为何ptrace(PTRACE_PEEKDATA)返回看似反转的数据流？

这是x86-64架构默认的**小端字节序（Little-Endian）**导致的，和你对二进制存储方式的理解偏差有关。

小端字节序的核心规则 #

多字节数值在内存中存储时，低字节存在内存低地址，高字节存在内存高地址。读取时，CPU会按这个规则把内存字节组合成完整数值。

结合你的例子分析 #

看反汇编里0x1158开始的8字节内存内容，按地址从低到高排列是：

• 0x1158: e8
• 0x1159: d3
• 0x115a: fe
• 0x115b: ff
• 0x115c: ff
• 0x115d: 31
• 0x115e: c0
• 0x115f: 48

而ptrace(PTRACE_PEEKDATA)读取的是8字节的完整数值，小端序下，这个数值的字节排列是把内存低地址的字节作为数值的最低位（最右侧），内存高地址的字节作为数值的最高位（最左侧）。把上面的字节从高地址到低地址拼接，就得到48 c0 31 ff ff fe d3 e8，组合成十六进制就是0x48c031fffffed3e8，和你实际得到的结果完全一致。

你预期的0xe8d3feffff31c048是按内存地址从低到高直接拼接的逻辑，这是**大端字节序（Big-Endian）**的存储方式，但x86-64架构并不采用这种方式。

总结 #

ptrace(PTRACE_PEEKDATA)会按目标CPU的字节序返回数据，x86-64是小端序，所以读取多字节数据时会呈现这种“反转”效果。如果要和反汇编里的字节顺序对应，只需把读取到的数值按字节反转即可。

内容的提问来源于stack exchange，提问作者venture601