x64堆栈展开并检查RIP是否在Epilog中

Question

我想解开x64调用栈，所以我尝试遵循在这里找到的“ UNWIND过程”：
http://msdn.microsoft.com/en-us/library/8ydc79k6.aspx

我了解如果RIP在Epilog中，我们需要考虑仍需要完成的操作来计算RSP的偏移量，但是我不清楚如何确定RIP是否在Epilog中（在本节中） 3.A）？
有人可以向我解释吗？ （链接或代码示例也将不胜感激）

Answer 1

从放松程序

为了确定RIP是否在结尾中，请检查从RIP开始的代码流。 如果该代码流可以与合法Epilog的结尾部分匹配，如CNDJ6nn5us4RjIIAqgBLqQsCAAAACAAAAA4AAABfAFIAZQBmADQAOQA2ADAAOQAyADQAMgA1AAAA REF _Ref496092425 \\ r \\ h 0部分中所述，则在Epilog的剩余部分中进行记录，并记录在Epilog中，并记录在处理每条指令时更新

，以及Prolog和Epilog的文章（为了更好的理解，我建议您全文阅读）

这些是结语的唯一合法形式。 它必须包含一个加法RSP，constant或lea RSP，constant [FPReg]，然后是一系列零个或多个8字节寄存器pop和一个return或jmp。 （在结语中仅允许使用jmp语句的一个子集。 没有其他代码可以出现。 特别是，结语中不能安排任何事情，包括返回值的加载。

注意，当不使用帧指针时，结尾必须使用add RSP，constant来释放堆栈的固定部分。 它可能不使用lea RSP，constant [RSP]代替。 由于存在此限制，因此展开代码在搜索Epilog时识别的模式较少。

看来，如果代码发现自己处于这种情况下，那么就检查那些特定指令的当前执行代码，如果匹配，就认为自己在结语中。