滴水逆向三期：内存地址

复习：
1.32位 16位 8位寄存器
每个容器是有宽度的，宽度决定装多少东西，在计算机世界里有数据宽度
EAX ECX EDX EBX ESP EBP ESI EDI
AX CX DX BX SP BP SI DI
AL CL DL BL AH CH DH BH
2，寄存器结构EAX-AX-AL
他们三个是包含的关系 上个文章有图这些寄存器并不是独立存在的 地位高位 EAX低位的部分AX AX本身就在EAX里 EAX的一半就是AX AX再分成AH AL AH再AX的高位，AL再AX的低位，他们都是EAX的一部分 往下都是这样
例如：
mov eax,0XAAAAAAAA mov ax,0xBBBB mov ah,0xDD mov al,0xEE
F8后就变成了AAAADDEE
3.为什么8位寄存器只能放2个十六进制数
寄存器事8位的 存8个0和1 最大的宽度就是8个0和1 1个16进制数需要4位二进制 所以8位刚好可以存放2个16进制数 16位4位16进制 32位8位16进制
4.内存单元，字节，每个字节有个编号，称为内存地址
32位计算机的寻址宽度是32位，一共有32个情况就是8个0找到8个F 一个8位的就是一个编号，因为内存太多了只能用编号来说，每个编号对应一块内存，每个内存编号对应是一个字节

左边是数据窗口，右边是堆栈窗口
因为我们的任何一个程序总归都是数据来表示的，我们通过数据这个窗口可以更好的去了解内存的编号
内存编号：内存编号之间相差4个字节，一个字节是8位
db 0x12FFDC

为什么后面的数据不一样的，前面不都是内存编号？数据在存储的时候，在反汇编窗口和寄存器窗口，顺序是从高到低
而在数据窗口是从低到高，前面是低后面是高，内存中最小的存储单位是字节，一个16进制数是4位2进制，2个十六进制是1个字节 B6 B3 7C E4
d：查看数据 b：以字节的方式来显示后面数据 dd就相当于dword

0x12FFDC 对应的是位置是E4 ～～～DD 对应是7C往后以此类推

发现宽度不一样所以不允许我们写改一下：

F8后发现变成了0012FFAA（byte对应了一个字节）

word对应了两个字节，而不说一个地址编号对应了一个字节，所以D9收到了牵连

dword4个字节在反汇编窗口数据是从高到低的，在堆栈的窗口顺序是从高到低的，而在数据窗口将会变成78 56 34 12

内存

如果想在计算机里读某块内存和改某块内存最最关键的是什么？
找到内存

这些东西总归就是个编号，比如这个 [ECX+EAX*2]就是ECX的值加上EAX乘2的值，他们两个的结果就是我们要找的那个地址的编号，以后我们看到这个就知道，这个就是个一种地址的编号的表示形式仅此而已
计算机到底可以认识多少种这样的寻址方式，是给个数找还是通过寄存器一共认识几种呢？

MOV EAX,DWORD PTR DS:[0x13FFC4]出来的时候有C4 C5 C6 C7 把内存中的数据放到寄存器里，MOV不可以把内存放到内存里，不能同时为内存单元
MOV DWORD PTR DS:[0x13FFC4],eax把寄存器里的值放到内存里
LEA EAX,DWORD PTR DS:[0X13FFC4] MOV的话就是把C4后面的那几个和C4的值放到EAX中

内存编号 对应的值
写一个MOV EAX,DWORD PTR DS:[0x13FFC4]和LEA EAX,DWORD PTR DS:[0x13FFC4] F8后看到了把7C82F23B就放到了EAX中这个是MOV的命令，而经过LEA的命令后EAX的值变成了前面的内存编号的值，现在可能有个疑问，我们后面都写了0x13FFC4的地址还有放还有什么用？后面会涉及到间接寻址的，这个[]里面的值不是确定的值，他可能随时在变可能是某个寄存器存着的值，如果这个不是固定的值，那么这个LEA就很有用了

基址 MOV EAX,DWORD PTR DS:[ECX]在这里我们并不是把ECX的值读出来，而是把ECX的值看成了一个地址编号，把这个地址编号指向的内存的值读出来
F8:把12FFC4的值放进ECX里 再F8:把ECX就相当于12FFC4 然后把对应的内存读出来
读数据和上面的原理相同
LEA EAX,DWORD PTR DS:[ECX]

执行的时候在EAX存的是ECX的地址编号C4 0012FFC4



先放到ECX中，然后我们读取的是C4+4 C8：都是0这种

LEA取的是编号的值C4+8:CC

mov是找内存把内存里的值拿出来而lea他就是把内存的编号（内存地址）的值取出来

reg：任何一个通用的32位寄存器任何一个都可以[1，2，4，8]是不能变的，因为因特尔的工作室这五种格式超过这五种他解释不了，这就是为什么寻址公示只能用这五种
像第一个就是EAX+8 EAX+ECX*4这就是编号拼起来的结果就是一个编号
如果说结果超过了FFFFFFFF如果变成了9个F 如果一旦超过他只取8个F别的就不要了，这种地址编号一般是通过高级语言编译过来的，编译过来的时候是不可能超过8个F的

同上的原理

—— 2019.9.14 DT

python 查看内存地址很简单,使用内置函数id

下面看下使用

a = 1024
print("a的内存地址为:%s" % id(a))
b = 1024
print("b的内存地址为:%s" % id(b))

打印结果:

 额外补充:

在python 中允许多个变量指向同一个值,例如

a=b=1024 ,这个是允许的, 但是在c++ 中是不存在这种写法的,有意思吧.

目录

一、物理内存vs虚拟内存

二、物理内存空间和虚拟内存空间

三、32bit的地址空间

四、cpu位宽和cpu地址总线宽

五、虚拟内存地址空间划分

六、虚拟地址和物理地址的映射

早期的计算机程序都是直接跑在物理内存上的，这就要求程序大小不能超过物理内存的上限；

现代计算机为提高CPU使用率、并发执行多个程序、隔离程序间内存地址、打破物理内存上限，采用虚拟内存机制来运行程序

一、物理内存vs虚拟内存

物理内存就是实实在在的内存条。

虚拟内存是一个概念，对于一个程序来说，它包含了程序运行时可用的内存空间总和，包括共享的、非共享的、物理内存中的、存在分页中的等等。【虚拟内存映射 = 物理空间 + 硬盘空间 + 未使用的映射】

二、物理内存空间和虚拟内存空间

物理内存大小组成的地址空间就是物理内存空间。就是我们常说的RAM物理内存空间。可以看成一个连续的M个字节大小的数组。每个字节对应唯一的物理地址。

虚拟内存大小组成的地址空间就是虚拟内存空间。和物理内存空间一样，它也有地址空间。

三、32bit的地址空间

32位的操作系统为一个新创建的程序，分配一个4GB（2^32）大小的虚拟内存。这个过程就是创建了一个映射表，并不是真正的分配到物理内存上。

四、cpu位宽和cpu地址总线宽

虚拟内存的大小与实际的RAM没有关系，而是取决于cpu位宽 和 cpu地址总线宽

1、我们平时说的32位的cpu、64位的cpu ，指的就是cpu的位宽，表示的是一次能够处理的数据宽度。即一个时钟周期内cpu能够处理的2进制位数。其取决于寄存器的宽度

2、cpu地址总线宽度决定了直接寻址物理内存空间。如果cpu的地址总线是32位的，也就是它可以寻址 0 - 0xFFFFFFFF (4G)的物理地址。

3、cpu位宽 不等于 cpu地址总线宽度 。 16位的cpu的地址总线宽可以是20位

4、cpu访问任何存储单元必须知道其物理地址，所以在一定程序上，cpu总线宽影响了最大支持的RAM大小

五、虚拟内存地址空间划分

预留空间：从0x00000000到0x08048000的这段空间是预留的，是不能访问的，例如对空指针进行访问程序就会崩溃

只读段：程序运行时产生的指令放在此分段。同时这一段也保存了只读数据

.data读写段：存放初始化了且初始化值不为0的数据

.bss读写段：存放了未初始化 或 初始化值为0的数据

运行时堆：这段时间是不存在的，只有当程序运行起来后，new 或者 malloc之后才会分配内存，由低地址向搞地质增长

加载共享库：动态链接库，windows下是*.dll，Linux下是 *.so

stack : 函数或者线程都有独立的栈空间，由高地址向低地址增长

命令行参数和环境变量，命令行参数如main函数传参，环境变量如搜索头文件、库文件时默认的路径

六、虚拟地址和物理地址的映射

一个程序想要运行，必须运行在真实的物理内存之上，所以必须在虚拟内存地址和物理内存地址之间建立一种映射关系。

这种映射关系是由操作系统建立的，当程序访问虚拟地址的一个地址时，实际上是通过映射关系访问了真实内存的另外一个地址值。

这种映射机制需要硬件的支持——cpu中的内存管理单元（Memory Management Unit ， MMU）利用存放在物理内存中的映射表动态翻译，这就是cpu虚拟寻址。

当程序试图访问地址空间的一个地址位置时，我们通过以下的假代码表示以下：

if(数据在物理内存中) { 虚拟地址转换成物理地址 读数据 } else { if(数据在磁盘中) { if(物理内存还有空闲) { 把数据从磁盘中读到物理内存 虚拟地址转换成物理地址 读数据 } else { 把物理内存中某页的数据存入磁盘 把要读的数据从磁盘读到该页的物理内存中 虚拟地址转换成物理地址 读数据 } } else { 报错 } }