棧：?在函數(shù)調用時，第一個進棧的是主函數(shù)中函數(shù)調用后的下一條指令（函數(shù)調用語句的下一條可執(zhí)行語句）的地址，然后是函數(shù)的各個參數(shù)，在大多數(shù)的C編譯器中，參數(shù)是由右往左入棧的，然后是函數(shù)中的局部變量。注意靜態(tài)變量是不入棧的。
當本次函數(shù)調用結束后，局部變量先出棧，然后是參數(shù)，最后棧頂指針指向最開始存的地址，也就是主函數(shù)中的下一條指令，程序由該點繼續(xù)運行。
當發(fā)生函數(shù)調用的時候,棧空間中存放的數(shù)據(jù)是這樣的:
1、調用者函數(shù)把被調函數(shù)所需要的參數(shù)按照與被調函數(shù)的形參順序相反的順序壓入棧中,即:從右向左依次把被調函數(shù)所需要的參數(shù)壓入棧;
2、調用者函數(shù)使用call指令調用被調函數(shù),并把call指令的下一條指令的地址當成返回地址壓入棧中(這個壓棧操作隱含在call指令中);
3、在被調函數(shù)中,被調函數(shù)會先保存調用者函數(shù)的棧底地址(push ebp),然后再保存調用者函數(shù)的棧頂?shù)刂?即:當前被調函數(shù)的棧底地址(mov ebp,esp);
4、在被調函數(shù)中,從ebp的位置處開始存放被調函數(shù)中的局部變量和臨時變量,并且這些變量的地址按照定義時的順序依次減小,即:這些變量的地址是按照棧的延伸方向排列的,先定義的變量先入棧,后定義的變量后入棧;
所以,發(fā)生函數(shù)調用時,入棧的順序為:
參數(shù)N
參數(shù)N-1
參數(shù)N-2
.....
參數(shù)3
參數(shù)2
參數(shù)1
函數(shù)返回地址
上一層調用函數(shù)的EBP/BP
局部變量1
局部變量2
....
局部變量N
函數(shù)調用棧如下圖所示:
解釋:? //EBP 基址指針，是保存調用者函數(shù)的地址，總是指向函數(shù)棧棧底，ESP被調函數(shù)的指針，總是指向函數(shù)棧棧頂。
首 先,將調用者函數(shù)的EBP入棧(pushebp),然后將調用者函數(shù)的棧頂指針ESP賦值給被調函數(shù)的EBP(作為被調函數(shù)的棧底,movebp,esp),此時,EBP寄存器處于一個非常重要的位置,該寄存器中存放著一個地址(原EBP入棧后的棧頂),以該地址為基準,向上(棧底方向)能獲取返回地址、參數(shù)值,向下(棧頂方向)能獲取函數(shù)的局部變量值,而該地址處又存放著上一層函數(shù)調用時的EBP值;
一般規(guī)律,SS:[ebp+4]處為被調函數(shù)的返回地址,SS:[EBP+8]處為傳遞給被調函數(shù)的第一個參數(shù)(最后一個入棧的參數(shù),此處假設其占用4字節(jié)內存)的值,SS:[EBP-4]處為被調函數(shù)中的第一個局部變量,SS:[EBP]處為上一層EBP值;由于EBP中的地址處總是"上一層函數(shù)調用時的EBP值",而在每一層函數(shù)調用中,都能通過當時的EBP值"向上(棧底方向)能獲取返回地址、參數(shù)值,向下(棧頂方向)能獲取被調函數(shù)的局部變量值";
如此遞歸，就形成了函數(shù)調用棧；
Eg函數(shù)內局部變量布局示例：
[plain]?view plain
?copy#include?<stdio.h>??#include?<string.h>??struct?C??{????int?a;????int?b;????int?c;??};??int?test2(int?x,?int?y,?int?z)??{????printf("hello,test2\n");????return?0;??}??int?test(int?x,?int?y,?int?z)??{????int?a?=?1;????int?b?=?2;????int?c?=?3;????struct?C?st;????printf("addr?x?=?%u\n",(unsigned?int)(&x));????printf("addr?y?=?%u\n",(unsigned?int)(&y));????printf("addr?z?=?%u\n",(unsigned?int)(&z));????printf("addr?a?=?%u\n",(unsigned?int)(&a));????printf("addr?b?=?%u\n",(unsigned?int)(&b));????printf("addr?c?=?%u\n",(unsigned?int)(&c));????printf("addr?st?=?%u\n",(unsigned?int)(&st));????printf("addr?st.a?=?%u\n",(unsigned?int)(&st.a));????printf("addr?st.b?=?%u\n",(unsigned?int)(&st.b));????printf("addr?st.c?=?%u\n",(unsigned?int)(&st.c));????return?0;??}?int?main(int?argc,?char**?argv)??{????int?x?=?1;????int?y?=?2;????int?z?=?3;????test(x,y,z);????printf("x?=?%d;?y?=?%d;?z?=?%d;\n",?x,y,z);????memset(&y,?0,?8);????printf("x?=?%d;?y?=?%d;?z?=?%d;\n",?x,y,z);????return?0;??}??
打印輸出如下：
[plain]?view plain
?copyaddr?x?=?3220024704??addr?y?=?3220024708??addr?z?=?3220024712??addr?a?=?3220024684??addr?b?=?3220024680??addr?c?=?3220024676??addr?st?=?3220024664??addr?st.a?=?3220024664??addr?st.b?=?3220024668??addr?st.c?=?3220024672??x?=?1;?y?=?2;?z?=?3;??x?=?0;?y?=?0;?z?=?3;??
局部變量在棧中布局示意圖：
該圖中的局部變量都是在該示例中定義的：
?這個圖片中反映的是一個典型的函數(shù)調用棧的內存布局;
訪問函數(shù)的局部變量和訪問函數(shù)參數(shù)的區(qū)別:
局部變量總是通過將ebp減去偏移量來訪問，函數(shù)參數(shù)總是通過將ebp加上偏移量來訪問。對于32位變量而言，第一個局部變量位于ebp-4，第二個位于ebp-8，以此類推，32位局部變量在棧中形成一個逆序數(shù)組；第一個函數(shù)參數(shù)位于ebp+8，第二個位于ebp+12，以此類推，32位函數(shù)參數(shù)在棧中形成一個正序數(shù)組。
Eg、研究函數(shù)調用過程：
[plain]?view plain
?copy#include?<stdio.h>????int?bar(int?c,int?d)??{??????????int?e=c+d;??????????return?e;??}????int?foo(int?a,int?b)??{??????????return?bar(a,b);??}????int?main(int?argc,int?argv)??{??????????foo(2,3);??????????return?0;??}??
上面是一個很簡單的函數(shù)調用過程，整個程序的執(zhí)行過程是main調用foo，foo調用bar。
//查看反匯編文件（要查看編譯后的匯編代碼，其實還有一種辦法是gcc -S text_stack.c，這樣只生成匯編代碼text_stack.s，而不生成二進制的目標文件。）
[plain]?view plain
?copyroot@wangye:/home/wangye#?gcc?text_stack.c?-g??root@wangye:/home/wangye#?objdump?-dS?a.out???
反匯編結果很長，下面只列出我們關心的部分。
[plain]?view plain
?copy08048394?<bar>:??#include?<stdio.h>????int?bar(int?c,int?d)??{???8048394:???55??????????????????????push???%ebp???8048395:???89?e5???????????????????mov????%esp,%ebp???8048397:???83?ec?10????????????????sub????$0x10,%esp??????int?e=c+d;???804839a:???8b?45?0c????????????????mov????0xc(%ebp),%eax???804839d:???8b?55?08????????????????mov????0x8(%ebp),%edx???80483a0:???8d?04?02????????????????lea????(%edx,%eax,1),%eax???80483a3:???89?45?fc????????????????mov????%eax,-0x4(%ebp)??????return?e;???80483a6:???8b?45?fc????????????????mov????-0x4(%ebp),%eax??}???80483a9:???c9??????????????????????leave?????80483aa:???c3??????????????????????ret????????080483ab?<foo>:????int?foo(int?a,int?b)??{???80483ab:???55??????????????????????push???%ebp???80483ac:???89?e5???????????????????mov????%esp,%ebp???80483ae:???83?ec?08????????????????sub????$0x8,%esp??????return?bar(a,b);???80483b1:???8b?45?0c????????????????mov????0xc(%ebp),%eax???80483b4:???89?44?24?04?????????????mov????%eax,0x4(%esp)???80483b8:???8b?45?08????????????????mov????0x8(%ebp),%eax???80483bb:???89?04?24????????????????mov????%eax,(%esp)???80483be:???e8?d1?ff?ff?ff??????????call???8048394?<bar>??}???80483c3:???c9??????????????????????leave?????80483c4:???c3??????????????????????ret????????080483c5?<main>:????int?main(int?argc,int?argv)??{???80483c5:???55??????????????????????push???%ebp???80483c6:???89?e5???????????????????mov????%esp,%ebp???80483c8:???83?ec?08????????????????sub????$0x8,%esp??????foo(2,3);???80483cb:???c7?44?24?04?03?00?00????movl???$0x3,0x4(%esp)???80483d2:???00????80483d3:???c7?04?24?02?00?00?00????movl???$0x2,(%esp)???80483da:???e8?cc?ff?ff?ff??????????call???80483ab?<foo>??????return?0;???80483df:???b8?00?00?00?00??????????mov????$0x0,%eax??}??
//我們用gdb跟蹤程序的執(zhí)行，直到bar函數(shù)中的int e = c + d;語句執(zhí)行完畢準備返回時，這時在gdb中打印函數(shù)棧幀。
[plain]?view plain
?copywangye@wangye:~$?gdb?text_stack???GNU?gdb?(GDB)?7.0.1-debian??Copyright?(C)?2009?Free?Software?Foundation,?Inc.??License?GPLv3+:?GNU?GPL?version?3?or?later?<http://gnu.org/licenses/gpl.html>??This?is?free?software:?you?are?free?to?change?and?redistribute?it.??There?is?NO?WARRANTY,?to?the?extent?permitted?by?law.??Type?"show?copying"??and?"show?warranty"?for?details.??This?GDB?was?configured?as?"i486-linux-gnu".??For?bug?reporting?instructions,?please?see:??<http://www.gnu.org/software/gdb/bugs/>...??Reading?symbols?from?/home/wangye/text_stack...done.??(gdb)?start??Temporary?breakpoint?1?at?0x80483cb:?file?text_stack.c,?line?16.??Starting?program:?/home/wangye/text_stack?????Temporary?breakpoint?1,?main?(argc=1,?argv=-1073744732)?at?text_stack.c:16??16??????foo(2,3);??(gdb)?s??foo?(a=2,?b=3)?at?text_stack.c:11??11??????return?bar(a,b);??(gdb)?s??bar?(c=2,?d=3)?at?text_stack.c:5??5???????int?e=c+d;??(gdb)?disassemble???Dump?of?assembler?code?for?function?bar:??0x08048394?<bar+0>:???push???%ebp??0x08048395?<bar+1>:???mov????%esp,%ebp??0x08048397?<bar+3>:???sub????$0x10,%esp??0x0804839a?<bar+6>:???mov????0xc(%ebp),%eax??0x0804839d?<bar+9>:???mov????0x8(%ebp),%edx??0x080483a0?<bar+12>:??lea????(%edx,%eax,1),%eax??0x080483a3?<bar+15>:??mov????%eax,-0x4(%ebp)??0x080483a6?<bar+18>:??mov????-0x4(%ebp),%eax??0x080483a9?<bar+21>:??leave????0x080483aa?<bar+22>:??ret??????End?of?assembler?dump.??(gdb)?si??0x0804839d??5???????int?e=c+d;??(gdb)?si??0x080483a0??5???????int?e=c+d;??(gdb)?si??0x080483a3??5???????int?e=c+d;??(gdb)?si??6???????return?e;??(gdb)?si??7???}??(gdb)?bt??#0??bar?(c=2,?d=3)?at?text_stack.c:7??#1??0x080483c3?in?foo?(a=2,?b=3)?at?text_stack.c:11??#2??0x080483df?in?main?(argc=1,?argv=-1073744732)?at?text_stack.c:16??(gdb)?info?re??record?????registers????(gdb)?info?regi??eax????????????0x5??5??ecx????????????0x4c2f5d43???1278172483??edx????????????0x2??2??ebx????????????0xb7fcaff4???-1208176652??esp????????????0xbffff3c8???0xbffff3c8??ebp????????????0xbffff3d8???0xbffff3d8??esi????????????0x0??0??edi????????????0x0??0??eip????????????0x80483a9????0x80483a9?<bar+21>??eflags?????????0x282????[?SF?IF?]??cs?????????????0x73?115??ss?????????????0x7b?123??ds?????????????0x7b?123??es?????????????0x7b?123??fs?????????????0x0??0??gs?????????????0x33?51??(gdb)?info?regi??eax????????????0x5??5??ecx????????????0x4c2f5d43???1278172483??edx????????????0x2??2??ebx????????????0xb7fcaff4???-1208176652??esp????????????0xbffff3c8???0xbffff3c8??ebp????????????0xbffff3d8???0xbffff3d8??esi????????????0x0??0??edi????????????0x0??0??eip????????????0x80483a9????0x80483a9?<bar+21>??eflags?????????0x282????[?SF?IF?]??cs?????????????0x73?115??ss?????????????0x7b?123??ds?????????????0x7b?123??es?????????????0x7b?123??fs?????????????0x0??0??gs?????????????0x33?51??(gdb)?x/20?$esp??0xbffff3c8:?-1073744904?134513689???-1208175868?5??0xbffff3d8:?-1073744920?134513603???2???3??0xbffff3e8:?-1073744904?134513631???2???3??0xbffff3f8:?-1073744776?-1209406298?1???-1073744732??0xbffff408:?-1073744724?-1208084392?-1073744800?-1??
這里我們又用了幾個新的gdb命令，簡單解釋一下：info registers
可以顯示所有寄存器的當前值。在
gdb
中表示寄存器名時前面要加個
$
，例如
p $esp
可以打印
esp
寄存器的值，在上例中
esp
寄存器的值是0xbffff3c8，所以
x/20 $esp
命令查看內存中從0xbffff3c8 地址開始的20個32位數(shù)。在執(zhí)行程序時，操作系統(tǒng)為進程分配一塊棧空間來保存函數(shù)棧幀，
esp
寄存器總是指向棧頂，在x86平臺上這個棧是從高地址向低地址增長的，我們知道每次調用一個函數(shù)都要分配一個棧幀來保存參數(shù)和局部變量，現(xiàn)在我們詳細分析這些數(shù)據(jù)在棧空間的布局，根據(jù)
gdb
的輸出結果圖示如下：
圖中每個小方格表示4個字節(jié)的內存單元，例如b: 3這個小方格占的內存地址是0xbffff3f4~0xbffff3f7，把地址寫在每個小方格的下邊界線上，是為了強調該地址是內存單元的起始地址。我們從main函數(shù)的這里開始看起：
[plain]?view plain
?copyfoo(2,3);??80483cb:????c7?44?24?04?03?00?00????movl???$0x3,0x4(%esp)??80483d2:????00???80483d3:????c7?04?24?02?00?00?00????movl???$0x2,(%esp)??80483da:????e8?cc?ff?ff?ff??????????call???80483ab?<foo>??return?0;??80483df:????b8?00?00?00?00??????????mov????$0x0,%eax??
要調用函數(shù)foo先要把參數(shù)準備好，第二個參數(shù)保存在esp+4指向的內存位置，第一個參數(shù)保存在esp指向的內存位置，可見參數(shù)是從右向左依次壓棧的。然后執(zhí)行call指令，這個指令有兩個作用：
foo函數(shù)調用完之后要返回到call的下一條指令繼續(xù)執(zhí)行，所以把call的下一條指令的地址134513631壓棧，同時把esp的值減4，esp的值現(xiàn)在是0xbffff3ec。
修改程序計數(shù)器eip，跳轉到foo函數(shù)的開頭執(zhí)行。
現(xiàn)在看foo函數(shù)的匯編代碼：
[plain]?view plain
?copy080483ab?<foo>:????int?foo(int?a,int?b)??{???80483ab:???55??????????????????????push???%ebp???80483ac:???89?e5???????????????????mov????%esp,%ebp???80483ae:???83?ec?08????????????????sub????$0x8,%esp????????
push %ebp指令把ebp寄存器的值壓棧，同時把esp的值減4。esp的值現(xiàn)在是0xbff1c414，下一條指令把這個值傳送給ebp寄存器。這兩條指令合起來是把原來ebp的值保存在棧上，然后又給ebp賦了新值。在每個函數(shù)的棧幀中，ebp指向棧底，而esp指向棧頂，在函數(shù)執(zhí)行過程中esp隨著壓棧和出棧操作隨時變化，而ebp是不動的，函數(shù)的參數(shù)和局部變量都是通過ebp的值加上一個偏移量來訪問，例如foo函數(shù)的參數(shù)a和b分別通過ebp+8和ebp+12來訪問。所以下面的指令把參數(shù)a和b再次壓棧，為調用bar函數(shù)做準備，然后把返回地址壓棧，調用bar函數(shù)：
[plain]?view plain
?copyreturn?bar(a,b);???80483b1:???8b?45?0c????????????????mov????0xc(%ebp),%eax???80483b4:???89?44?24?04?????????????mov????%eax,0x4(%esp)???80483b8:???8b?45?08????????????????mov????0x8(%ebp),%eax???80483bb:???89?04?24????????????????mov????%eax,(%esp)???80483be:???e8?d1?ff?ff?ff??????????call???8048394?<bar>??}???80483c3:???c9??????????????????????leave?????80483c4:???c3??????????????????????ret????
現(xiàn)在看bar函數(shù)的指令：
[plain]?view plain
?copyint?bar(int?c,int?d)??{???8048394:???55??????????????????????push???%ebp???8048395:???89?e5???????????????????mov????%esp,%ebp???8048397:???83?ec?10????????????????sub????$0x10,%esp??????int?e=c+d;???804839a:???8b?45?0c????????????????mov????0xc(%ebp),%eax???804839d:???8b?55?08????????????????mov????0x8(%ebp),%edx???80483a0:???8d?04?02????????????????lea????(%edx,%eax,1),%eax???80483a3:???89?45?fc????????????????mov????%eax,-0x4(%ebp)????????
這次又把foo函數(shù)的ebp壓棧保存，然后給ebp賦了新值，指向bar函數(shù)棧幀的棧底，通過ebp+8和ebp+12分別可以訪問參數(shù)c和d。bar函數(shù)還有一個局部變量e，可以通過ebp-4來訪問。所以后面幾條指令的意思是把參數(shù)c和d取出來存在寄存器中做加法，計算結果保存在eax寄存器中，再把eax寄存器存回局部變量e的內存單元。
在gdb中可以用bt命令和frame命令查看每層棧幀上的參數(shù)和局部變量，現(xiàn)在可以解釋它的工作原理了：如果我當前在bar函數(shù)中，我可以通過ebp找到bar函數(shù)的參數(shù)和局部變量，也可以找到foo函數(shù)的ebp保存在棧上的值，有了foo函數(shù)的ebp，又可以找到它的參數(shù)和局部變量，也可以找到main函數(shù)的ebp保存在棧上的值，因此各層函數(shù)棧幀通過保存在棧上的ebp的值串起來了。
現(xiàn)在看bar函數(shù)的返回指令：
[plain]?view plain
?copyreturn?e;???80483a6:???8b?45?fc????????????????mov????-0x4(%ebp),%eax??}???80483a9:???c9??????????????????????leave?????80483aa:???c3??????????????????????ret???
bar函數(shù)有一個int型的返回值，這個返回值是通過eax寄存器傳遞的，所以首先把e的值讀到eax寄存器中。然后執(zhí)行leave指令，這個指令是函數(shù)開頭的push %ebp和mov %esp,%ebp的逆操作：
把ebp的值賦給esp，現(xiàn)在esp的值是0xbffff3d8。
現(xiàn)在esp所指向的棧頂保存著foo函數(shù)棧幀的ebp，把這個值恢復給ebp，同時esp增加4，esp的值變成0xbffff3dc。
最后是ret指令，它是call指令的逆操作：
現(xiàn)在esp所指向的棧頂保存著返回地址，把這個值恢復給eip，同時esp增加4，esp的值變成0xbffff3e0。
修改了程序計數(shù)器eip，因此跳轉到返回地址0x80483c2繼續(xù)執(zhí)行。
地址0x80483c2處是foo函數(shù)的返回指令：
[plain]?view plain
?copy80483c3:????c9??????????????????????leave????80483c4:????c3??????????????????????ret????
重復同樣的過程，又返回到了main函數(shù)。注意函數(shù)調用和返回過程中的這些規(guī)則：
參數(shù)壓棧傳遞，并且是從右向左依次壓棧。
ebp總是指向當前棧幀的棧底。
返回值通過eax寄存器傳遞。
這些規(guī)則并不是體系結構所強加的，ebp寄存器并不是必須這么用，函數(shù)的參數(shù)和返回值也不是必須這么傳，只是操作系統(tǒng)和編譯器選擇了以這樣的方式實現(xiàn)C代碼中的函數(shù)調用，這稱為CallingConvention，Calling Convention是操作系統(tǒng)二進制接口規(guī)范（ABI，Application BinaryInterface）的一部分。
總結
以上是生活随笔為你收集整理的函数调用栈 剖析＋图解的全部內容，希望文章能夠幫你解決所遇到的問題。
如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。
