【汇编语言】转移指令的原理（二） —— 一步到位：jmp 指令的四种跳转方式

前言

📌 汇编语言是很多相关课程（如数据结构、操作系统、微机原理）的重要基础。但仅仅从课程的角度出发就太片面了，其实学习汇编语言可以深入理解计算机底层工作原理，提升代码效率，尤其在嵌入式系统和性能优化方面有重要作用。此外，它在逆向工程和安全领域不可或缺，帮助分析软件运行机制并增强漏洞修复能力。 本专栏的汇编语言学习章节主要是依据王爽老师的《汇编语言》来写的，和书中一样为了使学习的过程容易展开，我们采用以8086CPU为中央处理器的PC机来进行学习。

1. 依据位移进行转移的jmp指令

1.1 “jmp short 标号”

jmp short 标号（转到标号处执行指令）

这种格式的 jmp 指令实现的是段内短转移，它对IP的修改范围为 -128~127，也就是说，它向前转移时可以最多越过128个字节，向后转移可以最多越过127个字节。

jmp指令中的“short”符号，说明指令进行的是短转移。

jmp指令中的“标号”是代码段中的标号，指明了指令要转移的目的地，转移指令结束后，CS:IP应该指向标号处的指令。

1.2 举例说明

比如程序1：

assume cs:codesg
codesg segment
  start:mov ax,0
        jmp short s
        add ax,1
      s:inc ax
codesg ends

end start

上面的程序执行后，ax中的值为 1 。

因为执行jmp short s后 ，越过了add ax,1，IP 指向了标号 s处的inc ax。也就是说，程序只进行了一次ax加1操作。

1.3 寻找 jmp short 标号 的原理

1.3.1 观察机器指令

汇编指令jmp short s对应的机器指令应该是什么样的呢？

我们先看一下别的汇编指令和其对应的机器指令。

可以看到，在一般的汇编指令中，汇编指令中的idata(立即数)，不论它是表示一个数据还是内存单元的偏移地址，都会在对应的机器指令中出现，因为CPU执行的是机器指令，它必须要处理这些数据或地址。

1.3.2 调试并发现问题

现在我们在Debug中将刚才的程序翻译成为机器码，看到如下结果。

对照汇编源程序！

我们可以看到，Debug 将 jmp short s 中的 s 表示为inc ax 指令的偏移地址 8 ，并将jmp short s 表示为 jmp 0008 ，表示转移到cs:0008处。

这一切似乎合理，但是当我们查看jmp short s或是jmp 0008所对应的机器码，却发现了一些问题，却意外地发现了一些问题……

jmp 0008 （Debug 中的表示）或jmp short s （汇编语言中的表示）所对应的机器码为EB 03，注意，这个机器码中竟不包含转移的目的地址。

这意味着，CPU 在执行EB 03的时候，并不知道转移目的地址。

令人奇怪的是，汇编指令jmp short s中，明明是带有转移的目的地址(由标号s表示)的，可翻译成机器指令后，怎么目的地址就没了呢？没有了目的地址，CPU如何知道转移到哪里呢?

1.3.3 改写程序

我们把程序一改写一下，变成下面这样。

程序2：

assume cs:codesg
codesg segment
  start:mov ax,0
  		mov bx,0
        jmp short s
        add ax,1
      s:inc ax
codesg ends

end start

1.3.4 调试并观察新的程序

我们在 Debug中将程序2翻译成为机器码，看到的结果如下图所示。

比较一下前面两个程序用Debug查看的结果。

注意，两个程序中的jmp指令都要使IP指向inc ax指令，但是程序1的inc ax指令的偏移地址为8，而程序2的inc ax指令的偏移地址为000BH。

我们再来看两个程序中的jmp指令所对应的机器码，都是EB03。

这说明CPU在执行jmp 指令的时候并不需要转移的目的地址。

两个程序中的jmp 指令的转移目的地址并不一样，一个是cs:0008，另一个是cs:000B，如果机器指令中包含了转移的目的地址的话，那么它们对应的机器码应该是不同的。可是它们对应的机器码都是EB03，这说明在机器指令中并不包含转移的目的地址。如果机器指令中不包含目的地址的话，那么也就是说，CPU不需要这个目的地址就可以实现对IP的修改。

1.3.5 分析现象

CPU不是神仙，它只能处理你提供给它的东西，jmp指令的机器码中不包含转移的目的地址。

那么，CPU如何知道将IP改为多少呢？

所以，在jmp指令的机器码中，一定包含了某种信息，使得CPU可以将它当做修改IP的依据。这种信息是什么呢？我们一步步地分析。

我们先简单回忆一下 CPU 执行指令的过程：

（1）从CS:IP指向内存单元读取指令，读取的指令进入指令缓冲器:

（2）(IP)=(IP)+所读取指令的长度，从而指向下一条指令;

（3）执行指令。转到1，重复这个过程。

按照这个步骤，我们参照程序2对应的Debug图看一下，程序2中jmp short s指令的读取和执行过程如下：

（1）(CS)=0BBDH，(IP)=0006，CS:IP指向EB 03（jmp short s的机器码）；

（2）读取指令码EB 03进入指令缓冲器；

（3）(IP)=(IP)+所读取指令的长度=(IP)+2=0008H，CS:IP指向add ax,1；

（4）CPU指行指令缓冲器中的指令EB 03；

（5）指令EB 03执行后，(IP)=000BH，CS:IP指向inc ax。

从上面的过程中我们看到，CPU将指令EB03读入后，IP指向了下一条指令，即CS:0008处的 add ax,1，接着执行EB 03。

如果 EB 03 没有对IP进行修改的话，那么，接下来 CPU 将执行 add ax,1，可是，CPU执行的 EB 03却是一条修改IP 的转移指令，执行后(IP)=000BH，CS:IP指向inc ax，CS:0008处的add ax,1 没有被执行。

CPU在执行EB 03的时候是根据什么修改的IP，使其指向目标指令呢？

就是根据指令码中的03。注意，要转移的目的地址是CS:000B，而CPU执行EB 03时，当前的(IP)=0008H，如果将当前的IP值加 3，使(IP)=000BH，CS:IP 就可指向目标指令。

在转移指令EB03中并没有告诉CPU要转移的目的地址，却告诉了CPU要转移的位移，即将当前的IP向后移动3个字节。

因为程序1、2中的jmp指令转移的位移相同，都是向后3个字节，所以它们的机器码都是EB03。

1.3.5 得出结论

原来如此，在“jmp short 标号”指令所对应的机器码中，并不包含转移的目的地址，而包含的是转移的位移。

这个位移，是编译器根据汇编指令中的“标号”计算出来的，具体的计算方法如下图所示。

实际上，指令“jmp short 标号”的功能为：(IP)=(IP)+8位位移。

（1）8位位移=“标号”处的地址 - jmp指令后的第一个字节的地址；

（2）short指明此处的位移为8位位移；

（3）8位位移的范围为-128~127，用补码表示

（4）8位位移由编译程序在编译时算出。

1.4 “jmp near ptr 标号”

还有一种和指令“jmp short 标号”功能相近的指令格式，jmp near ptr 标号 它实现的时段内近转移。

指令“jmp near ptr 标号”的功能为：(IP)=(IP)+16位位移。

指令“jmp near ptr 标号”的说明：

（1）16位位移=“标号”处的地址 - jmp指令后的第一个字节的地址；

（2）near ptr指明此处的位移为16位位移，进行的是段内近转移；

（3）16位位移的范围为 -32769~32767，用补码表示

（4）16位位移由编译程序在编译时算出。

2. 转移的目的地址在指令中的jmp指令

2.1 “jmp far ptr 标号”

前面讲的jmp指令，其对应的机器码中并没有转移的目的地址，而是相对于当前IP的转移位移。

指令 “jmp far ptr 标号” 实现的是段间转移，又称为远转移。

指令 “jmp far ptr 标号” 功能如下：

• (CS)=标号所在段的段地址；
• (IP)=标号所在段中的偏移地址。
• far ptr指明了指令用标号的段地址和偏移地址修改CS和IP。

2.2 示例程序

看下面的程序：

assume cs:codesg
codesg segment
	start:	mov ax,0
			mov bx,0
			jmp far ptr  s
			db 256 dup (0)
		s: 	add ax,1
			inc ax
codesg ends

end start

2.3 调试并分析程序

在 Debug 中将上面的程序翻译成为机器码，看到的结果如下图所示。

如上图中所示：源程序中的db 256 dup (0)，被Debug解释为相应的若干条汇编指令 。这不是关键，关键是，我们要注意一下jmp far ptr s所对应的机器码：EA 0B 01 BD 0B ，其中包含转移的目的地址。

“0B 01 BD 0B” 是目的地址在指令中的存储顺序，高地址的“BD 0B”是转移的段地址：0BBDH，低地址的“0B 01” 是偏移地址：010BH。

3. 转移地址在寄存器中的jmp指令

指令格式：jmp 16位 reg

功能：(IP)=(16 位 reg)

这种指令我们在前面的内容中已经讲过，这里就不再详述，详细内容见：

【汇编语言】寄存器（CPU工作原理）（六）—— 修改CS，IP的指令以及代码段_

4. 转移地址在内存中的jmp指令

转移地址在内存中的jmp指令有两种格式，如下。

4.1 段内转移格式

4.1.1 形式与功能

jmp word ptr 内存单元地址（段内转移）

功能：从内存单元地址处开始存放着一个字，是转移的目的偏移地址。

内存单元地址可用寻址方式的任一格式给出。

4.1.2 示例

比如，下面的指令：

mov ax,0123H
mov ds:[0],ax
jmp word ptr ds:[0]

执行后，(IP)=0123H

又比如，下面的指令：

mov ax,0123H
mov [bx],ax
jmp word ptr [bx]

执行后，(IP)=0123H

4.2 段间转移格式

4.2.1 形式与功能

jmp dword ptr 内存单元地址（段间转移）

功能：从内存单元地址处开始存放着两个字，高地址处的字是转移的目的段地址，低地址处是转移的目的偏移地址。

(CS)=(内存单元地址+2)

(IP)=(内存单元地址)

内存单元地址可用寻址方式的任一格式给出。

4.2.2 示例

比如，下面的指令：

mov ax,0123H
mov ds:[0],ax
mov word ptr ds:[2],0
jmp dword ptr ds:[0]

执行后，(CS)=0，(IP)=0123H，CS:IP 指向 0000:0123。

又比如，下面的指令：

mov ax,0123H
mov [bx],ax
mov word ptr [bx+2],0
jmp dword ptr [bx]

执行后，(CS)=0，(IP)=0123H，CS:IP 指向 0000:0123。

结语

今天的分享到这里就结束啦！如果觉得文章还不错的话，可以三连支持一下。