c++ - 使用英特尔PIN修改寄存器

Question

我想破坏所有的加载指令-本质上，我想查找所有的加载指令，并且在加载完成后，我想修改存储从内存中读取的值的寄存器中的值。
为此，我会检查所有指令，并在找到加载时插入对某个函数的调用，该调用将在加载后破坏写寄存器。我使用PIN_REGISTER*传入需要修改的寄存器(即包含从内存加载的数据的寄存器)。
假设我知道已加载的数据类型(即int，float等)，我可以根据数据类型(See this)访问PIN_REGISTER联合。但是，正如您在链接中看到的那样，PIN_REGISTER存储了一组值-即，它不存储一个带符号的int而是MAX_DWORDS_PER_PIN_REG带符号的int。
从内存加载的值是否总是存储在索引0中？例如，如果我从内存中将32位有符号的int加载到寄存器中，是否可以始终假定它会存储在s_dword[0]中？例如，如果我写8位AH/BH/CH/DH registers怎么办？由于这些对应于32位寄存器的“中间”位，因此我假设数据将不在数组的索引0处吗？
对我来说，找出加载数据存储在数组中哪个索引的最简单方法是什么？

Answer 1

If for instance, I load a 32 bit signed int from memory into a register, can I always assume that it would be stored at s_dword[0]?

是。
如果您处于长模式并具有例如RAX寄存器，则有两个DWORD:较低的低有效32位( s_dword中的索引0)和较高的最高有效32位( s_dword中的索引1)。

What if for instance I write to the 8 bit AH/BH/CH/DH registers? Since these correspond to "middle" bits of 32 bit registers, I assume the data would not be at index 0 in the array?

注意: AH是 rAX[8:16](rAX是RAX或EAX)，不是真正的“中间”。
这实际上取决于您要访问的工会成员。如果我们保留 s_dword成员(或 dword)，则 AH仍位于32或64位寄存器的“最低” DWORD(索引0)中。同时位于最低WORD(16位数量)的高位(最高有效8位)中。

// DWORD (32-bit quantity)
auto ah = pinreg->dword[0] >> 8;
auto al = pinreg->dword[0] & 0xff;

// still the same for word (16-bit quantity)
auto ah = pinreg->word[0] >> 8;
auto al = pinreg->word[0] & 0xff;

// not the same for byte (8-bit quantity)
auto ah = pinreg->byte[1];
auto al = pinreg->byte[0];

What's the easiest way for me to figure out which index in the array the loaded data is stored at?

很难说，对我来说，知道它在哪个索引上似乎很自然。只要您知道联合会中各种面额的大小，就非常简单:

byte:8位

word:16位

dword:32位

qword:64位

这是一张具有不同尺寸的原始图纸:

+---+---+---+---+---+---+---+---+
| 7 | 6 | 5 | 4 | 3 | 2 | 1 | 0 |  byte
+---+---+---+---+---+---+---+---+

+-------+-------+-------+-------+
|    3  |   2   |   1   |   0   |  word
+-------+-------+-------+-------+

+---------------+---------------+
|       1       |       0       | dword
+---------------+---------------+        

+-------------------------------+
|               0               | qword
+-------------------------------+
^                               ^
MSB                             LSB

AL和AH相同(您可以看到AH是 byte[1]和AL是 byte[0]都在 word[0]， dword[0]和 qword[0]中):

+---+---+---+---+---+---+---+---+
| 7 | 6 | 5 | 4 | 3 | 2 | AH| AL|  byte
+---+---+---+---+---+---+---+---+

+-------+-------+-------+-------+
|    3  |   2   |   1   |   0   |  word
+-------+-------+-------+-------+

+---------------+---------------+
|       1       |       0       | dword
+---------------+---------------+        

+-------------------------------+
|               0               | qword
+-------------------------------+
^                               ^
MSB                             LSB