当年学汇编的时候最让我头疼的就是背寻址方式那张表立即寻址、直接寻址、寄存器寻址、寄存器间接寻址、变址寻址……名字都差不多考试还老搞混。后来自己写了几年底层代码回头再看才发现寻址方式根本不是一堆需要死记的规则而是CPU在面对“这一条指令的操作数到底在哪”这个问题时给出的一整套定位方案。把这一个问题想清楚整张表就活了。这份笔记我不想按教科书顺序念定义而是从一条指令在CPU里走过的路开始把每种寻址方式的编码、用途、容易踩的坑串在一起讲。无论你是正在学计算机组成原理的学生还是写驱动、调底板的嵌入式开发者或者单纯想弄明白反汇编窗口里那些[ebxecx*48]到底在算什么的人这份笔记应该都能帮上忙。1. 先搞清楚CPU“寻址”到底是在找什么1.1 一条MOV指令背后CPU其实要做五件事先做一个小实验。在你的汇编器里写下这两行MOV AX, 1234H MOV AX, [1234H]人类一看就懂第一行是把数值1234H放进AX第二行是把内存地址1234H处存放的数值取出来放进AX。但CPU是个不看汇编的硬件它拿到的是编译后的二进制它只关心一件事指令告诉我操作数放在哪里现代CPU执行一条指令大致要经过取指、译码、执行、访存、回写五个阶段。这五个阶段不是每条指令都会全走一遍其中“访存”就是可选项。比如MOV AX, BX这条指令数据本来就在寄存器里不需要访问内存而MOV AX, [BX]就一定要去内存里把数据捞出来。所以“这条指令需不需要访问内存、如果需要地址怎么算出来”这个问题就变成了寻址方式要解决的核心问题。1.2 操作数只可能来自三个地方CPU能拿到的操作数来源逃不出三处来源特点速度灵活性立即数数据直接写在指令里不需要额外查找最快最差改数据必须重新编译寄存器数据在CPU内部的寄存器里很快一般寄存器数量有限内存数据在外部存储单元需要按地址访问最慢最好一个地址能存海量数据你可以把CPU想象成一个在图书馆里工作的管理员。立即数就是管理员随身笔记本上写好的答案寄存器是口袋里揣的几张小纸条内存则是书架上密密麻麻的书。寻址方式说白了就是一套“找书规则”是看笔记本、掏口袋还是拿着索书号去开架区找。1.3 寻址方式是CPU、汇编器、编译器三方之间的约定这里有个容易忽略的点寻址方式不是CPU单方面定义的而是CPU、汇编器、编译器三方共同遵守的契约。汇编器负责把你写的[BXSI8]翻译成二进制指令里的特定字段编译器负责在生成汇编代码时根据场景挑选合适的寻址方式CPU则按照规范解码算出有效地址去访问内存。所以理解寻址方式最好的路径不是按名称背定义而是从机器码视角看“地址信息是怎么被编码进指令的”这也是我后面两章要讲的内容。2. 从机器码视角看地址信息是怎么塞进指令里的2.1 x86指令的基本骨架x86指令是变长指令短的只有一个字节长的可以到十几个字节。但不管多长它大致的骨架是这样的操作码 Opcode ModR/M SIB 位移量 Displacement 立即数 Immediate其中操作码决定“做什么”比如8B表示“把一个16位或32位寄存器从源操作数加载过来”B8表示“将立即数送入AX/EAX”。而ModR/M字节则专门负责回答“操作数去哪儿找”。SIB字节是32位模式下才出现的扩展用来支持基址变址*比例位移这种复杂寻址。理解了这个骨架再回头看一堆机器码就不会觉得是乱码了。比如B8 34 12第一个字节B8就是“MOV AX,立即数”的操作码后面两个字节34 12是小端存放的立即数0x1234。2.2 ModR/M字节到底在说什么ModR/M字节是整个寻址编码的核心它一共8个bit掰开看是这样位段名称作用bit7~bit6MOD决定操作数是寄存器还是内存如果是内存决定位移量是0、1字节还是2/4字节bit5~bit3REG表示其中一个操作数所在的寄存器编号bit2~bit0R/M和MOD配合决定另一个操作数是哪个寄存器或者用哪种方式计算内存地址16位寻址模式下R/M字段对应的地址组合是固定有限的R/MMOD00无位移MOD01disp8MOD10disp16000[BXSI][BXSIdisp8][BXSIdisp16]001[BXDI][BXDIdisp8][BXDIdisp16]010[BPSI][BPSIdisp8][BPSIdisp16]011[BPDI][BPDIdisp8][BPDIdisp16]100[SI][SIdisp8][SIdisp16]101[DI][DIdisp8][DIdisp16]110直接地址disp16[BPdisp8][BPdisp16]111[BX][BXdisp8][BXdisp16]这里有一个非常反直觉的坑16位模式下MOD00且R/M110表示的不是[BP]而是一个16位的直接地址。想表达[BP]反而要写成[BPdisp8]并且把disp8填成0。这个历史遗留问题坑过不少人后面我会再提。2.3 手动拆一个ModR/MMOV AX, [BXSI]光说理论不好理解我们实际拆一条。MOV AX, [BXSI]的机器码是8B 00。8B是操作码表示“把源操作数加载到AX寄存器”源操作数由ModR/M指定。下一个字节00展开成二进制是00 000 000MOD 00内存寻址无位移量REG 000目标寄存器是AXR/M 000查上面那张表对应[BXSI]。所以这条指令访问的内存地址就是DS基址 BX SI数据宽度是16位。整个过程清晰得很操作码定操作ModR/M定位。这也是我推荐所有学底层的人做的一个练习拿到一条反汇编指令先在纸上把ModR/M字节拆一遍。拆多了之后你看8B 46 FE就能直接反应过来——MOD01、R/M110说明是[BPdisp8]disp8是0xFE也就是-2所以是MOV AX, [BP-2]。2.4 段寄存器16位时代绕不开的默认归属x86 16位寻址还有一个特殊规则计算物理地址时默认要加一个段基址。常见规则如下一般的[BX]、[SI]、[DI]、[BXSI]等默认使用DS段只要地址表达式里出现BP或SP默认使用SS段取指令默认用CS段串操作指令中源地址默认用DS目标地址默认用ES。如果需要打破默认可以用段覆盖前缀比如MOV AX, ES:[BX]会生成26 8B 07多出来的26就是ES段覆盖前缀。段覆盖在实模式下很常见但到了保护模式段寄存器变成了选择子寻址方式和段机制结合得更加复杂不过指令编码中的地址计算规则依然继承了下来。3. 数据类寻址逐个拆立即数、寄存器、直接、寄存器间接3.1 立即数寻址数据焊死在指令里MOV AX, 1234H ; 机器码: B8 34 12立即数寻址最直白操作数直接跟在指令里CPU译码的时候顺手就把数值取出来了不需要额外的内存访问。它的优点是快、编码简单适合放常量、掩码、循环初值这类“写完就不变”的数据。但它有两个天然限制第一立即数只能做源操作数不能当目标你不可能写1234H, AX第二立即数的位宽受指令限制8位立即数、16位立即数、32位立即数各有各的操作码超出范围就得换长指令或者拆成多条。还有一个工程上容易忽略的代价立即数是“焊死”在代码里的程序发布后想改一个常量值必须重新编译、重新发布。所以大型项目里魔法数字常常不会直接写死而是放在数据段里用直接寻址去访问。3.2 寄存器寻址最快但没有“地址”这个概念MOV AX, BX ; 机器码: 89 D8 或 8B C3寄存器寻址就是指操作数直接放在寄存器里指令里不出现内存地址。因为数据早就在CPU内部省掉了访存这一步这是所有寻址方式里速度最快的。寄存器寻址在ModR/M字节里表现为MOD11此时R/M字段不再表示地址组合而是表示寄存器编号。注意一个问题x86里寄存器寻址时常会遇到“两个操作数不能同时来自内存”的规则。比如ADD [BX], [SI]是非法的因为两个操作数都需要访存。这种时候必须先把其中一个搬到寄存器里。对开发者来说这意味着你要提前规划好哪些数据常驻寄存器尽量减少访存次数这是后面所有优化技巧的地基。3.3 直接寻址地址写死在指令里MOV AX, [1234H] ; 机器码: A1 34 12AX累加器专用 MOV AX, [2000H] ; 通用形式: 8B 06 00 20直接寻址是访问内存最简单的方式指令里直接给一个绝对地址CPU按这个地址去找。它的致命缺点恰恰也在这个“绝对”上——地址一旦写死就不方便在循环里改变。不过正因如此它特别适合访问地址固定的东西比如全局变量、硬件寄存器、MMIO端口。单片机上读某个固定的状态寄存器写MOV A, [P1]就够了简单粗暴有效。但这里也是新手最容易翻车的地方MOV AX, 1234H和MOV AX, [1234H]就差一对括号一个是把0x1234这个数值放进AX另一个是把地址0x1234处内存里的值放进AX。反汇编窗口里MOV EAX, DWORD PTR DS:[0x804A000]这种写法尤其迷惑人看到0x804A000很容易以为是立即数其实前面带着DS:和方括号说明是一次内存读取。我在调试设备驱动时见过不止一次有人把一个外设寄存器的当前值写成了常量导致“读什么都是同一个数”排查半天才发现是寻址方式写错了。3.4 寄存器间接寻址地址放在寄存器里改寄存器就能改地址MOV AX, [BX] ; 机器码: 8B 07寄存器间接寻址和寄存器寻址只差一个方括号意思却完全不同这里[BX]表示“BX寄存器里存的是一个地址去这个地址对应的内存单元取数据”。BX里面放的不是数据而是地址相当于一个C语言里的指针。它的价值在于地址是活的。循环遍历数组时每轮让BX加上元素大小下一轮就能访问下一个元素代码本身不用改改的是地址。16位模式下能用于间接寻址的寄存器很有限只有BX、BP、SI、DI四个AX等寄存器不行32位模式下放宽了限制任意通用寄存器都能做地址寄存器。但要注意允许用不等于推荐乱用——如果代码里到处拿AX、CX当地址寄存器用稍不留意就把数据当成了地址去访问轻则访问违例重则程序崩溃。4. 变址、基址、堆栈与隐含寻址组合拳才是真实战4.1 变址寻址数组和字符串的利器MOV AX, [SI10H] ; 以SI为基础地址向上偏移0x10 MOV AX, [BXSI] ; 两个寄存器相加作为地址变址寻址的本质是“基地址偏移量”。SI和DI在x86里专门承担变址职责尤其在串操作指令里MOVSB、LODSB、STOSB会自动使用SI作为源变址、DI作为目标变址而且每执行一次会自动加1或减1取决于方向标志DF。这也是“变址”这个名字的由来——地址是会“变”的。32位模式下变址寻址能力大大增强出现了SIB字节支持基址变址*比例位移的形式。比如MOV EAX, [EBXECX*48] ; 机器码: 8B 44 8B 08这条指令计算地址时CPU会取EBX作为基址加上ECX乘以4再加上8。*4这个比例因子在遍历4字节元素数组时几乎是为它量身定做的。写C代码时arr[i]展开后往往就长这样。我自己看编译器生成的汇编时对这种SIB寻址特别敏感因为它意味着“这里正在访问数组元素”。4.2 基址寻址栈帧和结构体的根基MOV AX, [BP8] ; BP指向栈帧底部往上偏移8字节访问参数 MOV AX, [BX2] ; 访问结构体第3个字段基址寻址和变址寻址在编码上非常像都是“寄存器偏移量”但语义和默认段不同。最重要的区别在BP只要地址表达式里出现BP默认使用SS段也就是栈段。为啥因为BP在函数调用中几乎专门用来做帧指针。典型的函数入口汇编长这样PUSH EBP ; 保存老帧指针 MOV EBP, ESP ; 让EBP指向当前栈顶 SUB ESP, 20H ; 给局部变量腾空间之后局部变量就统一用[EBP-4]、[EBP-8]来访问函数参数用[EBP8]、[EBP12]访问。这种做法的好处是不管ESP怎么变化EBP始终指着那一帧的固定位置编译器生成的代码就非常规整。现代编译器虽然经常用ESP偏移来代替帧指针64位下更常见但理解[EBPdisp]依然是读懂老代码和反汇编的基础。如果你用BP访问的是普通数据段必须小心默认段是SS一个小心访问的就是栈里的数据而不是全局数组。这种情况下记得加段覆盖前缀。4.3 基址变址组合结构体数组的标准答案MOV AX, [BXSI4]基址加变址的组合可以理解为“双重定位”BX保存结构体数组的首地址SI是第几个结构体元素位移4是结构体内部某个字段的偏移。于是一个表达式同时解决了“选哪条记录”和“选记录里的哪个字段”两个问题。这正好对应C语言里records[i].id这类访问。编译器面对这种高层抽象做的就是把它拆成一个地址表达式然后选一条带基址变址的指令算出来。我在看反汇编定位崩溃问题时经常通过这种组合寻址快速反推出源代码里是在访问哪个数组的哪个成员。4.4 堆栈寻址与隐含寻址不用写地址的“地址”堆栈寻址尤其特殊因为地址计算全靠隐含的SP。执行PUSH AX时CPU会自动完成两步操作先把SP减2压栈是向低地址生长再把AX的数据写入SS:SP指向的位置。执行POP则相反先把数据读出再把SP加2。整个过程程序员不需要写[SP-2]这种地址堆栈指针就是那个隐形的地址来源。隐含寻址更彻底连操作数都藏在操作码里。比如单字节指令INC AX的机器码是40H这个操作数AX并没有体现在ModR/M字节里而是直接由操作码决定。DAA、MUL BL、CWD等指令也都有隐含寄存器。这样设计的直接好处就是指令短——在缓存和带宽都紧张的年代少一个字节都是赚的。直到现在ARM、RISC-V等精简指令集里依然保留了部分隐含寄存器设计因为这是降低指令编码开销的有效手段。到这里数据类寻址的几种主力选手就介绍完了。我整理成一张表方便对照记忆寻址方式指令示例地址/操作数计算方式默认段典型场景立即数寻址MOV AX, 1234H操作数立即数本身无常量、掩码、初始化寄存器寻址MOV AX, BX操作数寄存器内容无算术逻辑运算、数据搬运直接寻址MOV AX, [1234H]有效地址指令中的dispDS全局变量、MMIO端口寄存器间接寻址MOV AX, [BX]有效地址寄存器内容DS遍历数组、指针访问变址寻址MOV AX, [SI8]有效地址寄存器位移DS数组下标访问、串操作基址寻址MOV AX, [BP8]有效地址寄存器位移BP默认SS栈帧参数、结构体字段基址变址MOV AX, [BXSI4]有效地址基址变址位移DS结构体数组、二维表堆栈寻址PUSH AX地址隐含SP先减后写SS函数调用、现场保存隐含寻址INC AX操作数隐含在操作码中无单字节高频指令5. 相对寻址与控制流给指令计数器指路5.1 数据寻址解决“数据在哪”跳转寻址解决“下一条指令在哪”前面几章讲的都是数据访问但还有一个特殊的访问对象——指令本身。CPU按顺序取指令时依靠的是IP/PC寄存器而遇到JMP、CALL、JE这些控制流指令时就必须重新定位下一条指令的地址。这里的定位规则就是程序寻址方式。程序寻址同样分几种直接跳转、间接跳转、相对跳转。其中相对跳转最重要因为它直接关系到代码能不能在内存里“搬家”。5.2 相对寻址的计算公式与短跳转的坑JMP SHORT label ; 机器码: EB disp8相对寻址在指令里存放的不是目标绝对地址而是一个相对于下一条指令地址的偏移量。CPU执行时用当前IP加上指令长度得到下一条指令地址再加上这个有符号偏移量得到真正的目标地址目标地址 下一条指令的地址 有符号位移量这样设计有一个巨大的好处代码整体换个位置只要指令之间的相对距离不变跳转依然有效。这也是为什么链接器能对代码块做重定位为什么PIC位置无关代码能实现。但短跳转只能在一个字节的范围内表达偏移也就是-128到127字节。一旦目标太远JMP SHORT就编不过去汇编器会报“short jump out of range”。我早年写一个比较大的引导扇区时踩过这个坑一个循环跨过了几十条指令跳转目标准确说也没多远但就是因为中间插了一堆数据偏移超了127编译直接失败。解决方法有两个一个是改写成近跳转EB变成E9disp16或disp32另一个是调整代码顺序把冷路径挪走让短跳转“够得着”。后者在优化引导代码时尤其管用。5.3 相对寻址在现代指令集里的回春RIP相对寻址x64时代相对寻址不仅用于跳转还被大量用于数据访问。原因是64位下绝对地址编码太长而且动不动就要塞一个64位地址指令会变得很臃肿。于是AMD64规定很多访存指令默认采用RIP相对寻址也就是以当前指令的下一条地址为基准加上32位偏移量来定位全局变量。看一段典型的x86-64编译产物movl g(%rip), %eax ; 访问全局变量g用RIP相对寻址 movl 12(%rdi), %edx ; 间接访问指针参数偏移12字节第一行的g(%rip)就是RIP相对寻址翻译过来的意思是“取RIP当前值加上到g的偏移”。这种设计天然适合PIC——程序加载到任意地址全局变量和代码的相对距离不变访问就没问题。好多从32位转64位的朋友第一次看到g(%rip)都懵觉得这地址怎么“不固定”。其实它比绝对地址稳定得多只要有相对位置就行。5.4 间接跳转函数指针和跳转表的基础JMP AX ; 目标地址在AX寄存器中 JMP [BX] ; 目标地址存在BX指向的内存单元 CALL [TABLEEAX*4] ; 从跳转表取目标地址间接跳转的目标地址来自寄存器或内存而不是指令里给出的偏移。它最大的价值在于实现“动态决定去哪儿执行”。C语言的函数指针、switch-case编译器生成的跳转表底层都是间接跳转/间接调用。看反汇编时如果看到CALL [regreg*4offset]基本就是在调用一个函数指针表里的某个函数。6. 实战中怎么选寻址方式编译器在背后替你做主6.1 一段C代码反汇编看编译器怎么选写成千上万行汇编不现实但理解高级语言怎么落到寻址方式上很有必要。用一段简单的C代码做例子int g; int f(int *p) { return g p[3]; }用x86-64的gcc加上-O2编译关键汇编大概是f: movl g(%rip), %eax ; 1. 访问全局变量g - RIP相对寻址 movl 12(%rdi), %edx ; 2. p[3] - 寄存器间接位移寻址 addl %edx, %eax ret每一次高级语言层面的访问都被编译器映射成了一种寻址方式全局变量用相对寻址数组元素用基址位移局部变量则用栈帧偏移。看懂这个映射关系之后调试时定位问题会快很多——看到foo(%rip)就想到对应源码里的全局量看到(%rbx)就想到正在解引用某个指针。6.2 手写汇编时的选型原则如果你需要手写汇编、写引导代码、写嵌入式启动代码我的选型建议如下数据能放寄存器就放寄存器寄存器寻址是最快的循环遍历数组优先用寄存器间接寻址必要时配合变址访问结构体字段或栈上变量用基址位移位移直接对应字段偏移常量、CRC表这类只读数据用直接寻址或相对寻址访问多分支跳转用跳转表间接跳转比一串CMP/JE清爽且更快。另外编码长度也要心里有数。在引导扇区512字节或固件这种寸土寸金的地方一条用disp8的指令比用disp32的指令短3个字节几十条指令就是几十字节。优化代码体积时我会刻意调整结构体布局让常用字段尽量落在disp8能覆盖的范围内-128~127这样编译器生成的指令更短还能捎带改善缓存占用。6.3 反汇编时快速识别寻址方式的小技巧看objdump输出或反汇编窗口时我一般按下述规律一秒定位指令里直接出现数值且没有[]大概率是立即数寻址寄存器名不带[]比如mov eax, ebx是寄存器寻址地址表达式带[]比如mov eax, [ebp-8]是某种内存寻址地址里只有一个寄存器且没有位移如[ebx]是寄存器间接寻址地址里有寄存器位移如[ebp16]是基址/变址寻址地址里有reg*4这种比例因子说明是SIB变址寻址跳转指令后面的目标地址反汇编器通常直接算好显示成绝对地址但编码其实是相对偏移。这一套熟练之后哪怕没有源码光靠反汇编你也能基本还原出程序里大致的数据结构和使用方式。7. 寻址方式最容易翻车的四个现场7.1 坑一立即数和直接寻址差一对括号数据差一个宇宙这个问题前面已经反复提到但我还是想单独拿出来说一次因为它值得。MOV AX, 1234H是“把1234H这个数给AX”MOV AX, [1234H]是“去地址1234H处取值给AX”。后者多一次内存访问但程序语义完全不同。我曾经在调试一个外设驱动时发现某状态寄存器永远读出一个古怪的固定值查了半天才发现代码写的是MOV AL, 0x3F8而不是MOV AL, [0x3F8]——直接把串口基地址当成读到的那一字节数据了。从那以后我每写一条带内存访问的汇编都会强迫自己检查一遍方括号有没有漏掉。7.2 坑二数组遍历时没按元素大小缩放偏移在C里写a[i]编译器会自动算a i * sizeof(元素)但手写汇编时没人替你算。如果数组是4字节整型你直接用[BXSI]而SI每次只加1那访问到的就是相邻字节而不是相邻元素。比如读取int a[10]第3个元素应该在a 2*4 a8的位置。手写代码时SI的增量必须是4。32位下可以直接利用SIB的比例因子写[EBXECX*4]省去手动乘法的指令16位下没有比例因子只能在循环里给SI加4或者用位移方式处理。这个坑在从C思维转到汇编时特别常见因为高级语言把这些细节都藏起来了。7.3 坑三BP默认是SS段访问数据段忘了段覆盖前面说了地址表达式里一旦出现BP默认就走SS段。很多从8086时代过来的老代码喜欢用BP保存临时指针并顺便访问数据段数组结果数组第一个元素读出来是栈里某个局部变量的值数据全乱。解决办法有两个一是别拿BP干数据寻址的活让它专心做帧指针二是确实要用就给指令加ES或DS段覆盖比如MOV AX, DS:[BPSI]。我在16位实模式的引导代码里见过这种混乱的写法排查地址问题时一定要先看一眼指令前面有没有段覆盖前缀。7.4 坑四短跳转偏移超范围链接时报错让人一头雾水短跳转只有1字节位移范围有限。当你写了一个很大的汇编函数中间跳转很多汇编器可能会报short jump is out of range或者relocation truncated to fit: R_386_PC8这类错误。新手看到这个报错往往以为是对齐问题其实只是跳转距离太远。处理技巧有两个。一个是把JMP SHORT改成JMP NEAR代价是多占几个字节另一个是调整跳转方向比如把条件跳转从“满足时跳到远处”改成“不满足时跳过一个近跳转”这样条件跳转本身是短距离的那个必要的远跳转单独用近跳转实现。后者在优化引导扇区代码时几乎是必修技能。7.5 我的调试习惯先拆地址表达式再查寻址方式最后讲一个我自己受益很多的小习惯。遇到内存访问类崩溃时我不急着看具体数据而是先把反汇编那行指令的地址表达式拆出来明确是“基址位移”“基址变址”还是“SIB比例寻址”然后逐项检查每一项的值。比如反汇编里是MOV EAX, [EBP-8]我会先确认EBP是不是合法的帧指针再看-8这个偏移对应的局部变量是什么。这么做比瞎看数据高效得多因为八成的问题都出在某个寄存器被改坏、或者偏移算错上寻址方式本身只是表象。拆清楚地址从哪来根因往往也就浮出水面了。
汇编寻址方式全解析：从机器码到实战避坑指南
当年学汇编的时候最让我头疼的就是背寻址方式那张表立即寻址、直接寻址、寄存器寻址、寄存器间接寻址、变址寻址……名字都差不多考试还老搞混。后来自己写了几年底层代码回头再看才发现寻址方式根本不是一堆需要死记的规则而是CPU在面对“这一条指令的操作数到底在哪”这个问题时给出的一整套定位方案。把这一个问题想清楚整张表就活了。这份笔记我不想按教科书顺序念定义而是从一条指令在CPU里走过的路开始把每种寻址方式的编码、用途、容易踩的坑串在一起讲。无论你是正在学计算机组成原理的学生还是写驱动、调底板的嵌入式开发者或者单纯想弄明白反汇编窗口里那些[ebxecx*48]到底在算什么的人这份笔记应该都能帮上忙。1. 先搞清楚CPU“寻址”到底是在找什么1.1 一条MOV指令背后CPU其实要做五件事先做一个小实验。在你的汇编器里写下这两行MOV AX, 1234H MOV AX, [1234H]人类一看就懂第一行是把数值1234H放进AX第二行是把内存地址1234H处存放的数值取出来放进AX。但CPU是个不看汇编的硬件它拿到的是编译后的二进制它只关心一件事指令告诉我操作数放在哪里现代CPU执行一条指令大致要经过取指、译码、执行、访存、回写五个阶段。这五个阶段不是每条指令都会全走一遍其中“访存”就是可选项。比如MOV AX, BX这条指令数据本来就在寄存器里不需要访问内存而MOV AX, [BX]就一定要去内存里把数据捞出来。所以“这条指令需不需要访问内存、如果需要地址怎么算出来”这个问题就变成了寻址方式要解决的核心问题。1.2 操作数只可能来自三个地方CPU能拿到的操作数来源逃不出三处来源特点速度灵活性立即数数据直接写在指令里不需要额外查找最快最差改数据必须重新编译寄存器数据在CPU内部的寄存器里很快一般寄存器数量有限内存数据在外部存储单元需要按地址访问最慢最好一个地址能存海量数据你可以把CPU想象成一个在图书馆里工作的管理员。立即数就是管理员随身笔记本上写好的答案寄存器是口袋里揣的几张小纸条内存则是书架上密密麻麻的书。寻址方式说白了就是一套“找书规则”是看笔记本、掏口袋还是拿着索书号去开架区找。1.3 寻址方式是CPU、汇编器、编译器三方之间的约定这里有个容易忽略的点寻址方式不是CPU单方面定义的而是CPU、汇编器、编译器三方共同遵守的契约。汇编器负责把你写的[BXSI8]翻译成二进制指令里的特定字段编译器负责在生成汇编代码时根据场景挑选合适的寻址方式CPU则按照规范解码算出有效地址去访问内存。所以理解寻址方式最好的路径不是按名称背定义而是从机器码视角看“地址信息是怎么被编码进指令的”这也是我后面两章要讲的内容。2. 从机器码视角看地址信息是怎么塞进指令里的2.1 x86指令的基本骨架x86指令是变长指令短的只有一个字节长的可以到十几个字节。但不管多长它大致的骨架是这样的操作码 Opcode ModR/M SIB 位移量 Displacement 立即数 Immediate其中操作码决定“做什么”比如8B表示“把一个16位或32位寄存器从源操作数加载过来”B8表示“将立即数送入AX/EAX”。而ModR/M字节则专门负责回答“操作数去哪儿找”。SIB字节是32位模式下才出现的扩展用来支持基址变址*比例位移这种复杂寻址。理解了这个骨架再回头看一堆机器码就不会觉得是乱码了。比如B8 34 12第一个字节B8就是“MOV AX,立即数”的操作码后面两个字节34 12是小端存放的立即数0x1234。2.2 ModR/M字节到底在说什么ModR/M字节是整个寻址编码的核心它一共8个bit掰开看是这样位段名称作用bit7~bit6MOD决定操作数是寄存器还是内存如果是内存决定位移量是0、1字节还是2/4字节bit5~bit3REG表示其中一个操作数所在的寄存器编号bit2~bit0R/M和MOD配合决定另一个操作数是哪个寄存器或者用哪种方式计算内存地址16位寻址模式下R/M字段对应的地址组合是固定有限的R/MMOD00无位移MOD01disp8MOD10disp16000[BXSI][BXSIdisp8][BXSIdisp16]001[BXDI][BXDIdisp8][BXDIdisp16]010[BPSI][BPSIdisp8][BPSIdisp16]011[BPDI][BPDIdisp8][BPDIdisp16]100[SI][SIdisp8][SIdisp16]101[DI][DIdisp8][DIdisp16]110直接地址disp16[BPdisp8][BPdisp16]111[BX][BXdisp8][BXdisp16]这里有一个非常反直觉的坑16位模式下MOD00且R/M110表示的不是[BP]而是一个16位的直接地址。想表达[BP]反而要写成[BPdisp8]并且把disp8填成0。这个历史遗留问题坑过不少人后面我会再提。2.3 手动拆一个ModR/MMOV AX, [BXSI]光说理论不好理解我们实际拆一条。MOV AX, [BXSI]的机器码是8B 00。8B是操作码表示“把源操作数加载到AX寄存器”源操作数由ModR/M指定。下一个字节00展开成二进制是00 000 000MOD 00内存寻址无位移量REG 000目标寄存器是AXR/M 000查上面那张表对应[BXSI]。所以这条指令访问的内存地址就是DS基址 BX SI数据宽度是16位。整个过程清晰得很操作码定操作ModR/M定位。这也是我推荐所有学底层的人做的一个练习拿到一条反汇编指令先在纸上把ModR/M字节拆一遍。拆多了之后你看8B 46 FE就能直接反应过来——MOD01、R/M110说明是[BPdisp8]disp8是0xFE也就是-2所以是MOV AX, [BP-2]。2.4 段寄存器16位时代绕不开的默认归属x86 16位寻址还有一个特殊规则计算物理地址时默认要加一个段基址。常见规则如下一般的[BX]、[SI]、[DI]、[BXSI]等默认使用DS段只要地址表达式里出现BP或SP默认使用SS段取指令默认用CS段串操作指令中源地址默认用DS目标地址默认用ES。如果需要打破默认可以用段覆盖前缀比如MOV AX, ES:[BX]会生成26 8B 07多出来的26就是ES段覆盖前缀。段覆盖在实模式下很常见但到了保护模式段寄存器变成了选择子寻址方式和段机制结合得更加复杂不过指令编码中的地址计算规则依然继承了下来。3. 数据类寻址逐个拆立即数、寄存器、直接、寄存器间接3.1 立即数寻址数据焊死在指令里MOV AX, 1234H ; 机器码: B8 34 12立即数寻址最直白操作数直接跟在指令里CPU译码的时候顺手就把数值取出来了不需要额外的内存访问。它的优点是快、编码简单适合放常量、掩码、循环初值这类“写完就不变”的数据。但它有两个天然限制第一立即数只能做源操作数不能当目标你不可能写1234H, AX第二立即数的位宽受指令限制8位立即数、16位立即数、32位立即数各有各的操作码超出范围就得换长指令或者拆成多条。还有一个工程上容易忽略的代价立即数是“焊死”在代码里的程序发布后想改一个常量值必须重新编译、重新发布。所以大型项目里魔法数字常常不会直接写死而是放在数据段里用直接寻址去访问。3.2 寄存器寻址最快但没有“地址”这个概念MOV AX, BX ; 机器码: 89 D8 或 8B C3寄存器寻址就是指操作数直接放在寄存器里指令里不出现内存地址。因为数据早就在CPU内部省掉了访存这一步这是所有寻址方式里速度最快的。寄存器寻址在ModR/M字节里表现为MOD11此时R/M字段不再表示地址组合而是表示寄存器编号。注意一个问题x86里寄存器寻址时常会遇到“两个操作数不能同时来自内存”的规则。比如ADD [BX], [SI]是非法的因为两个操作数都需要访存。这种时候必须先把其中一个搬到寄存器里。对开发者来说这意味着你要提前规划好哪些数据常驻寄存器尽量减少访存次数这是后面所有优化技巧的地基。3.3 直接寻址地址写死在指令里MOV AX, [1234H] ; 机器码: A1 34 12AX累加器专用 MOV AX, [2000H] ; 通用形式: 8B 06 00 20直接寻址是访问内存最简单的方式指令里直接给一个绝对地址CPU按这个地址去找。它的致命缺点恰恰也在这个“绝对”上——地址一旦写死就不方便在循环里改变。不过正因如此它特别适合访问地址固定的东西比如全局变量、硬件寄存器、MMIO端口。单片机上读某个固定的状态寄存器写MOV A, [P1]就够了简单粗暴有效。但这里也是新手最容易翻车的地方MOV AX, 1234H和MOV AX, [1234H]就差一对括号一个是把0x1234这个数值放进AX另一个是把地址0x1234处内存里的值放进AX。反汇编窗口里MOV EAX, DWORD PTR DS:[0x804A000]这种写法尤其迷惑人看到0x804A000很容易以为是立即数其实前面带着DS:和方括号说明是一次内存读取。我在调试设备驱动时见过不止一次有人把一个外设寄存器的当前值写成了常量导致“读什么都是同一个数”排查半天才发现是寻址方式写错了。3.4 寄存器间接寻址地址放在寄存器里改寄存器就能改地址MOV AX, [BX] ; 机器码: 8B 07寄存器间接寻址和寄存器寻址只差一个方括号意思却完全不同这里[BX]表示“BX寄存器里存的是一个地址去这个地址对应的内存单元取数据”。BX里面放的不是数据而是地址相当于一个C语言里的指针。它的价值在于地址是活的。循环遍历数组时每轮让BX加上元素大小下一轮就能访问下一个元素代码本身不用改改的是地址。16位模式下能用于间接寻址的寄存器很有限只有BX、BP、SI、DI四个AX等寄存器不行32位模式下放宽了限制任意通用寄存器都能做地址寄存器。但要注意允许用不等于推荐乱用——如果代码里到处拿AX、CX当地址寄存器用稍不留意就把数据当成了地址去访问轻则访问违例重则程序崩溃。4. 变址、基址、堆栈与隐含寻址组合拳才是真实战4.1 变址寻址数组和字符串的利器MOV AX, [SI10H] ; 以SI为基础地址向上偏移0x10 MOV AX, [BXSI] ; 两个寄存器相加作为地址变址寻址的本质是“基地址偏移量”。SI和DI在x86里专门承担变址职责尤其在串操作指令里MOVSB、LODSB、STOSB会自动使用SI作为源变址、DI作为目标变址而且每执行一次会自动加1或减1取决于方向标志DF。这也是“变址”这个名字的由来——地址是会“变”的。32位模式下变址寻址能力大大增强出现了SIB字节支持基址变址*比例位移的形式。比如MOV EAX, [EBXECX*48] ; 机器码: 8B 44 8B 08这条指令计算地址时CPU会取EBX作为基址加上ECX乘以4再加上8。*4这个比例因子在遍历4字节元素数组时几乎是为它量身定做的。写C代码时arr[i]展开后往往就长这样。我自己看编译器生成的汇编时对这种SIB寻址特别敏感因为它意味着“这里正在访问数组元素”。4.2 基址寻址栈帧和结构体的根基MOV AX, [BP8] ; BP指向栈帧底部往上偏移8字节访问参数 MOV AX, [BX2] ; 访问结构体第3个字段基址寻址和变址寻址在编码上非常像都是“寄存器偏移量”但语义和默认段不同。最重要的区别在BP只要地址表达式里出现BP默认使用SS段也就是栈段。为啥因为BP在函数调用中几乎专门用来做帧指针。典型的函数入口汇编长这样PUSH EBP ; 保存老帧指针 MOV EBP, ESP ; 让EBP指向当前栈顶 SUB ESP, 20H ; 给局部变量腾空间之后局部变量就统一用[EBP-4]、[EBP-8]来访问函数参数用[EBP8]、[EBP12]访问。这种做法的好处是不管ESP怎么变化EBP始终指着那一帧的固定位置编译器生成的代码就非常规整。现代编译器虽然经常用ESP偏移来代替帧指针64位下更常见但理解[EBPdisp]依然是读懂老代码和反汇编的基础。如果你用BP访问的是普通数据段必须小心默认段是SS一个小心访问的就是栈里的数据而不是全局数组。这种情况下记得加段覆盖前缀。4.3 基址变址组合结构体数组的标准答案MOV AX, [BXSI4]基址加变址的组合可以理解为“双重定位”BX保存结构体数组的首地址SI是第几个结构体元素位移4是结构体内部某个字段的偏移。于是一个表达式同时解决了“选哪条记录”和“选记录里的哪个字段”两个问题。这正好对应C语言里records[i].id这类访问。编译器面对这种高层抽象做的就是把它拆成一个地址表达式然后选一条带基址变址的指令算出来。我在看反汇编定位崩溃问题时经常通过这种组合寻址快速反推出源代码里是在访问哪个数组的哪个成员。4.4 堆栈寻址与隐含寻址不用写地址的“地址”堆栈寻址尤其特殊因为地址计算全靠隐含的SP。执行PUSH AX时CPU会自动完成两步操作先把SP减2压栈是向低地址生长再把AX的数据写入SS:SP指向的位置。执行POP则相反先把数据读出再把SP加2。整个过程程序员不需要写[SP-2]这种地址堆栈指针就是那个隐形的地址来源。隐含寻址更彻底连操作数都藏在操作码里。比如单字节指令INC AX的机器码是40H这个操作数AX并没有体现在ModR/M字节里而是直接由操作码决定。DAA、MUL BL、CWD等指令也都有隐含寄存器。这样设计的直接好处就是指令短——在缓存和带宽都紧张的年代少一个字节都是赚的。直到现在ARM、RISC-V等精简指令集里依然保留了部分隐含寄存器设计因为这是降低指令编码开销的有效手段。到这里数据类寻址的几种主力选手就介绍完了。我整理成一张表方便对照记忆寻址方式指令示例地址/操作数计算方式默认段典型场景立即数寻址MOV AX, 1234H操作数立即数本身无常量、掩码、初始化寄存器寻址MOV AX, BX操作数寄存器内容无算术逻辑运算、数据搬运直接寻址MOV AX, [1234H]有效地址指令中的dispDS全局变量、MMIO端口寄存器间接寻址MOV AX, [BX]有效地址寄存器内容DS遍历数组、指针访问变址寻址MOV AX, [SI8]有效地址寄存器位移DS数组下标访问、串操作基址寻址MOV AX, [BP8]有效地址寄存器位移BP默认SS栈帧参数、结构体字段基址变址MOV AX, [BXSI4]有效地址基址变址位移DS结构体数组、二维表堆栈寻址PUSH AX地址隐含SP先减后写SS函数调用、现场保存隐含寻址INC AX操作数隐含在操作码中无单字节高频指令5. 相对寻址与控制流给指令计数器指路5.1 数据寻址解决“数据在哪”跳转寻址解决“下一条指令在哪”前面几章讲的都是数据访问但还有一个特殊的访问对象——指令本身。CPU按顺序取指令时依靠的是IP/PC寄存器而遇到JMP、CALL、JE这些控制流指令时就必须重新定位下一条指令的地址。这里的定位规则就是程序寻址方式。程序寻址同样分几种直接跳转、间接跳转、相对跳转。其中相对跳转最重要因为它直接关系到代码能不能在内存里“搬家”。5.2 相对寻址的计算公式与短跳转的坑JMP SHORT label ; 机器码: EB disp8相对寻址在指令里存放的不是目标绝对地址而是一个相对于下一条指令地址的偏移量。CPU执行时用当前IP加上指令长度得到下一条指令地址再加上这个有符号偏移量得到真正的目标地址目标地址 下一条指令的地址 有符号位移量这样设计有一个巨大的好处代码整体换个位置只要指令之间的相对距离不变跳转依然有效。这也是为什么链接器能对代码块做重定位为什么PIC位置无关代码能实现。但短跳转只能在一个字节的范围内表达偏移也就是-128到127字节。一旦目标太远JMP SHORT就编不过去汇编器会报“short jump out of range”。我早年写一个比较大的引导扇区时踩过这个坑一个循环跨过了几十条指令跳转目标准确说也没多远但就是因为中间插了一堆数据偏移超了127编译直接失败。解决方法有两个一个是改写成近跳转EB变成E9disp16或disp32另一个是调整代码顺序把冷路径挪走让短跳转“够得着”。后者在优化引导代码时尤其管用。5.3 相对寻址在现代指令集里的回春RIP相对寻址x64时代相对寻址不仅用于跳转还被大量用于数据访问。原因是64位下绝对地址编码太长而且动不动就要塞一个64位地址指令会变得很臃肿。于是AMD64规定很多访存指令默认采用RIP相对寻址也就是以当前指令的下一条地址为基准加上32位偏移量来定位全局变量。看一段典型的x86-64编译产物movl g(%rip), %eax ; 访问全局变量g用RIP相对寻址 movl 12(%rdi), %edx ; 间接访问指针参数偏移12字节第一行的g(%rip)就是RIP相对寻址翻译过来的意思是“取RIP当前值加上到g的偏移”。这种设计天然适合PIC——程序加载到任意地址全局变量和代码的相对距离不变访问就没问题。好多从32位转64位的朋友第一次看到g(%rip)都懵觉得这地址怎么“不固定”。其实它比绝对地址稳定得多只要有相对位置就行。5.4 间接跳转函数指针和跳转表的基础JMP AX ; 目标地址在AX寄存器中 JMP [BX] ; 目标地址存在BX指向的内存单元 CALL [TABLEEAX*4] ; 从跳转表取目标地址间接跳转的目标地址来自寄存器或内存而不是指令里给出的偏移。它最大的价值在于实现“动态决定去哪儿执行”。C语言的函数指针、switch-case编译器生成的跳转表底层都是间接跳转/间接调用。看反汇编时如果看到CALL [regreg*4offset]基本就是在调用一个函数指针表里的某个函数。6. 实战中怎么选寻址方式编译器在背后替你做主6.1 一段C代码反汇编看编译器怎么选写成千上万行汇编不现实但理解高级语言怎么落到寻址方式上很有必要。用一段简单的C代码做例子int g; int f(int *p) { return g p[3]; }用x86-64的gcc加上-O2编译关键汇编大概是f: movl g(%rip), %eax ; 1. 访问全局变量g - RIP相对寻址 movl 12(%rdi), %edx ; 2. p[3] - 寄存器间接位移寻址 addl %edx, %eax ret每一次高级语言层面的访问都被编译器映射成了一种寻址方式全局变量用相对寻址数组元素用基址位移局部变量则用栈帧偏移。看懂这个映射关系之后调试时定位问题会快很多——看到foo(%rip)就想到对应源码里的全局量看到(%rbx)就想到正在解引用某个指针。6.2 手写汇编时的选型原则如果你需要手写汇编、写引导代码、写嵌入式启动代码我的选型建议如下数据能放寄存器就放寄存器寄存器寻址是最快的循环遍历数组优先用寄存器间接寻址必要时配合变址访问结构体字段或栈上变量用基址位移位移直接对应字段偏移常量、CRC表这类只读数据用直接寻址或相对寻址访问多分支跳转用跳转表间接跳转比一串CMP/JE清爽且更快。另外编码长度也要心里有数。在引导扇区512字节或固件这种寸土寸金的地方一条用disp8的指令比用disp32的指令短3个字节几十条指令就是几十字节。优化代码体积时我会刻意调整结构体布局让常用字段尽量落在disp8能覆盖的范围内-128~127这样编译器生成的指令更短还能捎带改善缓存占用。6.3 反汇编时快速识别寻址方式的小技巧看objdump输出或反汇编窗口时我一般按下述规律一秒定位指令里直接出现数值且没有[]大概率是立即数寻址寄存器名不带[]比如mov eax, ebx是寄存器寻址地址表达式带[]比如mov eax, [ebp-8]是某种内存寻址地址里只有一个寄存器且没有位移如[ebx]是寄存器间接寻址地址里有寄存器位移如[ebp16]是基址/变址寻址地址里有reg*4这种比例因子说明是SIB变址寻址跳转指令后面的目标地址反汇编器通常直接算好显示成绝对地址但编码其实是相对偏移。这一套熟练之后哪怕没有源码光靠反汇编你也能基本还原出程序里大致的数据结构和使用方式。7. 寻址方式最容易翻车的四个现场7.1 坑一立即数和直接寻址差一对括号数据差一个宇宙这个问题前面已经反复提到但我还是想单独拿出来说一次因为它值得。MOV AX, 1234H是“把1234H这个数给AX”MOV AX, [1234H]是“去地址1234H处取值给AX”。后者多一次内存访问但程序语义完全不同。我曾经在调试一个外设驱动时发现某状态寄存器永远读出一个古怪的固定值查了半天才发现代码写的是MOV AL, 0x3F8而不是MOV AL, [0x3F8]——直接把串口基地址当成读到的那一字节数据了。从那以后我每写一条带内存访问的汇编都会强迫自己检查一遍方括号有没有漏掉。7.2 坑二数组遍历时没按元素大小缩放偏移在C里写a[i]编译器会自动算a i * sizeof(元素)但手写汇编时没人替你算。如果数组是4字节整型你直接用[BXSI]而SI每次只加1那访问到的就是相邻字节而不是相邻元素。比如读取int a[10]第3个元素应该在a 2*4 a8的位置。手写代码时SI的增量必须是4。32位下可以直接利用SIB的比例因子写[EBXECX*4]省去手动乘法的指令16位下没有比例因子只能在循环里给SI加4或者用位移方式处理。这个坑在从C思维转到汇编时特别常见因为高级语言把这些细节都藏起来了。7.3 坑三BP默认是SS段访问数据段忘了段覆盖前面说了地址表达式里一旦出现BP默认就走SS段。很多从8086时代过来的老代码喜欢用BP保存临时指针并顺便访问数据段数组结果数组第一个元素读出来是栈里某个局部变量的值数据全乱。解决办法有两个一是别拿BP干数据寻址的活让它专心做帧指针二是确实要用就给指令加ES或DS段覆盖比如MOV AX, DS:[BPSI]。我在16位实模式的引导代码里见过这种混乱的写法排查地址问题时一定要先看一眼指令前面有没有段覆盖前缀。7.4 坑四短跳转偏移超范围链接时报错让人一头雾水短跳转只有1字节位移范围有限。当你写了一个很大的汇编函数中间跳转很多汇编器可能会报short jump is out of range或者relocation truncated to fit: R_386_PC8这类错误。新手看到这个报错往往以为是对齐问题其实只是跳转距离太远。处理技巧有两个。一个是把JMP SHORT改成JMP NEAR代价是多占几个字节另一个是调整跳转方向比如把条件跳转从“满足时跳到远处”改成“不满足时跳过一个近跳转”这样条件跳转本身是短距离的那个必要的远跳转单独用近跳转实现。后者在优化引导扇区代码时几乎是必修技能。7.5 我的调试习惯先拆地址表达式再查寻址方式最后讲一个我自己受益很多的小习惯。遇到内存访问类崩溃时我不急着看具体数据而是先把反汇编那行指令的地址表达式拆出来明确是“基址位移”“基址变址”还是“SIB比例寻址”然后逐项检查每一项的值。比如反汇编里是MOV EAX, [EBP-8]我会先确认EBP是不是合法的帧指针再看-8这个偏移对应的局部变量是什么。这么做比瞎看数据高效得多因为八成的问题都出在某个寄存器被改坏、或者偏移算错上寻址方式本身只是表象。拆清楚地址从哪来根因往往也就浮出水面了。
