反汇编器如何识别二进制文件字节序列对应的导入函数调用

指令字节结构澄清 #

你对指令编码的认知有偏差，这条是x64架构下的间接调用指令，7字节的编码拆分如下：

• 48：REX.W前缀，标识指令操作数为64位，不是远调用操作码
• FF 15：实际的操作码，对应call r/m64的RIP相对寻址形式
• 90 78 11 00：32位有符号小端序偏移量，你提到的“剩余6个字节”里前2位是操作码，只有后4位是偏移量

偏移量的实际含义 #

FF 15编码对应的寻址逻辑是「RIP基准地址 + 32位偏移」，这里的RIP基准地址是当前call指令执行完毕后，下一条指令的起始地址。
这个计算结果不是CopyFileW的函数实现地址，而是IAT（导入地址表）中__imp_CopyFileW条目的内存地址，CPU执行这条call时会先读取该地址里存储的数值（Windows加载器会在程序运行时把CopyFileW的真实运行地址填入这个IAT条目），再跳转到对应地址执行。

手动计算步骤 #

1. 计算RIP基准地址
   你给出的call指令起始地址是0x0000000180063039，指令总长7字节，因此下一条指令的地址为：

RIP基准 = 0x180063039 + 7 = 0x180063040

2. 转换小端偏移为数值
   偏移的4字节存储顺序是90 78 11 00，x64采用小端序，因此实际偏移值为：

偏移量 = 0x00117890

3. 计算IAT条目地址
   将基准地址和偏移相加，得到__imp_CopyFileW的内存地址：

__imp_CopyFileW地址 = 0x180063040 + 0x117890 = 0x18017A8D0

你可以在IDA中直接跳转到这个地址，就能看到存储的CopyFileW真实运行地址。

IDA的识别逻辑 #

IDA首先会根据二进制文件的架构识别x64指令编码，解析出这是RIP相对寻址的间接调用，计算出访问的内存地址后，会匹配PE文件的导入表信息，如果该地址属于导入地址表范围，就会自动关联对应的导入函数名称__imp_CopyFileW，最终输出你看到的反汇编结果。

手动识别需要的额外信息 #

如果要脱离IDA完成整个解析，需要提前获取以下信息：

• 二进制文件的指令集架构（x86/x64会完全改变指令编码规则）
• PE文件的导入表、IAT段的起止地址和属性
• 指令的起始地址，用于计算RIP基准值

内容的提问来源于stack exchange，提问作者nomad