189 8069 5689
目录
1.函数栈帧的含义
概念
要用到的汇编语言的知识
示例
2.理解栈帧
2.1 main函数栈帧的创建
2.2 局部变量的创建
2.3 函数传参
2.4 调用函数
2.5 函数返回
一个.c文件在调用函数的时候（包括main 函数），其内存中的栈区有什么变化？要压栈、出栈哪些寄存器呢？函数的参数是如何进行传递的呢？函数调用结束之后栈区又是如何变化的呢？本文通过使用汇编语言，对这些内容进行了较为详细的剖析。
1.函数栈帧的含义 概念首先，栈的概念想必不需要过多解释，那么什么是栈帧？引用百度百科：C语言中，每个栈帧对应着一个未运行完的函数。栈帧中保存了该函数的返回地址和局部变量。从这句话中，可以提炼以下几点信息：
· 栈帧是一块因函数运行而临时开辟的空间。
· 每调用一次函数便会创建一个独立栈帧。
· 栈帧中存放的是函数中的必要信息，如局部变量、函数传参、返回值等。
· 当函数运行完毕栈帧将会销毁。
我们知道，C语言的内存区分成了 静态区、栈区、堆区，函数栈帧无疑是在栈区创建和销毁的，所以其要符合栈“后进先出”的特点。
要用到的汇编语言的知识在这里使用汇编语言方面知识的原因是：通过它，我们可以深入底层了解一个程序是如何运行的，在何时——什么东西压栈，什么东西出栈，寄存器（汇编语言中一些用来暂时存储数据的东西）如何变化等等。这些都是C语言无法直观体现的，我们可以通过Visual Stdio 的在调试时的反汇编功能，将C语言代码转换成汇编语言代码，以便更好地观察。（另，C语言也是汇编语言编写的。）所以，简单地说，本文主要是在分析汇编语言的执行过程。
我们首先要了解几个汇编语言方面的东西，其中ESP和EBP时专门维护函数栈帧的，分别指向栈顶和栈底：
| 寄存器 | 用途 |
|---|---|
| EAX | 累加寄存器：用于乘除法、函数返回值 |
| EBX | 用于存放内存数据指针 |
| ECX | 计数器 |
| EDX | 用于乘除法、IO指针 |
| ESP | 存放栈顶指针（其值是地址） |
| EBP | 存放栈底指针（其值是地址） |
| 汇编指令 | 用途 |
|---|---|
| mov | mov A,B 将数据B移动到A |
| push | 压栈 |
| pop | 出栈 |
| call | 函数调用 |
| add | 加法 |
| sub | 减法 |
| rep | 重复 |
| lea | 加载有效地址 |
比如，我们写下一个如下的C语言程序，非常容易，只有main() 函数和一个 Add() 函数，主函数里面调用了 Add() 。
#includeint Add(int x, int y)
{
return x + y;
}
int main()
{
int a = 10;
int b = 20;
int c = Add(a, b);
return 0;
} 那么，一开始调用主函数的时候，主函数的函数栈帧就压栈；然后在主函数里面，调用了Add() 函数，此时Add() 的函数栈帧也要压栈。那么现在面临一个问题，是维护Add() 函数，还是维护main() 函数，亦或两者都维护？
其实，从平时使用Visual Stdio 调试的时候就可以看出来，当主函数内部调用一个函数A，按F11分步调试，会进入函数A的内部，函数A调用结束，会返回主函数。同理，实际上从进入函数A，一直到A 函数调用结束，这个过程都在维护函数A。所以，在main() 函数内部调用 Add() 函数之后，会出现如下图所示的情况，ebp和esp来维护Add() 函数的栈帧。当Add() 函数调用结束，它的函数栈帧自然就会出栈，此时ebp、esp又会返回维护main() 函数的栈帧。
实际上，main() 函数也是由其他函数调用的，其调用链条如下：
创建main函数的函数栈帧代码如下，汇编语言的注释是用 ; 所以这里 ; 后面的内容是注释，帮助理解代码。
006117A0 push ebp ; ebp 压栈
006117A1 mov ebp,esp ; 将 esp里面的值 赋给ebp
006117A3 sub esp,0E4h ; esp减去0E4h(十六进制)，得到的结果赋给esp
006117A9 push ebx ; ebx 压栈
006117AA push esi ; esi 压栈
006117AB push edi ; edi 压栈
006117AC mov edi,[ebp-24h] ; 将ebp往上数，第24h(16进制)个字节开始，向下4个字节的值赋给edi
006117AF mov ecx,9 ; 这里到结束的意思是：
006117B4 mov eax,0CCCCCCCCh ; 将0CCCCCCCCh 赋值给某块空间，这块空间从附加段中 edi 指向的位置开始
006117B9 rep stos dword ptr es:[edi] ; 一共执行九次（0CCCCCCCCh 是四个字节的内容，每次操作四个字节，所以一共操作了36字节）第一行
我们来开始逐句剖析上方代码，首先执行第一行（图中红色圆圈圈出来的黄色箭头，表示已经执行完其上一行，按F10调试就执行当前行），由于是压栈操作，所以esp的值会有所变化，如下图右边监视窗口，esp的值（十六进制显示的）相较之前改变了，所以变成红色：
如下，ebp压栈，同时esp上移：
第二行
该行是将esp的值赋给ebp，效果也如下图，右边监视窗口的红色部分所示。
如下，将esp的值赋给ebp之后，ebp和esp指向同一块地方：
第三行
该行是将esp的值减去0E4h(十六进制)，得到的结果赋给esp，如下图。
如图所示，由于图中从下往上是地址高处到地址低处，所以esp值变小，实际上图中是上移。并且，现在ebp和esp维护的空间，就是main函数的函数栈帧：
第四行
压栈，压入ebx，改变栈顶指针esp的值。
如下，压栈，esp上移：
第五行
压入esi，改变esp的值。
如下，和上一步类似：
第六行
压入edi，改变esp的值。 
和上一步也类似：
第七行
将[ebp-24h] 表示的地址赋值给edi。
这里就是把 edi 里面的值改变，从函数栈帧看不出什么，看上面的监视图就可以直到确实是改变了。
最后三行
如之前代码里的注释所说。
如下，两个箭头指示的值是一样的，其代表的是edi所表示的地址，从该地址开始，往后9个dw（double word 双字，一个双字等于四个字节）的内容，都赋值为cccccccc (十六进制)。
这三行代码效果如下：
整个过程可以用一张动图生动形象地展示：
接下来，我们在汇编代码中鼠标右击，然后将下图红色箭头所指示的"显示符号名" 的勾去掉。
发生改变的是下图中红色圆圈圈出来的，可以看出，原本所有的变量名，都变成了寄存器减去某个十六进制数字。他们实际上是等价的，即变量的地址就等于替换后的地址。
接下来分析局部变量创建过程。
首先，创建变量a，代码如下，其含义就是，将0Ah 这个十六进制数字，从ebp的地址低八位处开始放，占四个字节：
002C17C5 mov dword ptr [ebp-8],0Ah 如下图，可以通过两个红色箭头看到，右边监视的ebp的值就是左边 地址处的箭头指向的地址，说明这就是ebp的地址，然后减去八位，再根据栈从下往上使用以及Visual Stdio小端存储的特点，就成了内存区里面红色方框框出来的内容。（注意，比如 cc cc cc cc ，cc占据的是一个字节的空间，四个cc 就占据四个字节，而汇编语言中，地址-1，只跳过一个c，所以ebp-8是跳过8个c，即四个字节）
如下，图中一个小格子代表四个字节，不难看出，变量a存储的位置，在栈底指针往上跳过四个字节的地方。
然后创建局部变量b，通过内存图可以看出，变量b和变量a是间隔八个字节的：
如下图：
代码如下：
002C17D3 mov eax,dword ptr [ebp-14h] ; 将变量b的值赋给eax
002C17D6 push eax ; eax压栈
002C17D7 mov ecx,dword ptr [ebp-8] ; 将变量a的值赋给ecx
002C17DA push ecx ; ecx压栈 执行前两行代码，确实将变量b的值赋给了eax，然后eax引起的压栈导致了esp改变：
如下图，不要忘了eax里面的值和变量b是一样的哦：
执行后两行代码：
其效果和前两行类似，同时ecx里面存的是变量a的值：
上面的内容执行完之后，要执行如下语句，其意思是，执行 002C10B4 地址处的内容：
002C17DB call 002C10B4 然后我们将其滑倒该地，发现是这样的，意思是跳到002C1740地址处：
又找到该地址，发现如下，所以，通过这两步调用Add() 函数，如下红色部分，和创建main函数的函数栈帧类似，实际上就是创建了Add() 的函数栈帧：
效果如下，建立了Add函数的函数栈帧：
红色个方框后面两行代码不是很重要，是用来检查bug的，如下代码和图片：
002C1757 mov ecx,2CC003h
002C175C call 002C130C
函数返回：
002C1761 mov eax,dword ptr [ebp+8]
002C1764 add eax,dword ptr [ebp+0Ch]第一行代码： 将ebp+8 地址处的数据放到eax 。
第二行代码：将ebp+0Ch 地址处的数据和eax相加，结果存到eax里面。
如下图中，由于图片从下往上是地址从高到低，所以图片中ebp+8是在ebp下方。实际上就是ecx和eax的值相加，然后存到eax里面。eax里面存储变量b的值，ecx里面存储变量a的值，最后eax的值就是变量a、b之和。并且eax是不会随着Add() 函数的函数栈帧销毁而改变值。
通过监视也可以看出，eax的值变成0x0000001e，转换成十进制就是30。
此时已经拿到返回值，存储在eax里面，还要执行以下几行代码：
00AA13F1 pop edi
00AA13F2 pop esi
00AA13F3 pop ebx
00AA13F4 mov esp,ebp
00AA13F6 pop ebp
00AA13F7 ret就是出栈、赋值等等，结果如下，回到了调用Add() 函数之前的状态：
然后执行main() 函数后续代码代码，如下图红色框出：
第一行：esp加8，即esp在途中向下移动四个字节。
第二行，将eax的值赋给ebp-20h 地址处。
执行完之后，调试图如下，通过对比两个红色方框的内容，左边红色方框的地址，和右边&c 的值一样，说明那就是变量c 存储的地方，其值也是变量c 的值：
示意图如下：
通过对函数栈帧创建、销毁过程的剖析使我们不仅了解计算机做了什么，还了解了它是如何做的。通过函数栈帧尝试解析递归等问题相信也会更加直观。由于本人水平有限，不足之处还请大家多多指教。
你是否还在寻找稳定的海外服务器提供商？创新互联www.cdcxhl.cn海外机房具备T级流量清洗系统配攻击溯源，准确流量调度确保服务器高可用性，企业级服务器适合批量采购，新人活动首月15元起，快前往官网查看详情吧