ARM体系现在已经有9个版本了，不同体系指令集架构(ISA)和ABI有区别，但一般是向前兼容的，本文记录ARMv6和ARMv8，前者为32位，而后者扩充到了64位，并且兼容32位，它使用AArch64和AArch32两个执行状态来分别运行相应的指令集(A64|A32/T32)。本文将由v6开始扩展到v8。下面显示32位：

ARMv6 32位

工作状态

Arm状态和Thumb状态，前者使用4字节定长指令，后者使用2字节定长指令，重置或异常时恢复为ARM状态，可通过BX/BLX指令转换状态，当目标地址的低位为1时表示转换到thumb状态，否则为arm状态，返回时根据LR恢复状态，在插桩时特别要小心这一点，可通过指令长度确定目标片段的代码类型。

工作模式

这里的工作模式是指当前运行的级别，在ARMv6下有如下七种：

(在后来的版本中又增加了3种之后再补充。)

寄存器

一般只提Arm有37个可见的寄存器，但在某一时刻只有部分寄存器能使用，如下所示不同的模式可见的寄存器差不多，但是对应的物理寄存器不一定一致，例如User和Supervisor模式下的R0-R12指向同样的物理寄存器，而R13和R14在两种模式下实际对应的物理寄存器并不一致，所以一般我们在代码中只能看到10多个寄存器，而实际上有30多个：

在这里面CPSR也是按位表示一些状态，它的结构如下(新版会使用更多位)：

一般在指令集手册里它们叫ArmRegister，除此之外还有很多不可见的寄存器(我猜的)和协处理器，协处理器用于处理特殊任务，如多媒体任务，算数任务，加解密任务等，它只会执行和它功能相关的指令而忽略其他指令。

指令

本段记录的是ARM指令，Thumb指令以后有需要再补充。ARM指令有如下特点：

1. 几乎所有指令都有4位共16种条件标志位，当使用时表示满足条件才执行指令，在汇编上以两个字符的助记符表示
2. 很多指令助记符通过S表示该操作会影响程序状态字

注：下面的翻译并不一定正确，我只是为了好记！

寻址方式

1.立即数寻址：

ADD R0, R0, #0x10       ; R0=R0+0x10，立即数以#开头

2.寄存器寻址：

ADD R0, R1, R2          ; R0=R1+R2

3.寄存器间接寻址：

ADD R0, R1, [R2]        ; R0=R1+[R2]

4.基址变址寻址：

ADD R0, [R1, #4]        ;   R0=[R1+4]
ADD R0, [R1, #4]!       ; R0=[R1+4],R1+=4
ADD R0, [R1], #4        ; R0=[R1], R1+=4
ADD R0, [R1, R2]        ;   R0=[R1+R2]

5.多寄存器寻址：

LDMIA R0, {R1, R2, R3, R4}  ; R1=[R0],R2=[R0+4]...

这里的后缀有如下四种，用于表示每执行一个寄存器复制操作后原地址如何变化：

6.相对寻址：

BL main                         ; call main

7.堆栈寻址：

LDMFD SP!, {R1, R2, R3}; R1=[SP], SP-=4, R2=[SP], SP-=4, R3=[SP], SP-=4

这里的后缀有如下四种，用于表示当前栈指针所指位置是否存放了元素(如若指向的是最后压入的元素则为满栈)以及栈的增长方向(如递减表示由高地址到低地址增长)：

伪指令

伪指令是针对汇编器的，又汇编器转换成某特定结构，因此它大多和架构无关(但也有.thumb这种是特定于架构的)，比如在GCC上那些伪指令在ARM上也能用，因此这里只记录一些在在IDA里常看到的：

调用约定

在ARM中还有个概念易于和ISA混淆，且和ISA密切相关，那就是ABI，ARM支持多种ABI，移动和嵌入式上常见的是EABI，不过这不重要，我们需要关注的是ABI里的调用约定，这里面常用的调用约定是AAPCS(Procedure Call Standard for the Arm Architecture)和AAPCS64，它们分别对应32位和64位，这里介绍前者，在官方文档的调用约定里它的字表示32字节，太奇怪了，它应该叫双字！！！它的寄存器使用如下：

而它的栈使用满递减栈，使用时必须4字节对齐，关于字节序arm似乎可以采取大端和小端但默认是小端，根据官方文档可通过一个配置引脚修改，这是ABI的内容，现在一般遇到的其实都是小端序。

ARMv8 64位

ARMv8引进了很多新功能，这里只关注在aarch64下指令集的变化，此时它提供了31个64位通用寄存器X0～X30，当然若要使用32位也可用W0～W30来只取低32位(写入时高32位置零)，

模式

ARMv8-A架构定义了两种主要的执行状态：AArch64和AArch32。 * AArch64: 64位执行状态，使用64位通用寄存器和A64指令集。 * AArch32: 32位执行状态，以向后兼容ARMv7-A。它使用32位通用寄存器并支持A32和T32（Thumb）指令集。

在AArch64状态下，架构引入了异常级别（Exception Levels, ELs）的概念来取代之前的工作模式。特权级别从EL0到EL3，数字越大，特权越高：

寄存器

AArch64提供了31个64位通用寄存器（X0-X30），以及一个根据上下文可以是堆栈指针（SP）或零寄存器（XZR）的特殊寄存器。当使用W0-W30访问时，表示只使用这些寄存器的低32位，下面是简要描述：

• 通用寄存器: X0-X30，X0-X7通常用于传递参数和返回值，当使用W0-W30访问时，表示只访问这些寄存器的低32位，并且写入W寄存器时会将高32位清零。
• 堆栈指针 (SP): SP寄存器，用于指向当前栈顶，存在4个，在不同的异常级别下可以使用不同的SP，如SP_EL0, SP_EL1。
• 程序计数器 (PC): 保存下一条要执行的指令的地址，不能直接访问。
• 链接寄存器 (LR): 即X30，保存函数返回地址。
• 帧指针 (FP): 即X29，通常用于指向栈帧。
• SIMD和浮点寄存器: 32个128位寄存器（V0-V31），可用于不同的精度（如D0-D31用于64位，S0-S31用于32位）。
• PSTATE: 包含条件标志（N, Z, C, V可在EL0下访问）和其他状态位。
• 零寄存器 (XZR/WZR): XZR/WZR是一个特殊的寄存器，读取时始终为0，写入时丢弃写入的值。

特殊寄存器基本都是特权的，就不在这里提了，以后分析操作系统（中断/内存管理等）时再详细说明吧～

指令

AArch64使用A64指令集，这是一个定长的32位指令集。与ARMv6的主要区别在于条件执行的方式，A64不再对几乎所有指令提供条件执行选项，而是通过条件选择指令（如CSEL）来实现，条件标志位的含义保持不变。一些关键特性包括： * 64位能力: 支持超过4GB的内存寻址和更快的64位计算。 * 更多的寄存器: 31个通用寄存器，相比AArch32的15个有了显著增加。 * 标准化的SIMD/浮点: VFPv4和高级SIMD（Neon）成为标准配置。 * 加密指令: 增加了对AES, SHA-1/SHA-256的硬件支持。

寻址方式

A64的寻址方式更加规整： 1.立即数寻址：

ADD X0, X0, #0x10       ; X0 = X0 + 16

2.寄存器寻址：

ADD X0, X1, X2; X0 = X1 + X2
ADD X0, X1, X2, LSL #3  ; X0 = X1 + (X2 << 3)

3.基址变址寻址：

LDR X0, [X1, #16]; 偏移寻址: X0 = [X1 + 16]
LDR X0, [X1, X2]; 寄存器变址: X0 = [X1 + X2]
LDR X0, [X1, #16]!; 前变址: X1 = X1 + 16, X0 = [X1]
LDR X0, [X1], #16       ; 后变址X0 = [X1], X1 = X1 + 16

4.PC相对寻址：

ADR X0, label           ; 获label的地址到X0
LDR X0, label           ;label地址加载数据到X0

5.多寄存器寻址 (Load/Store Pair):

STP X0, X1, [SP, #16]   ;[SP+16]=X0, [SP+24]=X1

调用约定

上面提到了AAPCS，64位下的过程调用标准是AAPCS64：

1.参数传递时， 前8个整型/指针参数依次通过 X0-X7 传递，前8个浮点/向量参数依次通过 V0-V7 传递，更多参数通过栈传递。

2.对于返回值，整型/指针返回值通过 X0 传递。如果返回值大于64位，则使用 X0 和 X1，浮点/向量返回值通过 V0 传递。

3.栈指针（SP）必须始终保持16字节对齐，使用满递减栈。

参考

1. Whirlwind Tour of ARM Assembly
2. arm-directives-reference
3. ARM and Thumb Instructions
4. 《Android 系统安全和反编译实战》-- 刘云[著];朱桂英[著]
5. 《ARM处理器开发详解：基于ARM Cortex-A9处理器的开发设计》-- 秦山虎[著];刘洪涛[著]
6. armv8/armv9架构入门指南