常高。 5.2 dos功能调用，作为操作系统也象bios一样向用户提供了相应的“程序”。这些程序在很大程序上扩充了bios。与bios不同的是，这部分程序放在内存中，它可以被修改。而bios中不能再修改。 = 以上两种接口都通过一种相同的格式调用，这些程序统称为“中断”，现在先不要理解中断的本意，你现在可以认为是系统提供给你的函数。

23、 = 5.3 系统共享数据区。编过程序的人都知道全局变量的好处，全局变量方便之外在于任何函数、过程都可以调用、读取、修改。全局变量不足之处是危险性，有一个过程改了这个变量值，其它的也得跟着改变了。dos操作系统同样也提供了这样的共享数据区，该区是整个系统的共享区，任何程序都可以查找、修改。当然，修改某处必然会对其它程序造成影响。 6、再谈中断 前面5.2已提到中断了，现在问题是不同硬件不一样，即使相同硬件的rom，不同版本，各个bios中断程序所处的位置也不一样。dos中断也一样，不同版本、不同配置，在内存位置也不一样。那么你使用某一个中断，系统怎么知道你使用的那个中断程序在哪呢？ 为了解决这

24、一问题，dos会在启动的时候，把所有这些(bios和dos)中断的首地址保存到一个地址。这个地址很容易记，这段地址是内存的绝对零地址(0000:0000)。前面已讲过，每个地址在汇编程序员角度来看是二维的，也就是分为段地址和偏移地址。每个地址各占两个字节，所以要表示这个二维地址需要4个字节。所以每个中断首地址由4个字节表示。一共256个中断，占用了1024个字节的位置。 另外需要注意的是，这4个表示地址的字节，数据是由低向高的。比如12 34 56 78所表示的地址是：7856:3412。 一般用int m表示中断m，如果m是十六进制，则在后面加上一个h。比如19号中断，十六进制应该是13h。

25、所以该中断就是int 13h。 7、再谈系统共享数据区 该共享数据区在绝对地址：0040:0000开始。 8、验证我上面说的内容 8.1 找中断 运行debug后。输入d 0000:0000。显示绝对零地址的内容。c:debug-d 0:00000:0000 68 10 a7 00 8b 01 70 00-16 00 9b 03 8b 01 70 00 h.p.p.0000:0010 8b 01 70 00 b9 06 0e 02-40 07 0e 02 ff 03 0e 02 .p.0000:0020 46 07 0e 02 0a 04 0e 02-3a 00 9b 03 54 00 9b

26、03 f.:.t.0000:0030 6e 00 9b 03 88 00 9b 03-a2 00 9b 03 ff 03 0e 02 n.0000:0040 a9 08 0e 02 99 09 0e 02-9f 09 0e 02 5d 04 0e 02 .0000:0050 a5 09 0e 02 0d 02 dc 02-b8 09 0e 02 8b 05 0e 02 .0000:0060 02 0c 0e 02 08 0c 0e 02-13 0c 0e 02 ad 06 0e 02 .0000:0070 ad 06 0e 02 a4 f0 00 f0-37 05 0e 02 71 84 00

27、 c0 .7.q.-u 0070:018b0070:018b 1e push ds0070:018c 50 push ax0070:018d b84000 movax,00400070:0190 8ed8 movds,ax0070:0192 f70614030024 test word ptr 0314,24000070:0198 754f jnz01e90070:019a 55 push bp0070:019b 8bec movbp,sp0070:019d 8b460a movax,bp+0a0070:01a0 5d popbp0070:01a1 a90001 test ax,0100007

28、0:01a4 7543 jnz01e90070:01a6 a90002 test ax,02000070:01a9 7422 jz 01cd 首先，d命令把中断首地址显示出来。每4个表示一个地址。其中int 0的中断首地址为：00a7:1068，int 1的中断地址为：0070:018b.0070:018b是中断3的首地址。后面那个u命令就表示显示该地址的“中断程序”的内存。 你们可以试着找找int 13h的位置在哪。 8.2 验证系统共享数据区 系统共享数据区内容极为丰富，我实在记不住哪么多了。我曾记在一个本上，可惜那个本早在n年前（3ndebug-d 40:00040:0000 f8 03

29、 f8 02 e8 03 e8 02-bc 03 78 03 78 02 80 9f .x.x.0040:0010 22 c8 00 80 02 28 00 00-00 00 2a 00 2a 00 20 39 .(.*.*. 90040:0020 34 05 30 0b 3a 27 30 0b-0d 1c 64 20 20 39 34 05 4.0.:0.d 94.0040:0030 30 0b 3a 27 30 0b 0d 1c-71 10 0d 1c 64 20 00 00 0.:0.q.d .0040:0040 a2 00 c3 00 a2 af 09 e1-c8 03 50 00 0

30、0 10 00 00 .p.0040:0050 00 18 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .0040:0060 0f 0c 00 d4 03 29 30 7f-03 00 c0 00 a1 b7 11 00 .)0.0040:0070 00 00 00 00 00 00 00 00-14 14 14 00 01 01 01 01 .-d 0040:00000040:0000 f8 03 f8 02 e8 03 e8 02-bc 03 78 03 78 02 80 9f .x.x.0040:0010 22 c8 00 80 02 28 00

31、00-00 00 2a 00 2a 00 3a 27 .(.*.*.:0040:0020 30 0b 30 0b 30 0b 30 0b-0d 1c 64 20 20 39 30 0b .d 90.0040:0030 30 0b 30 0b 30 0b 08 0e-08 0e 34 05 30 0b 00 00 .0.0040:0040 1f 00 c3 00 a2 af 09 e1-c8 03 50 00 00 10 00 00 .p.0040:0050 00 18 00 00 00 00 00 00-00 00 00 00 00 00 00 00 .0040:0

32、060 0f 0c 00 d4 03 29 30 7f-03 00 c0 00 24 b8 11 00 .)0.$.0040:0070 00 00 00 00 00 00 00 00-14 14 14 00 01 01 01 01 .- 既然是键盘缓冲区，每个输入的键都会显示在该区中，第一次我只输入了“d 40:0”，所以你可以在此后显示数据右边字符中找到这些字符，注意是间隔开的。 第二次我输入“d 0040:0000”，则右边显示的是“d 0040:0000”的内容。你可以找找。 第二讲 内存映象 之所以把这个内存单独放一章，是为了说明它的重要性，后面的几乎很多程序都需要你对这一章的理解。这

33、里的内存映象就是指当你把一个可执行文件(exe或com文件)放到内存后，整个内存“看”起来是什么样子的。 前面讲过，这里汇编程序只能访问1m的内存空间，所以下面就以1m内存为例。并且以dos操作系统作为讲解对象，所以所编出来的程序也仅是dos程序。事实上，通过winasm可以访问远远超过1m的空间，并且可以编出for windows的程序。但那是另外的话题。我们暂且不说那些。 2.1内存映象 首先，这1m内存如果我们不再以二维的方式看，而是一维的，线性地看（二维和一维的转化方式参见前面章节）。但描述还是以二维的方式描述，从最底端到最高端依次是： 1) 中断向量区：该区由0000:0000000

34、0:03ff。这里存着系统的所有中断的中断向量表。对于中断向量表，你现在先理解为一些程序的首地址。由这个地址你就能找到该程序。 2) 系统数据区：该区由0040:00000040:xxxx (不好意思，忘了)，这里存着整个系统中，dos操作系统要用的数据，由于这个区的数据对用户是开放的，所以用户当然也可以从这里读出来用。 3) dos操作系统区：操作系统常驻内存，你向计算机发的每个命令其实都是操作系统执行的。这个区的大小主要是由操作系统的版本和用户的配置大小决定，如果是驱动程序配置，就放到根目录下的config.sys里，如果是程序，就放到autoexec.bat里。这里设置在现在的windo

35、ws 95/98/nt/me/2000/xp/2003中仍然有，所以我就不多说了。 4) 用户程序：这个当然就是你执行的程序了，这种程序分两种，一种是扩展名为com文件，一种是exe文件。从程序内部看，前者程序的四个段重合(后面要讲这四个段)，所以最大长度只等于一个段，用前面段地址的理解就是com文件最大只能是64k，所以com文件只适合小的程序。而exe，四个段可任何分配，并可扩充段，而且每个段的段地址可以任何改动，因此exe的访问内存能力大多了。这种格式访问能力只受地址结构的限制了。 用户程序所占的内存大小完全由程序本身决定，但最大，只能到640k。这一点，怪不得别人，只能怪当前计算机软硬

36、件设置高手高手高高手们(包括比尔盖茨)们的失误了，60年代的超级计算机只有36k的内存，所以他们就在80年代得到一个结论：640k的内存足够了。 如果用户程序大于由操作系统所占内存的顶底到640k之间的内存量，就会显示：内存不够，因而程序不能执行。这种现象对于一开始就用windows的人来说，几乎没见过，但对于一开始用dos并打汉字的人来说，再正常不过。如果小于这段内存，多余部分就空着。 5) 从640k到1m-64k，这段内存就很难说清了。这段内存中有一部分被硬件占有，有一部分是显示缓冲区点有，还有一部分是系统rom占有。 6) 从1m-64k到1m之间的这段64k的内存叫作hma。这段内存

37、是小孩没娘，说来话长，我们先不说他。 2.2 验证上面的理论 2.2.1 中断向量表 中断向量表就是所有中断向量首地址表，这里保存着每个中断程序的首地址，几乎所有的汇编书都把中断放到后面的章节中，并且对中断的解释也仅从字面意思解释，所以导致大学对中断的不重要和误解。没耐心的没到这个章节就不学汇编了，有耐心的到这里才豁然开朗。我现在不讲中断的原意。我直接告诉你，你把中断当成api也许更合适。也就是说，别人把很多已作好的功能放到了内存中。并且把调用这一功能的号告诉了你，你只要调用这些功能号，系统就自动从这个中断向量表中找到对应的中断，然后执行你的功能。 首先让你感受一下中断的魅力一下吧。比如中断2

38、1h的2a功能调用是读取系统的日期，这个调用的规则是，调用前ah寄存器置为2a。调用后年在cx中，月在dh中，dl在日中，星期在al中。-a139d:0100 mov ah,2a139d:0102 int 21139d:0104 int 3139d:0105-g=100 ax=2a05 bx=0000 cx=07d4 dx=0c18 sp=ffee bp=0000 si=0000 di=0000ds=139d es=139d ss=139d cs=139d ip=0104 nv up ei pl nz na po nc139d:0104 cc int 3- 可能上面的程序你目前还看不懂。不过没

39、关系，“mov ah,2a”表示调用功能号是2a的api。“int 21”表示调用十六进制21号中断，“int 3”表示3号中断，表示程序运行到这一句时停一下。“g=100”表示从“139d:0100 ”开始执行。 ax=2a05 bx=0000 cx=07d4 dx=0c18 sp=ffee bp=0000 si=0000 di=0000 ds=139d es=139d ss=139d cs=139d ip=0104 nv up ei pl nz na po nc 表示执行的结果。其中cx是年，这个年是由cx中存。07d4十进制就是2004年。dh+dl=dx，所以dh=0c，dl=18。二

40、者转化为十进制就是dh=12,dl=24，也就是今天了。ax=ah+al=2a05，所以al=05。那就是今天是星期五。 上面可能你们现在还看不懂，不过通过解说你应该可以知道，仅仅两行命令，就读到了现在的值。现在需要作的就是把这些值提取出来用作他用了。 从中断的作来与中断向量表又有什么关系呢？原来你在汇编里运行int 21时，系统就在上面的中断向量表中找到int 21的中断地址，该中断的地址应该位于： 0000:00840000:0087，具体算法前面已说明了。-d 0000:0084 00870000:0080 7c 10 a7 00 |.- 找到内容是：00a7:107c。然后系统就转到这

41、个地址执行int 21。 2.2.2 系统数据区 前面都已说明过。不再多说。系统区，很多dos中断程序实现部分就在这个区。程序运行区依不同的程序而不用。 2.2.3 640k1m之间 这期间有些地方是rom，有些地方是硬件的bios区。我仅以两个例子说明这一区。 rom区 ：rom区就是只读内存，也就是说这个区的数据只能读不能写。比如f000:0000开始的内存是rom。我们来写一下，然后再看看效果。 -d f000:0000 0005-显示由f000:0000到f000:0005的六个字节值f000:0000 04 e8 a2 ff f9 c3 .-e f000:0000-修改命令f000:

42、0000 04.00 e8.00 a2.00 ff.00 f9.00 c3.00 -注意，.后面的是我改的，把这几个值都改成0了。 -d f000:0000 0005 -再次显示这个区的数据。f000:0000 04 e8 a2 ff f9 c3 .- 通过上面测试，发现该区数据仍然未改变。但你要是试别的ram区的，肯定会变。如果想试你自己试试吧。 显示缓冲区 ：在文本方式下，b800:0000开始的地址保存着屏幕上每个字符位置的值。在文本方式下，屏幕被分为8025。每个位置有两个值，一个值是ascii字符，一个值是该ascii的属性值(主要是颜色)。所以一个屏幕共有80252=400个字符。

43、 我们来改：-d b800:0000 0010 -显示屏幕缓冲区的内容，注意此时本行最左边的“-”是屏幕左上角。b800:0000 2d 07 64 07 20 07 62 07-38 07 30 07 30 07 3a 07 -.d. .b.8.0.0.:.b800:0010 30 0- 看上面的命令，屏幕最上边一行是“-d b800:0000 0010”，所以他的内容就是“2d 07 64 07 20 07 62 07-38 07 30 07 30 07 3a 07”其中，2d是“-”的ascii值，07是“-”的属性值。64是“d”的ascii值，07是“d”的属性值。 现在修改这些值。

44、我把左上角的字改成黄颜色的“-”，那当然是改b800:0001的属性值了。-e b800:0001 0e 是不是左上角的颜色变成黄色了吗？ 好了，把第二个字符变成绿色的“-”吧？-e b800:0002 2d 0b 变了吗？ 2.3 可执行文件内存映象 dos下可执行文件有两种(bat是批处理文件，他只是简单调用dos内部命令或其它程序，所以此处不认为它是可执行文件)：一种是com文件，一种是exe文件，前面提到，com文件一般小于64k。exe文件则可以任意大。为什么呢？ 说到这里，还要提到段。每个段64k。段的作用就是数据组织单位。段的类型有三种：代码段(code segment，简称cs

45、)、数据段(data segment，简称ds)、栈段(stack segment，简称ss)，另外还有一个附加数据段(extra segment，简称es)，它的用与数据段ds可以认为完全一样，当数据段的64k不够用，或你就需要把数据放到两个段中以便移动、复制、比较时，才用到附加数据段es。(当然，移动、复制、比较操作在一个段中也可以完成)。 1.段的作用 1.1 代码段(cs)：程序装入内存中，dos怎么知道是从哪里执行呢？答案就是系统自动从代码段指定位置开始执行，并且始终在代码段中执行。因此代码段cs的作用就是保存所有的指令。这里所说的代码也就是汇编指令了。所以编写汇编程序也就主要是编写

46、代码段中的代码。 1.2 数据段(ds)、附加段(es)：顾名思义，数据段中存的就是数据，这些数据供代码段的程序调用。附加段就是附加数据段。作用与数据段相同。 1.3 栈段(ss)：这个段非常重要，但实际上，你在使用中，似乎用不着这个段，但实际上，这是黑客编程中最重要的一部分，而且系统会不停地“偷偷地”使用这个段，正是这个偷偷地用，使得系统的很多动作被记录到这个段中。还有两点，你必须记住：一是如果你使用了这个栈，比如你把数据存到这个栈中，则必须有相应的出栈命令，并且入几个数据，就得出几个数据，多一个或少一个，你的程序就可能导致死机或异常；二是你要把握操作时机，比如你不能在系统使用栈的前后使用栈

47、，比如你在调用子程序之前入栈，而在子程序中出栈，而在系统调用子程序时，系统也要使用栈，这种也将导致出错。 栈就是一种先入后出(也有称为后入先出)的结构，有地址由小到大的增加栈，有地址由大到小的逆向减栈。 2.段重叠 从上面，我们可以看到，cs,ds,ss三者作用各不相同，内存就是象录音磁带，录新歌，则旧歌被删，带子上存的始终是最后录的那段音乐。因此，如果重叠则必然相互冲突。那还能重叠吗？ 这里所说的重叠不是指内容重叠，而是指概念上的重叠，即数据相互放到一个段中，但相互可以区分开。比如某一段既有数据也有代码，则代码在每要执行到数据之前加一个跳转指令跳过这段代码。这个跳转指令要求用户在编程的时候加

48、上。 而栈段呢？栈段有自己的特殊性，特殊就在于系统也会自动地使用，而用户则又在不知道系统在使用的情况下使用。避免这种冲突的方法就是采用逆向的栈段。 3 .com文件内存映象 com文件被读到内存中后，该文件的前100h个字节被操作系统使用，操作系统使用这256个字节保存一些系统要使用的数据，汇编语言编程者不能在这里存自己的数据，但在知道这此数据的作用后可以使用其中的数据。从100h开始，就是程序的开始了。com文件之所以最大只能有64k，其原因是com文件的四个段是相互重叠的。也就是说，cs、ds、ss、es四个段的地址都指向这个com文件的100h处。程序代码、数据、栈都在由100h到64k的区域内。如何把三者分开呢？栈段采用逆向栈，这个栈由64k开始，随着数据入栈，则地址就减小。