硬编码：E8 和 E9 指令

E8 和 E9 是 call 和 jmp 指令的操作码，后面跟的并不是直接的小端序地址。关键是如何计算跳转的地址。

call 例子：

1 2	call 0x77E5425F E8 5F 42 E5 77 (这是错的)

jmp 例子：

1 2	jmp 0x2345678 E9 2B 2B 00 00

从这个例子可以看出，E8 和 E9 后面的地址不是直接的小端序转换。要理解如何生成这些字节，我们需要用一个公式来计算。

跳转地址的计算方式

真正要跳转的地址 = E8 或 E9 指令的下一条指令的地址 + X

其中：

X = 真正要跳转的地址 - E8 或 E9 指令的下一条指令的地址

具体例子

func();
00A825E1 E8 62 ED FF FF       call        func (0A81348h)  
return 0;
00A825E6 33 C0                xor         eax,eax  
00A825E8 5F                   pop         edi  
00A825E9 5E                   pop         esi  
00A825EA 5B                   pop         ebx  
00A825EB 81 C4 C0 00 00 00    add         esp,0C0h

解释：

在 00A825E1 的 call func 指令中，操作码 E8 后面的字节是 62 ED FF FF，它表示要跳转的偏移量。这个偏移量是如何计算出来的？

根据公式：

1	X = 真正要跳转的地址 - （E8 指令地址 + 5）

0xA81348 是 func 的地址
E8 的地址是 0xA825E1
下一条指令的地址是 0xA825E6 （因为 E8 是 5 个字节）

所以：

1	X = 0xA81348 - 0xA825E6 = 0xFFFFED62

转换成小端序格式：

1	62 ED FF FF

因此，指令 E8 62 ED FF FF 就表示跳转到地址 0xA81348。

总结

E8 和 E9 的操作码后面跟的并不是目标地址的直接小端序，而是目标地址与下一条指令地址的偏移量 X。
偏移量的计算公式是：X = 目标地址 - （指令地址 + 5），然后将 X 转换为小端序。

Work

写一个windows程序，功能就是简单地弹出一个窗口

#include <windows.h>
int WINAPI WinMain(
    HINSTANCE hInstance,      // 当前实例句柄
    HINSTANCE hPrevInstance,  // 以前的实例句柄
    LPSTR lpCmdLine,          // 命令行参数
    int nCmdShow              // 显示窗口的方式
)
{
    MessageBox(0,0,0,0);
    return 0;
}