处理器的硬件架构
CPU结构介绍
处理器一般指中央处理器，中央处理器是一块超大规模的集成电路，是一台计算机的运算核心和控制核心。它的功能主要是解释计算机指令以及处理计算机软件中的数据。
CPU的根本任务就是执行指令，对计算机来说最终都是一串由“0”和“1”组成的序列。CPU从逻辑上可以划分成3个模块，分别是控制单元、运算单元和存储单元，这三部分由CPU内部总线连接起来。如下所示:
保护模式
保护模式与实模式相对应。在80286以前，CPU只有实时模式，地址总线有20位，而内存地址是16位，也就是最多能够访问2^20=1M的内存空间。在80286及以后，内存地址改为16位或32位，至少可以访问到2^32=4G的内存空间。但为了保证后续的CPU能够运行旧的CPU，只能保持向下兼容。因此，80286及以后的CPU首先进入实模式，然后通过切换机制再进入到保护模式。
保护模式与实模式相比，主要是两个差别：一是提供了段间的保护机制，防止程序间胡乱访问地址带来的问题，二是访问的内存空间变大。
特权级
特权级也称为用户态。它是一种机制来保护数据和阻止恶意行为（确保计算机安全）。电脑操作系统提供不同权限访问级别的资源。特权级分为4级，特权级0、1、2、3。
在windows中只使用特权级0和特权级3。特权最高的一般是特权级0，可以直接操作硬件，如CPU和内存。一般操作系统和驱动运行在此级别下。特权级3是给一般的程序使用的，可以调用基本的CPU指令。在特权级三无法调用特权级0的指令，如果调用则显示为非法指令。
引用特权级的概念是为了保护计算机，一些危险指令只有操作系统可以执行，防止普通程序滥用其他程序的资源。如间谍软件要想开启摄像头就必须向特权级0的驱动程序请求开启，否则就不允许。
中断和异常处理
中断是指CPU对系统发生某事件时的这样一种响应：CPU暂停正在执行的程序，在保留现场后自动地转去执行该事件的中断处理程序；执行完后，再返回到原程序的断点处继续执行。错误中断处理是指处理机调用相关的中断处理程序处理当前错误。计算机中错误可以分为软件错误和硬件错误，如程序出错(非法指令、地址越界)、电源故障等。
调试
程序调试是软件开发过程中进行排错和查错的过程，需要CPU架构的支持。IA-32架构的CPU中，标志位寄存器EFLAGS中的IF、TF标志用于调试模式的开启，将TF位置1使CPU处于单步执行状态，同时需要将IF位置1，开启CPU中断响应。
虚拟化技术
虚拟化技术与多任务以及超线程技术是完全不同的。多任务是指在一个操作系统中多个程序同时一起运行，而在虚拟化技术中，则可以同时运行多个操作系统，而且每一个操作系统中都有多个程序运行，每一个操作系统都运行在一个虚拟的CPU或者是虚拟主机上；而超线程技术只是单CPU模拟双CPU来平衡程序运行性能，这两个模拟出来的CPU是不能分离的，只能协同工作。
反汇编的对抗技术
代码混淆
代码混淆是将计算机程序的代码，转换成一种功能上等价，但是难于阅读和理解的形式的行为。代码混淆可以用于程序源代码，也可以用于程序编译而成的中间代码。执行代码混淆的程序被称作代码混淆器。目前已经存在许多种功能各异的代码混淆器。
将代码中的各种元素，如变量，函数，类的名字改写成无意义的名字。比如改写成单个字母，或是简短的无意义字母组合，甚至改写成“__”这样的符号，使得阅读的人无法根据名字猜测其用途。重写代码中的部分逻辑，将其变成功能上等价，但是更难理解的形式。比如将for循环改写成while循环，将循环改写成递归，精简中间变量，等等。打乱代码的格式。比如删除空格，将多行代码挤到一行中，或者将一行代码断成多行等等。
反调试
反调试技术，恶意代码用它识别是否被调试，或者让调试器失效。恶意代码编写者意识到分析人员经常使用调试器来观察恶意代码的操作，因此他们使用反调试技术尽可能地延长恶意代码的分析时间。为了阻止调试器的分析，当恶意代码意识到自己被调试时，它们可能改变正常的执行路径或者修改自身程序让自己崩溃，从而增加调试时间和复杂度。