目錄引言前言須知一寄存器二匯編指令1.基礎(chǔ)指令數(shù)據(jù)的搬運(yùn)2.控制指令程序的指揮3.棧操作與算數(shù)指令三棧幀的創(chuàng)建四進(jìn)入函數(shù)五棧幀的銷(xiāo)毀六銷(xiāo)毀解析七:延伸問(wèn)題1.局部變量的創(chuàng)建2.返回值3.局部變量不初始化是隨機(jī)數(shù)4.函數(shù)傳參5.數(shù)據(jù)存儲(chǔ)八:手寫(xiě)筆記引言“代碼的本質(zhì)不過(guò)是 CPU 執(zhí)行的一條條機(jī)器指令而程序的運(yùn)行不過(guò)是內(nèi)存地址的不斷偏移與覆蓋。”當(dāng)我們?cè)诤诳蚪K端里按下回車(chē)一個(gè)普通的函數(shù)調(diào)用在底層究竟發(fā)生了什么從參數(shù)壓棧、返回地址保存到棧幀的開(kāi)辟、局部變量的分配再到最后的平棧與返回。這看似行云流水的幾毫秒背后是 push、pop、call、ret 等匯編指令的精確協(xié)作。棧幀Stack Frame不僅是高級(jí)語(yǔ)言函數(shù)執(zhí)行的基礎(chǔ)載體更是理解遞歸、緩沖區(qū)溢出漏洞Stack Overflow Exploit以及逆向工程的敲門(mén)磚。本文將從零開(kāi)始剝絲抽繭用圖文筆記復(fù)原函數(shù)棧幀從創(chuàng)建到銷(xiāo)毀的全生命周期。前言須知1.函數(shù)棧幀的創(chuàng)建與銷(xiāo)毀在不同的編譯器下會(huì)略有差異2.越高級(jí)的編譯器在各種原因下封裝越復(fù)雜難以觀察3.該文章是基于VS 2013寫(xiě)的4.在VS 2013中main函數(shù)也是被其他函數(shù)調(diào)用的調(diào)用邏輯如下一寄存器寄存器分為多種eax,ebx,ecx,edx,ebp,esp等其中最重要的是ebp,espeax,ebx,ecx,edxeax累加器。專管數(shù)學(xué)運(yùn)算比如加減乘除的核心參與者和結(jié)果存放地也是函數(shù)返回值的默認(rèn)載體ebx基址寄存器。最開(kāi)始專門(mén)用來(lái)存放內(nèi)存地址的基準(zhǔn)值類似于 ebpecx計(jì)數(shù)器。專管循環(huán)次數(shù)比如匯編里的 loop 指令默認(rèn)使用 ecx 作為遞減計(jì)數(shù)器edx數(shù)據(jù)寄存器。通常用來(lái)配合 eax 做大數(shù)運(yùn)算比如乘法的高 32 位除法的余數(shù)ebp,espebp,esp中存放的是地址這兩個(gè)地址是用來(lái)維護(hù)函數(shù)棧幀的兩者聯(lián)合使用來(lái)維護(hù)兩個(gè)地址之間的函數(shù)棧幀從調(diào)用堆棧及反匯編中觀察在調(diào)用哪個(gè)函數(shù)ebpexp就去維護(hù)哪個(gè)函數(shù)esp棧頂指針。永遠(yuǎn)指向當(dāng)前棧的最頂端最低地址ebp棧底指針。在一個(gè)函數(shù)內(nèi)它通常保持不變用來(lái)作為尋找參數(shù)和局部變量的“基準(zhǔn)坐標(biāo)”eipeip指令指針。永遠(yuǎn)指向 CPU 下一條要執(zhí)行的指令地址二匯編指令1.基礎(chǔ)指令數(shù)據(jù)的搬運(yùn)mov把數(shù)據(jù)從一個(gè)地方搬到另一個(gè)地方寄存器到內(nèi)存內(nèi)存到寄存器寄存器到寄存器push將數(shù)據(jù)放入棧頂。底層動(dòng)作是先將 esp 減 4因?yàn)闂Ｏ虻偷刂飞L(zhǎng)然后將數(shù)據(jù)存入 esp 指向的新地址pop從棧頂取出數(shù)據(jù)。底層動(dòng)作是將 esp 指向的數(shù)據(jù)讀出然后將 esp 加 4lea計(jì)算內(nèi)存地址并將其存入寄存器。它不讀取內(nèi)存里的值只算地址相當(dāng)于C語(yǔ)言的 取地址符2.控制指令程序的指揮call是進(jìn)入一個(gè)函數(shù)的號(hào)角。底層動(dòng)作I.壓棧把下一條指令的地址返回地址即 eip 的值壓入棧中。II.跳轉(zhuǎn)修改 eip 的值讓 CPU 跳到被調(diào)用函數(shù)的入口地址去執(zhí)行ret與 call 相對(duì)應(yīng)結(jié)束函數(shù)調(diào)用。底層動(dòng)作它從棧頂彈出一個(gè)值給 eip這就是 call 之前存進(jìn)去的“返回地址”CPU 就會(huì)順著這個(gè)地址回到主函數(shù)繼續(xù)執(zhí)行。jmp無(wú)條件跳轉(zhuǎn) / 根據(jù)標(biāo)志位跳轉(zhuǎn)如 je 相等跳轉(zhuǎn)jne 不等跳轉(zhuǎn)3.棧操作與算數(shù)指令sub/add減法 / 加法xor位運(yùn)算leave這是匯編器為了方便提供的一個(gè)復(fù)合指令。它等價(jià)于兩句指令I(lǐng). mov esp, ebp 把棧頂指針直接拉回棧底位置瞬間回收所有局部變量空間。II.pop ebp 彈出原來(lái)的 ebp恢復(fù)上一層函數(shù)的棧底。nop空指令什么都不做占用 1 個(gè)字節(jié)int 3(0xCC)斷點(diǎn)中斷。CPU 執(zhí)行到這里會(huì)暫停三棧幀的創(chuàng)建1.先在上個(gè)函數(shù)上壓棧2.在壓棧后執(zhí)行mov開(kāi)辟棧區(qū)空間3.初始化棧幀空間在其中加入隨機(jī)值VS 2013上為C繼續(xù)用mov等開(kāi)辟局部變量的空間四進(jìn)入函數(shù)1.壓入ebx,esi,edi2.壓入局部變量3.call指令下一條指令的地址4.記錄ebp—main5.開(kāi)辟函數(shù)空間棧幀創(chuàng)建五棧幀的銷(xiāo)毀1.pop恢復(fù)調(diào)用前的值2.ret返回值3.mov把ebpesp移走六銷(xiāo)毀解析通過(guò)pop把壓棧的寄存器復(fù)原再由mov把espebp移走(回收)。實(shí)現(xiàn)銷(xiāo)毀main提前把棧頂與棧底備份了ebpesp能再次找到故未銷(xiāo)毀銷(xiāo)毀:直接允許后續(xù)操作直接覆蓋七:延伸問(wèn)題1.局部變量的創(chuàng)建先建該函數(shù)調(diào)用的函數(shù)棧幀→初始化一部分→在棧幀空間中找到空間→把變量放進(jìn)去2.返回值現(xiàn)將返回值放入寄存器中→回到函數(shù)→把值放到變量中3.局部變量不初始化是隨機(jī)數(shù)隨機(jī)值是給main函數(shù)(或其他函數(shù))初始化時(shí)隨機(jī)放的(每個(gè)編譯器都有所不同)4.函數(shù)傳參調(diào)函數(shù)時(shí)先把參數(shù)以push從右到左開(kāi)始?jí)簵喝搿M(jìn)入形參后通過(guò)指針偏移量找到壓棧的參數(shù)(函數(shù)形參不在該內(nèi)存棧幀內(nèi)而是調(diào)用該函數(shù)的棧幀的擴(kuò)展)5.數(shù)據(jù)存儲(chǔ)數(shù)據(jù)可存儲(chǔ)在三個(gè)地方(彼此相互獨(dú)立)硬盤(pán)內(nèi)存寄存器(寄存器是集成在CPU上的)八:手寫(xiě)筆記