【正文】 20 75 06 3A 06 1E .t..t... u 127C:0240 D4 74 0A 41 3C 22 75 E680 F7 20 EB E1 5E 58 C3 .u... . 127C:0250 A1 F3 D8 8B 36 F5 D8 C606 37 DA 00 C6 06 33 DA ....6....7.. 27C:0260 00 8B 36 F5 D8 8B 0E F3D8 8B D6 E3 42 51 56 5B ..6......... 127C:0270 2B DE 59 03 CB 8B D6 C606 D7 DC 00 E3 31 49 AC +.Y......... H 20B 100 030B 010B R BX BX 0000 : R CX CX 0000 :010B N W Writing 0010B bytes Q C:\WINDOWSDIR Volume in drive C has no label Volume Serial Number is 28FB70BA Directory of C:\WINDOWS PRINTHW COM 267 032201 11:53 1 file(s) 267 bytes 0 dir(s) 555,089,920 bytes free 返回目錄 11）讓我們?cè)囈辉嚪?復(fù)輸出： PROMPT DEBUG按回車 A 100按回車 (用匯編語言寫一個(gè)新的程序，起始地址是 100h) JMP 125按回車 (從 102h 接跳到 125h) 按回車 (結(jié)束輸入?yún)R編命令。 PROMPT DEBUG按回車 E 200按回車 (從偏移地址 200 開始。 一開始的時(shí)候你的程序初始地址是在 0100h: 107F:0100 MOV AH,02 這就是 100h 你的程序的最后一行在 010Eh: 107F:010E INT 20 最后一行 然后，最后一條命令的下一行的地址是 0110h: 107F:0110 這就是 110h 所以，從 0110h 里減去 100h 我們得到得長度是 10h 字節(jié) . PROMPT DEBUG按回車 H 110 100按回車 (這條命令 將運(yùn)算 110h+100h 和 110h100h) 0210 0010按回車 (匯報(bào) 110h100h=0010h。系統(tǒng)默認(rèn)啟始 IP 寄存器值為 100h) A 100按回車 (用匯編語言編寫一個(gè)程序，啟始地址是 100h) MOV AH,02按回車 (選擇 DOS 的 02 號(hào)功能調(diào)用 , 顯示輸出 ) MOV DL,按回車 (在 DX 寄存器的后八位存入 41h， 41h 就是大寫 A的 ASCII 碼 ) INT 21按回車 (當(dāng) AH=02 時(shí)這是 DOS 顯示輸出的中斷號(hào) ,顯示 A) MOV DL,42按回車 (在 DX 寄存器的后八位存入 41h， 41h 就是大寫 B 的 ASCII 碼 ) INT 21按回車 (當(dāng) AH=02 時(shí)這是 DOS 顯示輸出的中斷號(hào) ,顯示 B) MOV DL,43按回車 (在 DX 寄存器的后八位存入 41h， 41h 就是大寫 C 的 ASCII 碼 ) INT 21按回車 (當(dāng) AH=02 時(shí)這是 DOS 顯示輸出的中斷號(hào) ,顯示 C) INT 20按回車 (程序結(jié)束，退出 DEBUG) 按回車 (結(jié)束匯編命令輸入，回到 DEBUG 命令輸入 ) R BX按回車 (查看寄存器 BX 的值 ) :0000按回車 (設(shè)置 BX 為 0000h,這是程序的結(jié)尾地址是 BX:CX) (注意，只要 BX = 0000, 文件的大小就小于 64 Kb.) R CX按回車 (設(shè)置 CX 為 Fh,這是程序的長度 :16 位 ) :0010按回車 (現(xiàn)在我們可以把這個(gè) 16 字節(jié)的程序?qū)懭胗脖P了 ) N 按回車 (將要存盤的程序命名 ) W按回車 (把這十六字節(jié)寫到文件里面 ) Q按回車 (退出 DEBUG) PROMPT DIR 按回車 這里將會(huì)報(bào)告這個(gè)文件的大小是 16 字節(jié) (10h 字節(jié) ). PROMPT 按回車 會(huì)馬上在屏幕上打印出 ABC C:\WINDOWSDEBUG A 100 127C:0100 MOV AH,02 127C:0102 MOV DL,41 127C:0104 INT 21 127C:0106 MOV DL,42 127C:0108 INT 21 127C:010A MOV DL,43 127C:010C INT 21 127C:010E INT 20 127C:0110 R AX=0000 BX=0000 CX=0000 DX=0000 SP=FFEE BP=0000 SI=0000 DI=0000 DS=127C ES=127C SS=127C CS=127C IP=0100 NV UP EI PL NZ NA PO NC 127C:0100 B402 MOV AH,02 R BX BX 0000 : R CX CX 0000 :0010 N W Writing 00010 bytes Q C:\WINDOWSDIR Volume in drive C has no label Volume Serial Number is 28FB70BA Directory of C:\WINDOWS PRINTABC COM 16 032101 11:02 1 file(s) 16 bytes 0 dir(s) 557,711,360 bytes free C:\WINDOWSPRINTABC ABC C:\WINDOWS 這里可以有人告訴我，為什么要存入是 BX:CX 代表程序長度嗎？（寫信給譯者，謝謝） 返回目錄 8) 現(xiàn)在，我們?cè)囈辉嚥榭匆粋€(gè)已經(jīng)編好的程序 : PROMPT DEBUG按回車 (運(yùn)行 DEBUG 程序在 CS:IP = CS:0100h) N 按回車 (告訴電腦你想裝載的程序名 ) L按回車 (裝載那個(gè)名字的程序進(jìn)入內(nèi)存 ) U 100 L 10按回車 (從偏移地址 100 開始反匯編 16 位字節(jié) ) R按回車 (現(xiàn)在看看寄存器里面的內(nèi)容 ) 注意： DEBUG 本身是沒有自動(dòng)紀(jì)錄文件大小的。 T按回車 (執(zhí)行第二步操作 ... IP=104h, , DX=0041h，指令指針寄存器指向下一條命令，DX 的值被改變。 IP==100h, AX==0000h, DX==0000h) 好極了，我 們看到電腦又做好了準(zhǔn)備下一次運(yùn)行程序了。對(duì)于 FS,GS的作用我也不是很清楚，希望有高手指點(diǎn)，謝謝。 dos 下面看到這些寄存器 是 16位的。 指針及變址寄存器 BP Base pointers register ；機(jī)制指針寄存器 SI Source index register ；堆棧指針寄存器 DI Destiny index register ；目的變址寄存器 SP Battery pointer register ；堆棧指針寄存器 段寄存器 CS Code segment register ；代碼段寄存器，存放正在運(yùn)行的程序指令 DS Data segment register ；數(shù)據(jù)段寄存器，存放當(dāng)前運(yùn)行程序所用的數(shù)據(jù) SS Battery segment register ；堆棧段寄存器，定義了堆棧所在區(qū)域 ES Extra segment register ；附加段寄存器，存放附加的數(shù)據(jù)，是一個(gè)輔助性的數(shù)據(jù)區(qū)， 控制寄存器 IP Next instruction pointer register；指令指針寄存器，它用來存放代碼段中的偏移地址，在程序運(yùn)行的過程中，它始終指向下一條指令的首地址，它與 CS 寄存器聯(lián)用確定下一條指令的物理地址 F Flag register；標(biāo)志寄存器 NV UP EI PL NZ NA PO NC就是了，也有人稱之為 PSW Program Status Wold 程序狀態(tài)寄存器 (這里有一點(diǎn)必須講明白的現(xiàn)在在，其實(shí)從奔騰開始這些寄存器 (除了所有段寄存器 ,標(biāo)志寄存器 ）都是 32 位的。 DX Data register；可以作為通用寄存器使用，一般在作雙字長運(yùn)算時(shí)，把 DX 和 AX 組合在一起存放一個(gè)雙字長數(shù)， DX用來存放高位字。 BX Base register；可以作為通用寄存器使用，此外在計(jì)算存儲(chǔ)器地址時(shí)，它經(jīng)常用作基地址寄存器。 AX Accumulator；作為累加器，所以它是算術(shù)運(yùn)算的主要寄存器。像譯者的電腦里就是 C:\WINDOWS PROMPT DEBUG C:\Win95\按回車 S 0 L FFFF IBM按回車 (從 0 開始搜尋 IBM，搜尋 FFFFh 多個(gè)單元格 ) Q按回車 (退出 DEBUG) 以下是譯者做的： C:\WINDOWSDEBUG C:\WINDOWS\ S 0 L FFFF IBM S 0 L FFFF COMMAND 12A7:008D 12A7:04F7 12A7:3870 12A7:38BE 12A7:38DD S 0 L FFFF PATH 12A7:38AD 12A7:CCB7 12A7:CF55 S 0 L FFFF COMSPEC 12A7:38D4 12A7:3A4D 12A7:CCC4 Q C:\WINDOWS (注意：搜尋是要區(qū)分大小寫的 ) ( 你可以看到上面是沒有找到 IBM的 , 可以試一試 PATH ， COMSPEC ， COMMAND) (注意 : 這種方法用在查找加密資料和已被刪除的資料等方面時(shí)是十分有用的） 返回目錄 3) 一位十六進(jìn)制數(shù)的運(yùn)算： PROMPT DEBUG按回車 H 9 1按回車 (加減兩個(gè)十六進(jìn)制的數(shù) , 9h+1h=Ah amp。譯者認(rèn)為可能是內(nèi)存的真實(shí)物理地址。這里顯示出來的是使用者 BIOS的日期，有興趣的話可以重新開機(jī)看看，注意開機(jī)時(shí)的顯示。 Go run the executable program in memory U 反匯編，把我們不認(rèn)識(shí)的機(jī)械代碼變?yōu)槲覀兛梢哉J(rèn)識(shí)匯編語言符號(hào) Unassemble machine code into symbolic code T 描述一條指令的用法。 匯編 assemble A [address] 比較 pare C range address 傾倒 dump D [range]