8086机器码解码实战：从字节流反推汇编指令

简介这份笔记面向编写8086汇编器、需要理解机器指令编码细节的开发者系统整理了8086机器语言解码的核心知识。内容涵盖指令格式、寄存器编号、寻址模式、操作码、立即数以及字节/字/双字等基本概念并重点剖析固定编码指令与双操作数指令的编码规则。作者以MOV指令为主线给出大量汇编语句与对应机器码字节的对照示例如mov word [bxsi0x1BCD],0x1234对应0c7h、80h、0xcd、0x1b、0x34、0x12还涉及段寄存器传送、特定地址内存访问及最长8字节指令的构成分析。资源包为1个docx文档约1.94MB结构紧凑适合作为手边速查手册。目前已有127人学习适合汇编器实现者、底层系统学习者对照参考快速掌握指令编码与解码的对应关系。1. 个人总结的8086机器语言解码示例笔记从机器码反推汇编指令的完整路径很多人学汇编时习惯从助记符往下看比如看到MOV AX, BX知道是数据传送但把同样一段程序编译成机器码8B C3之后再让人反推回MOV AX, BX往往就卡住了。个人总结的8086机器语言解码示例笔记解决的正是这个逆向问题给定一串十六进制字节如何按 8086 的编码规则逐字段拆开还原出操作码、寻址方式和操作数。这套方法在逆向分析、老程序维护、教学演示里都用得上尤其适合已经会写基本汇编、但没系统研究过指令编码格式的开发者。它不需要额外工具链一张指令编码表加一段手写解码脚本就能跑通。2. 8086指令编码的字段结构为什么一条指令能被拆成五段8086 的指令长度是 1 到 6 字节变长编码意味着不能靠固定偏移去读字段必须按顺序解析。一条典型指令由前缀、操作码、ModR/M、位移量、立即数五段组成但并非每条都齐全。理解这个分层结构是后面写解码器的前提。2.1 前缀字节容易被忽略的第一道判断前缀字节出现在指令最前面常见的有段超越前缀26ES、2ECS、36SS、3EDS、操作数尺寸前缀66、地址尺寸前缀67、重复前缀F3REP和F2REPNE。解码时第一步就是循环读取前缀直到遇到非前缀字节为止。# 前缀字节集合遇到这些字节就继续往后读 PREFIXES { 0x26: ES, 0x2E: CS, 0x36: SS, 0x3E: DS, 0x66: OPSIZE, 0x67: ADDRSIZE, 0xF2: REPNE, 0xF3: REP } def strip_prefixes(code, offset): prefixes [] while offset len(code) and code[offset] in PREFIXES: prefixes.append(PREFIXES[code[offset]]) offset 1 return prefixes, offset这段逻辑的关键在于前缀可以叠加比如F3 26 A4表示带 ES 段超越的重复 MOVSB。参数offset是当前解析位置返回的prefixes列表按出现顺序记录后续解析操作码时从新的offset开始。注意66和67在 8086 上其实不生效它们是 80386 之后才引入的但在兼容解码器里通常保留识别。2.2 操作码与ModR/M决定寻址方式的核心字节操作码字节决定指令大类ModR/M 字节则决定操作数来自寄存器还是内存、用哪种寻址。ModR/M 的高两位是 Mod 字段中间三位是 Reg/Opcode 字段低三位是 R/M 字段。Mod 为11时 R/M 表示寄存器否则表示内存寻址方式。字段位宽含义Mod200 无位移01 8位位移10 16位位移11 寄存器Reg3寄存器编号或操作码扩展R/M3寄存器或内存寻址模式# 16位寄存器编码表用于Mod11时解析R/M REG16 [AX,CX,DX,BX,SP,BP,SI,DI] def decode_modrm(byte): mod (byte 6) 0x03 reg (byte 3) 0x07 rm byte 0x07 if mod 0x03: return {type: reg, reg: REG16[reg], rm: REG16[rm]} return {type: mem, reg: REG16[reg], mod: mod, rm: rm}decode_modrm返回的字典里type区分寄存器还是内存reg是寄存器字段对应的寄存器名rm在寄存器模式下直接给出寄存器名在内存模式下保留原始编号供后续计算有效地址。这里有个容易翻车的点当 Mod 为00且 R/M 为110时表示的是直接寻址的 16 位位移而不是[BP]这个特例在写解码器时必须单独处理。2.3 位移量与立即数长度由前序字段决定位移量的长度由 Mod 字段决定Mod 为01读 1 字节并符号扩展Mod 为10读 2 字节。立即数的长度则由操作码和操作数尺寸前缀共同决定8 位操作码通常跟 8 位立即数16 位操作码跟 16 位立即数。解码器必须维护一个游标每读一个字段就推进相应字节数。def read_displacement(code, offset, mod): if mod 0x01: val code[offset] if val 0x80: # 符号扩展8位负数转16位 val - 0x100 return val, offset 1 if mod 0x02: val code[offset] | (code[offset1] 8) return val, offset 2 return 0, offsetread_displacement里符号扩展那一步是血泪经验如果漏掉[BX-1]会被解析成[BX255]地址直接算错。参数mod来自 ModR/M 解析结果返回新的offset保证后续字段从正确位置继续读。3. 手写一个最小8086解码器从字节流到可读汇编理解了字段结构之后可以动手写一个覆盖常见指令的解码器。目标不是支持全部 8086 指令而是把数据传送、算术运算、跳转这几类高频指令跑通验证解码思路是否正确。3.1 指令表设计用字典映射操作码到助记符最直接的做法是维护一张操作码到助记符的映射表。8086 的操作码空间里88到8B是 MOV 系列00到05是 ADD 系列B0到BF是 MOV 立即数到寄存器。表里只登记需要支持的指令遇到未登记的字节就报未知指令。# 操作码到(助记符, 是否有ModR/M)的映射 OPCODE_TABLE { 0x88: (MOV, True), # MOV r/m8, r8 0x89: (MOV, True), # MOV r/m16, r16 0x8A: (MOV, True), # MOV r8, r/m8 0x8B: (MOV, True), # MOV r16, r/m16 0x00: (ADD, True), # ADD r/m8, r8 0x01: (ADD, True), # ADD r/m16, r16 0xB0: (MOV, False), # MOV AL, imm8 0xB8: (MOV, False), # MOV AX, imm16 0xEB: (JMP, False), # JMP rel8 0xE9: (JMP, False), # JMP rel16 }表里第二列标记该操作码后面是否跟 ModR/M 字节。B0和B8这类立即数加载指令不需要 ModR/M直接跟立即数88到8B则需要先解析 ModR/M 才能知道操作数。这个布尔标记决定了后续解析分支。3.2 解码主循环逐条指令推进游标主循环负责从字节流里逐条取出指令调用前缀解析、操作码查表、ModR/M 解析、位移和立即数读取最后拼成可读字符串。def decode_one(code, offset): prefixes, offset strip_prefixes(code, offset) op code[offset] offset 1 if op not in OPCODE_TABLE: return fDB 0x{op:02X}, offset mnemonic, has_modrm OPCODE_TABLE[op] text mnemonic if has_modrm: modrm code[offset] offset 1 info decode_modrm(modrm) if info[type] reg: text f {info[rm]}, {info[reg]} else: disp, offset read_displacement(code, offset, info[mod]) text f [{BX if info[rm]7 else SI}], {info[reg]} else: # 立即数指令按操作码决定读1或2字节 size 2 if op 0xB8 else 1 imm code[offset] if size 1 else code[offset] | (code[offset1] 8) offset size text f 0x{imm:X} return text, offsetdecode_one返回解码后的文本和新的偏移量。has_modrm为真时走 ModR/M 分支为假时按操作码判断立即数长度。这里对内存操作数的处理做了简化只演示了[BX]和[SI]两种情况实际完整实现需要根据 R/M 字段查表得到全部 8 种寻址组合。参数offset在每步解析后都要更新否则下一条指令会从错误位置开始。3.3 用一段真实机器码验证解码结果拿一段手写的机器码来跑B8 34 12 8B D8 03 C3。按顺序解析B8是 MOV AX, imm16读入34 12得到MOV AX, 0x12348B是 MOV r16, r/m16ModR/M 为D8Mod11、Reg3BX、R/M0AX得到MOV BX, AX03是 ADD r16, r/m16ModR/M 为C3Mod11、Reg0AX、R/M3BX得到ADD AX, BX。code bytes([0xB8,0x34,0x12,0x8B,0xD8,0x03,0xC3]) offset 0 while offset len(code): text, offset decode_one(code, offset) print(text) # 输出 # MOV AX 0x1234 # MOV BX, AX # ADD AX, BX输出结果和手写汇编一致说明解码逻辑正确。注意MOV AX 0x1234这里少了个逗号是因为立即数分支的拼接格式没加逗号属于演示代码的简化实际使用时补上即可。验证时建议从单条指令开始逐步增加复杂度不要一上来就跑大段程序。4. 解码过程中的避坑与排查五个让结果出错的细节解码器写出来能跑不代表结果对下面这几条是实际调试时最容易踩的坑每条都按现象、原因、解决来记录。4.1 现象跳转指令目标地址算错原因相对跳转的位移是相对于下一条指令的地址不是相对于当前指令地址。JMP rel8的编码是EB xx目标地址等于EB所在地址加 2 再加符号扩展后的xx。很多人直接用当前地址加位移结果差了两个字节。解决在计算目标地址时先把游标推进到指令末尾再用末尾地址加位移。代码里维护一个next_offset变量跳转类指令统一用它做基准。4.2 现象内存操作数解析成寄存器原因ModR/M 的 Mod 字段判断写反了把11当成内存、其他当成寄存器。8086 的约定是 Mod 为11时才是寄存器直接寻址其余情况都涉及内存。解决在decode_modrm里先判断mod 0x03只有这一种情况返回寄存器类型。写单元测试时专门构造 Mod 为00、01、10、11四种字节各测一遍。4.3 现象8位位移被当成无符号数原因位移量在 8086 里是有符号数01模式下读到的 8 位值需要符号扩展到 16 位。如果直接当无符号用[BX-1]会变成[BX255]。解决读到 8 位位移后判断最高位大于等于0x80就减去0x100。这个逻辑在read_displacement里已经体现但要注意只对01模式做10模式的 16 位位移本身就是完整值。4.4 现象前缀字节被当成操作码原因前缀解析循环的终止条件写错比如只判断了一次就退出或者前缀集合漏了某个字节。F3和F2这类重复前缀在字符串指令前很常见漏掉就会把F3当成操作码去查表报未知指令。解决用while循环持续读取直到当前字节不在前缀集合里。前缀集合要包含段超越、尺寸、重复这几类宁可多列几个也不要漏。4.5 现象立即数长度判断错误原因操作码B0到B7是 8 位立即数B8到BF是 16 位立即数如果统一按 16 位读会多读一个字节导致后续指令全部错位。解决按操作码区间判断立即数长度B0到B7读 1 字节B8到BF读 2 字节。更通用的做法是维护一张操作码到操作数尺寸的表但演示阶段用区间判断足够。提示调试解码器时每解析完一条指令就打印当前偏移量和剩余字节一旦偏移量对不上立刻能定位到是哪条指令的字段长度算错了。5. 从解码到反汇编把示例笔记扩展成可用工具的思路把上面这套逻辑串起来已经能处理 MOV、ADD、JMP 这几类指令。要扩展成更完整的反汇编工具核心工作是补全操作码表和寻址方式表。8086 的操作码空间有 256 个位置其中相当一部分是规则排列的比如00到3F基本是算术逻辑指令40到4F是 INC/DEC 寄存器50到5F是 PUSH/POP。按这个规律批量登记比逐个手写效率高得多。寻址方式表则需要覆盖 ModR/M 里 R/M 字段的全部 8 种组合包括[BXSI]、[BXDI]、[BPSI]、[BPDI]、[SI]、[DI]、[BP]Mod 非 00 时和[BX]以及 Mod 为 00 且 R/M 为 110 时的直接地址特例。这张表用列表按 R/M 编号索引即可每种组合记录基址寄存器和变址寄存器。验证方法上我一般会找一段已知功能的短程序手工写出汇编再用汇编器生成机器码最后用解码器反推对比两边是否一致。这个过程能暴露大部分字段解析错误。另一个习惯是给每条解码结果附上原始字节和偏移量输出格式类似0000: B8 34 12 MOV AX, 0x1234这样即使解码错了也能一眼看出是从哪个字节开始偏的。这套笔记的价值不在于代码多完整而在于把 8086 变长编码的解析思路固定下来。以后遇到 80186、80286 甚至 x86-32 的指令编码字段结构有变化但分层解析的框架是通用的。我自己在写解码器时最大的教训是急于求成一上来就想支持全部指令结果字段长度算错导致满盘皆输。后来改成先跑通一条 MOV再逐条加指令每加一条就写一个测试用例反而快得多。希望帮到你。本文还有配套的精品资源点击获取