我翻译的29A#7的一篇文章：
********************************
***                          ***
**  INTEL INSTRUCTION FORMAT  **
***                          ***
********************************

   
   intel指令具有特有的格式：


                         intel指令格式

+-------------+--------+----------+---------+--------------+------------+
; instruction ; opcode ;  ModR/M  ;   SIB   ; Displacement ; Immediate  ;
;   prefixe   ;        ;          ;         ;              ;            ;
+-------------+--------+----------+---------+--------------+------------+
    前缀         操作码  （可选）    （可选）   地址偏移(可选) 立即数(可选)

               1 or 2    1 字节      1 字节     1,2,4字节      1,2,4字节
               字节                            或者没有       或者没有
                              /         \    
                             /           \   
                            /             \
                           /               \
                          /                 \
                         /                   \
             7   6 5      3 2   0         7     6 5     3 2    0
            +-----+--------+-----+       +-------+-------+------+
            ; Mod ;  Reg/  ; R/M ;       ; scale ; index ; base ;
            ;     ; opcode ;     ;       ;       ;       ;      ;
            +-----+--------+-----+       +-------+-------+------+


   Intel指令在长度上可以不同, 但是它们都同样具有以上的6组
   ***************************
   ***                     ***
   **       指令前缀        **
   ***                     ***
   ***************************


   指令可以有（或者没有) 0,1,2,3 or 4 个前缀，每个前缀占用一个字节
   包含以下五种类型:

   - 段寄存器(segment)前缀:指定如下段  2E 36 3E 26 64 65

   - 操作数长度(Operand-Size)前缀 : 可以改变操作数长度 66

   - 地址长度(Address-Size)前缀 : 可以改变地址长度 67

   - 重复(REP/REPNE)前缀       : F3 F2

   - 总线加锁(LOCK)前缀     : 控制处理器总线  F0
   +----------------+
   段寄存器前缀
   +----------------+

   段寄存器前缀改变指令的默认段，默认段为DS：
   2EH : CS  segment override prefix.
   36H : SS  segment override prefix.
   3EH : DS  segment override prefix.
   26H : ES  segment override prefix.
   64H : FS  segment override prefix.
   65H : GS  segment override prefix.


   expl:     8B00    MOV EAX,DWORD PTR DS:[EAX]   (none prefix)
          2E:8B00    MOV EAX,DWORD PTR CS:[EAX]
             8B00    MOV EAX,DWORD PTR DS:[EAX]   (none prefix)
          36:8B00    MOV EAX,DWORD PTR SS:[EAX]

   +---------------------+
   操作数长度前缀
   +---------------------+

该前缀允许一个程序在16 /32位 操作数长度之间转换(默认为32位）
如果指定前缀66H，则转换为16位
   Quick example(in a win32 environement):

      89 C0   MOV EAX,EAX   (none prefix)
   66 89 C0   MOV AX, AX    (prefix=66h)

   +---------------------+
   ; 地址长度前缀 ;
   +---------------------+

同上，WIN32编程，该前缀对我们没有用处

   expl:     8B00   MOV EAX,DWORD PTR DS:[EAX]     32bits 寻址模式
          67:8B00   MOV EAX,DWORD PTR DS:[BX+SI]   16bits 寻址模式

   +--------------------+
   ; 重复(REP/REPNE)前缀;
   +--------------------+

         AD         LODS DWORD PTR DS:[ESI]
      F3 AD   REP   LODS DWORD PTR DS:[ESI]
      F2 AD   REPNE LODS DWORD PTR DS:[ESI]
   3E F2 AD   REPNE LODS DWORD PTR DS:[ESI]

   +-----------------+
   ; Bus LOCK Prefix ;
   +-----------------+

   No use for us...Execpt if you want to know all the mystery of intel instruction
   format in order to disasm the host, find a good place for the virus inside
   the disassembled host code and reassembly all the infected file...


   ***************************
   **                       **
   **  操作码(OP CODE)        **
   **                       **
   ***************************

   +------------------+
   ; 1字节操作码 ;
   +------------------+

   在intel文档你能找到这样的描述
   PUSH REG 指令:
   
   PUSH REG <------> 01010reg   (where 'reg' are 3 bits)
   PUSH EAX  --->  50h  --->  01010000   ---> 01010 000
                                                /      \
                                               /        \
                                              /          \
                                    bits   7 6 5 4 3   2 1 0
                                         +-----------+--------+
                                         ;  OPCODE   ;REGISTER;
                                         +-----------+--------+
                                         ; 0 1 0 1 0 ; 0 0 0  ;
                                            push         eax
                                         +-----------+--------+

        Little Opcode Table:              Register Table:
 
                                         REG 8bit 16bit 32bit
        01000reg : INC  REG              000 : AL : AX : EAX
        01001reg : DEC  REG              001 : CL : CX : ECX
        01010reg : PUSH REG              010 : DL : DX : EDX
        01011reg : POP  REG              011 : BL : BX : EBX
        10010reg : XCHG EAX,REG          100 : AH : SP : ESP
        10111reg : MOV  REG,IMM32        101 : CH : BP : EBP
                                         110 : DH : SI : ESI
                                         111 : BH : DI : EDI

   One another (fun) example:

   90h --->  10010 000 ---> XCHG EAX,EAX  (NOP)

   只有指令 inc reg, dec reg, push reg, pop reg, xchg eax,reg, mov reg,imm32
   可以这样编码!

   其他方式编码:

   89C1h ---> 1000100111000001b  ---> mov ecx,eax

   仍旧为一字节操作码: C1h 为 [ModR/M] 字段!

               89h      C1h
            10001001 11000001 
             [code]  [ModR/M]
              /          \
             /            \
            /              \
   +----------------+   +------------------+
   ; instr  ; d ; w ;   ; Mod; REG1 ; REG2 ;
   +--------+---+---;   +----+------+------+
   ; 100010 ; 0 ; 1 ;   ; 11 ; 000  ; 001  ;
   +--------+---+---+   +----+------+------+

 instr  : 操作码指令

 (d)bit: 如果 (d)=0 顺序为 REG2-REG1
         如果 (d)=1 顺序为 REG1-REG2

 (w)bit: if (w)=0 we are in 8  bits mode in 32bits environement(Win32)
         if (w)=1 we are in 32 bits mode in 32bits environement(Win32)

         if (w)=0 we are in 8  bits mode in 16bits environement
         if (w)=1 we are in 16 bits mode in 16bits environement

  Mod  : 以后再讲

                            ############################
                            # example for the (d) bit: #
                            ############################
                              (in 32bits environement)

       [code]             [ModR/M]            [code]             [ModR/M]
+----------------;;------------------+  +----------------;;------------------+
; instr  ; d ; w ;; Mod; REG1 ; REG2 ;  ; instr  ; d ; w ;; Mod; REG1 ; REG2 ;
+--------+---+---;;----+------+------+  +--------+---+---;;----+------+------+
; 100010 ; 0 ; 1 ;; 11 ; 000  ; 001  ;  ; 100010 ; 1 ; 1 ;; 11 ; 000  ; 001  ;
+--------+---+---;;----+------+------+  +--------+---+---;;----+------+------+
    !      !   \          EAX    ECX        !      !   \          EAX    ECX
    !      !    !       or AX  or CX        !      !    !       or AX  or CX
   \!/     !   \!/      or AL  or CL       \!/     !   \!/      or AL  or CL
    '      !    '                           '      !    '
   MOV     !   32bits                      MOV     !   32bits
          \!/                                     \!/
           '
        the order                               the order
      is REG2-REG1                             is REG1-REG2
 \_______________  _________________/      \_______________  _________________/
                 \/                                        \/
             MOV ECX,EAX                              MOV EAX,ECX

                            ############################
                            # example for the (w) bit: #
                            ############################


       [code]             [ModR/M]             [code]             [ModR/M]
+----------------;;------------------+  +----------------;;------------------+
; instr  ; d ; w ;; Mod; REG1 ; REG2 ;  ; instr  ; d ; w ;; Mod; REG1 ; REG2 ;
+--------+---+---;;----+------+------+  +--------+---+---;;----+------+------+
; 100010 ; 0 ; 1 ;; 11 ; 000  ; 001  ;  ; 100010 ; 0 ; 0 ;; 11 ; 000  ; 001  ;
+--------+---+---;;----+------+------+  +--------+---+---;;----+------+------+
    !      !   \          EAX    ECX        !      !   \          EAX    ECX
    !      !    !       or AX  or CX        !      !    !       or AX  or CX
   \!/     !   \!/      or AL  or CL       \!/     !   \!/      or AL  or CL
    '      !    '                           '      !    '
   MOV     !   32bits                      MOV     !   8bits
          \!/                                     \!/
           '
        the order                               the order
      is REG2-REG1                             is REG2-REG1
 \_______________  _________________/      \_______________  _________________/
                 \/                                        \/
             MOV ECX,EAX                              MOV CL,AL


                examples with 66h prefix:

  ;-------+-----------+----------+   ;-------+-----------+----------+
  ; Pref. ;   [code]  ; [ModR/M] ;   ; Pref. ;   [code]  ; [ModR/M] ;
  +-------+-----------+----------+   +-------+-----------+----------+
  ; 66h   ;   89h     ;  C1h     ;   ;       ;   88h     ;  C1h     ;
  +-------+-----------+----------+   +-------+-----------+----------+
  ; 66h   ; 10001001  ; 11000001 ;   ;       ; 10001000  ; 11000001 ; 
  ;       ;   (w)=1   ;          ;   ;       ;    (w)=0  ;          ;
  +-------+-----------+----------+   +-------+-----------+----------+
               MOV CX,AX                          MOV CL,AL


   Little Instruction Opcode table:

       BINARY       OPCODE
      -----------------------
      000010dw    OR  REG,REG
      001000dw    AND REG,REG
      001010dw    SUB REG,REG
      001100dw    XOR REG,REG
      001110dw    CMP REG,REG
      100000dw    ADD REG,REG
      100010dw    MOV REG,REG
   +-------------------+
   ; 双字节操作码 ;
   +-------------------+
   expl: 0f22 c0    mov cr0,eax
   ******************
   **              **
   **    ModR/M    **
   **              **
   ******************


   [ModR/M] 告诉处理器哪一个寄存器或者内存地址被使用
   [ModRM] 8位被分为如下3组
   groups (23).

                         7   6 5      3 2   0      
                        +-----+--------+-----+
                        ; Mod ;  Reg/  ; R/M ;
                        ;     ; opcode ;     ;
                        +-----+--------+-----+

      * [Mod]:
 
        00  : 内存地址(memory address)                   expl: eax, [eax]      
        01  : memory address+1字节地址偏移量             expl: [eax+00]  
        10  : memory address+一个双字地址偏移量          expl: [eax+00000000]
        11  : 两个操作数都为内存                         expl: eax,eax


      * [Reg/opcode]:

        这个字段被认为是代码扩展字段或者作为寄存器字段，处理器知道哪一个右侧编码相对这个字段

         -如果为代码扩展字段(Code extension):

          有的指令需要一个操作数，而有的需要两个操作数
          ADD: instruction requires 2-Operands     (add eax, eax)
          MUL: instruction requires only 1-Operand (mul eax)

          如果我们使用单操作数
          中间的3-Bits [Reg/opcode]field 就是代码扩展字段.
          
          example:
 
          F7D0 : 11110111 11 010 000   not eax
          F7E0 : 11110111 11 100 000   mul eax
          F7F0 : 11110111 11 110 000   div eax

          they all have 0xF7 for the [code] byte, only [Reg/opcode] is different.
          (000 is for the reg eax!)
          
         -如果为寄存器字段:

          example with the hex instruction:  

         [code] [MorR/M]
           39    d0
           CMP     \_
            \        \
             \        \
              \          7 6   5 4 3    2 1 0   bits
               \        +-----+--------+-------+
                \       ; Mod ;  Reg/  ; R/M   ;
                 \      ;     ; opcode ;       ;
                  |     +-----+--------+-------+
                   \    ; 1 1 ; 0 1 0  ; 0 0 0 ;
                    \   +-----+--------+-------+
                      CMP        EDX      EAX

       So 39d0h is CMP EAX,EDX  (because of the (d) bits in [code] field)


       * [R/M]

        依赖于(Mode) Bits in the ModRM 字节: 


  - If [Mod]=00 and [R/M]=101 : 没有寄存器用于计算地址，取而代之为一个双字在[ModR/M]字段后面
                                expl: 3305 563412   xor eax,[12345678h]

  - If [Mod]=00 and [R/M]=100 : [ModR/M]后面含有一个SIB字节

  - If [Mod]=01 and [R/M]=100 : [ModR/M]后面含有一个SIB字节

  - If [Mod]=10 and [R/M]=100 : [ModR/M]后面含有一个SIB字节
  - If [Mod]=11               : exmpl: 89:C0 =  mov eax, eax 
 
   (P.S.: I've not verify this part, if [Mod]=xx then it means....)
   (Let's make your own mind about that)

   ******************
   **              **
   **     SIB      **
   **              **
   ******************

   SIB  代表(Scale : Index :Base)全称.
   一般格式为( Scale * Index + Base ). 

                          7 6   5 4 3    2 1 0   bits
                        +-----+--------+-------+
                        ;Scale;  Index ; Base  ;
                        +-----+--------+-------+
                         Scale * Index + Base 

   * Scale : 被认为是乘数(of the index register)

   00:xxx:xxx = 2^0 = 1  (*1)
   01:xxx:xxx = 2^1 = 2  (*2)
   10:xxx:xxx = 2^2 = 4  (*4)
   11:xxx:xxx = 2^3 = 8  (*8)

   * Index : 是一个寄存器(除了esp)
   * Base  : 基础寄存器（Base Register）？

   expl:

        [SIB]      |
   ----------------+----------------------------
   00 : 000 : 001  |  mov reg, [1 * eax + ecx]
   01 : 001 : 010  |  mov reg, [2 * ecx + edx]
   01 : 110 : 111  |  mov reg, [2 * edi + esi]
   10 : 010 : 011  |  mov reg, [4 * edx + ebx]
   11 : 011 : 000  |  mov reg, [8 * eax + ebx]


   - 如果索引寄存器为ESP，则index被忽略，在这个例子里scale也被忽略，只有base register被使用计算地址
   - 如果我们需要如下编码(add reg, [esp]) 它可以使用SIB字节，但是它被编码成这样
     (add reg, [esp + DISPLACEMENT])

   ******************
   **              **
   ** DISPLACEMENT **
   **              **
   ******************

   Just a quik example with the instruction 8b bd 78563412 :

                         8b      bd    78563412
                       [code] [MorR/M]  [???]
                        /         \
                       /           \
                      /             \
                     /               \
   +----------------;               +-----+--------+-------+
   ; instr  ; d ; w ;               ; Mod ;  Reg/  ; R/M   ;
   +--------+---+---;               ;     ; opcode ;       ;
   ; 100010 ; 1 ; 1 ;               +-----+--------+-------+
   +--------+---+---;               ; 1 0 ; 1 1 1  ; 1 0 1 ;
   (d)=0 : the order is             +-----+--------+-------+
           REG1-REG2                         EDI      EBP
   (w)=1 : 32 bits mode                    or code
   instr : MOV r32,r/m32                  extension


[code]       = 8b        : opcode
                          ---> MOV r32,r/m32

[Mod]        = 10        : memory address with 1 dword displacement 
                          ---> MOV REG,[REG+DWORD]        

[Reg/opcode] = 111       : this instruction don't need an code extension
                           so it is a register
                          ---> MOV EDI,[EBP+DWORD]

[R/M]        = 101       : there is no [SIB] after the byte[ModR/M]
 
[78563412]   = 12345678h : it is the deplacement
                          ---> MOV EDI,[EBP+12345678h]


So the instruction 8b bd 78563412 is mov edi,[ebp+12345678h]

   *****************
   **             **
   **  IMMEDIATE  **
   **             **
   *****************

  expl:   05h          is the opcode for ADD EAX,imm32
          05h 00000010 is the instruction for add eax, 10000000


   ****************************
   **                        **
   **  ALGO OF DISASSEMBLY   **
   **                        **
   ****************************

       !
      \!/
 +-----'-------+
 ; Read 1 byte ; <---------
 +-------------+           \
       !                    \               +------------------+
      \!/                    --------<----- ; Convert to ASCII ;
 +-----'------------+                       +-------.----------+
 ; Check for prefix ;                              /!\
 +------------------+                               !
       !                                            !
      \!/                                   +-----------------+
 ;-----'----------------+                   ; [IMMEDIATE]     ;
 ; Decode [code] byte(s);                   +-----------------+
 +----------------------+                   ; [DISPLACEMENT]  ;
       !                                    +-----------------+
      \!/                                   ; decode [SIB]    ;
 +-----'-----------------+                  +-----------------+
 ; JMP or CALL opcodes ? ; -------->------> ; decode [ModR/M] ;
 +-----------------------+                  +-----------------+
下面是我注释的ADE32的代码，很多语义表示不清楚，大家凑合看吧，偶水平不行啊