关于《软件调试》P82页汇编指令错位的疑问

《软件调试》答疑

关于《软件调试》P82页汇编指令错位的疑问

liuxmzc 2009-03-07, 23:16 下午
张老师：我在阅读《软件调试》P82页汇编指令错位遇到疑问：
书中说“由于EIP指向错位了，所以当前的指令变成了一个ADD命令，它引用的地址是fff48b9d，这是指向内核空间的一个地址，是不允许用户代码直接访问的，这正是继续执行会产生访问违例的原因。”

通过您说的“访问违例的原因”是访问内核空间。
我知道fff48b9d这个地址是eax-0b7470h而得到的。那有没有这样的可能："eax-0b7470h"得到的是用户空间的地址？还有既然是错位有没有错位成其他汇编指令的可能？而这种“错位”有没有汇编组合成访问用户空间的指令的可能？
这些异常给我们的感觉似乎是100%的命中，却一口否定了我的“可能”

期待回答！

Re: 关于《软件调试》P82页汇编指令错位的疑问

格蠹老雷 2009-03-08, 12:36 下午
你读的很仔细。是的，正如你在另一个帖子里所提到的，有读者认真读书中的内容时，作者的确很高兴。
指令错位后的后果是千差万别的，与错位指令附近的内存内容密切相关，对于书中的例子，EIP指向的指令“变成了”加法指令，而且引用了内核态的地址，所以就访问违例了。当然在其它情况下，有可能因为错位而形成其它局面，比如错位后的指令还是有效的访问用户态空间的指令，可以顺利执行，但是那样的后果更严重，可能运行到其它位置才执行不下去，也就是看起来“见鬼了”的情况。
但是错位后还恰巧形成一系列有效指令的概率比较低。“见鬼”的情况毕竟少数。
不太理解你的“一口否定了我的‘可能’”这句话，书中没有否定其它可能情况呀？

Re: 关于《软件调试》P82页汇编指令错位的疑问

liuxmzc 2009-03-08, 13:51 下午
谢谢张老师的回答！
我解释以下：这些异常给我的感觉似乎是100%的命中，却一口否定了我的“可能”
这句话不是说书中否定其它情况的可能，而想说的是Windows对这些异常的总是能很正常地处理，好像我提到的“可能”却变成了不可能。

有这样的想法是因为我怀疑Windows对这种“指令错位后的组合”有一种特殊的处理，毕竟这种“概率”也包含了安全隐患。

造成您的误解，请谅解。