反汇编分析C++的返回值

来源：互联网发布：声纳无铜知乎编辑：程序博客网时间：2024/06/14 06:38

这几天一直在给同学讲数据结构和算法的题，讲题的过程中突然想到这函数的返回值究竟是存放在哪的，为什么可以通过函数的调用来直接给变量赋值。仔细想想这么多年居然没有深究过这个问题，太不应该，于是今天花了些时间来好好研究了一下这个问题。也跟了一些thread，某些前辈的观点是“不应该动不动就提到寄存器,栈,堆这些较底层的概念。完全可以这样理解:返回值保存在一段临时区域,到下一条语句时,返回值被销毁,所以,如果要继续使用返回值,必须将返回值赋予其他变量。”这确实不假，但是我觉得这位前辈应该是在透彻理解了内在的机理之后才这么说的，我觉得作为学习过程还是应该深究一下。

另有一位前辈说“不大于32位的（返回值）在eax中，64位的在edx + eax中。再大就传指针了。”

那么就拿反汇编代码开刀，验证一下。

（一）基础知识

在看反汇编代码之前，应该有几点要明确一下：

1.每个进程对应一个Call Stack（调用栈），而CallStack 又由许多Stack Frame（栈帧）组成，对应每个未完成的函数调用，由系统分配。(VC调试中默认是会显示调用栈窗口的，越往栈顶的就是越最近调用的函数，黑色显示的就是还未返回的函数调用)

2.eax, ebx, ecx, edx, esi, edi, ebp, esp等都是X86 汇编语言中CPU上的32位通用寄存器的名称，他们各自的作用如下：

EAX 是累加器(accumulator)，它是很多加法乘法指令的缺省寄存器。

EBX 是基地址(base)寄存器，在内存寻址时存放基地址。

ECX 是计数器(counter)，是重复(REP)前缀指令和LOOP指令的内定计数器。

EDX 则一般被用来放整数除法产生的余数。

ESI/EDI分别是源/目标索引寄存器(source/destinationindex)，在很多字符串操作指令中，DS:ESI指向源串，而ES:EDI指向目标串。

EBP是基址指针(BASE POINTER)，按照习惯，通常用于界定StackFrame（栈帧）。

ESP 是堆栈指针，被形象地称为栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。在32位平台上，每压入一个数据，ESP就减少4字节。

3.windows平台下的Call Stack，从上（高地址）往下（低地址）生长。

（二）代码分析

首先我实验的平台是32位版vs2010，程序为Debug版本。

先试试32位整型的int，C++的实验代码如下：

#include "stdafx.h"int minus(int a ,int b){         int j=2;         return a-b;}int _tmain(int argc, _TCHAR* argv[]){         int i=1;         int c=minus(3,1);         return 0;}

在return 0处设置断点，或者直接用system(“pause”)也行。

调试运行，可以看到反汇编代码如下：

int minus(int a ,int b){/*step8 再次将EPB压栈，并将ESP的值放入EPB中，此时ESP指向位置5，EPB也指向位置5，这个位置也正是minus()栈帧的底部,同时又是Main()栈帧的顶部*/01091380 push        ebp 01091381 mov         ebp,esp /*step9 作用同step2。此时EPB位置不变，ESP指向位置6*/01091383 sub         esp,0CCh /*step10 作用同step3。此时EPB位置不变，ESP指向位置7*/01091389 push        ebx 0109138A push        esi 0109138B push        edi /*step11 作用同step4。ESP和EPB位置不变*/0109138C lea         edi,[ebp-0CCh] 01091392 mov         ecx,33h 01091397 mov         eax,0CCCCCCCCh 0109139C rep stos    dword ptres:[edi]          int j=2;/*step12 作用同step5。ESP和EPB位置不变*/0109139E mov         dword ptr [j],2          return a-b;/*step13 将参数a的值放入EAX。然后将参数b的值也传入，在EAX中进行减法，结果存放在EXA中。ESP和EPB位置不变*/010913A5 mov         eax,dword ptr [a] 010913A8 sub         eax,dword ptr [b] }/*step14 返回过程。将三个寄存器的值弹出，恢复到调用前的状态。并将EBP的值赋给ESP，此时EBP与ESP都指向位置5，也就是释放了从位置6到位置5的预留空间。最后弹出EBP的值，使其恢复到调用minus()前的状态，ret语句进行返回，返回到先前压入栈中的返回地址所指向的地址处。此时EPB指向位置0，ESP指向位置3*/010913AB pop         edi 010913AC pop         esi 010913AD pop         ebx 010913AE mov         esp,ebp 010913B0 pop         ebp 010913B1 retint _tmain(int argc, _TCHAR* argv[]){/*step1 运行时库的启动函数mainCRTStartup()调用Main(),正式进入主函数，将EPB压栈，再将ESP的值放入EPB中，此时ESP指向位置0，EPB也指向位置0，这个位置也正是的Main()栈帧的底部,同时又是mainCRTStartup()栈帧的顶部*/010913C0 push        ebp 010913C1 mov         ebp,esp /*step2 将ESP下移0CCh个字节，也就是位置0到位置1之间的空间，这段空间将预留用来存储局部变量，此时ESP指向位置1，EPB指向位置0*/010913C3 sub         esp,0D8h /*step3 将三个寄存器的值压栈，此时ESP指向位置2，EPB指向位置0*/010913C9 push        ebx 010913CA push        esi 010913CB push        edi /*step4 首先将位置1的地址放入目标索引寄存器EDI中，stos dwordptr es:[edi]的意思是从累加器EAX传送4个字节（双字），到由EDI作为指针的目的串中，同时修改EDI以指向串中的下一个单元，前面加上rep代表重复执行，执行次数就是ECX寄存器中的值，而36h*4正好等于0D8h，所以以下4句的作用就是将刚刚预留的位置0到位置1之间的空间全部赋值为0CCCCCCCCh ，这其实就是int 3断点，以防止意外访问。ESP和EPB位置不变*/010913CC lea         edi,[ebp-0D8h] 010913D2 mov         ecx,36h 010913D7 mov         eax,0CCCCCCCCh 010913DC rep stos    dword ptres:[edi]          int i=1;/*step5 将1传到局部变量i所在地址中，也就是刚刚预留的那块空间中，i应当是EBP-偏移量的形式。ESP和EPB位置不变*/010913DE mov         dword ptr [i],1          int c=minus(3,1);/*step6 在调用minus()前，按从右到左的顺序将实参压栈。EPB位置不变，ESP指向位置3*/010913E5 push        1 010913E7 push        3 /*step7 调用minus()，并将下一条语句的地址010913EE压栈，作为返回地址。EPB位置不变，ESP指向位置4*/010913E9 call        minus (10911C7h) /*step15 从minus返回。将ESP+8，代表释放前面压入栈中的两个市场（2个4字节），并将EAX中的值（也就是返回值）赋给局部变量c，这里也就证明了当返回值是32位int类型的时候，返回值确实是暂存在EAX中的。EPB指向位置0，ESP指向位置2*/010913EE add         esp,8 010913F1 mov         dword ptr [c],eax          return 0;/*step16 准备返回0给main函数。先对EAX自身做异或运算，EAX变成0，此时返回值才是真正的不存在了。然后将三个寄存器的值弹出，恢复到mainCRTStartup()调用main()前的状态，接着释放位置1到位置0之间的预留空间。EPB和ESP都指向位置0。再接着通过比较EBP与ESP的值，检查ESP是否正常。不相等则调用ILT+305指向的异常处理函数，使ESP等于EBP。正常的话就直接弹出EBP，结束main()函数，返回mainCRTStartup()函数中继续剩下的操作。*/010913F4 xor         eax,eax }010913F6 pop         edi 010913F7 pop         esi 010913F8 pop         ebx 010913F9 add         esp,0D8h 010913FF cmp         ebp,esp 01091401 call       @ILT+305(__RTC_CheckEsp) (1091136h) 01091406 mov         esp,ebp 01091408 pop         ebp 01091409 ret

示意图如图：

再试试64位整型的long long，C++的实验代码如下（VC6编译器可能不支持long long）：

#include "stdafx.h"long long minus(long long a , long long b){         int j=2;         return a-b;}int _tmain(int argc, _TCHAR* argv[]){         int i=1;         long long c=minus(3,1);         return 0;}

反汇编代码如下：

long long minus(long long a ,long long b){01351380 push        ebp 01351381 mov         ebp,esp 01351383 sub         esp,0CCh 01351389 push        ebx 0135138A push        esi 0135138B push        edi 0135138C lea         edi,[ebp-0CCh] 01351392 mov         ecx,33h 01351397 mov         eax,0CCCCCCCCh 0135139C rep stos    dword ptres:[edi]          int j=2;0135139E mov         dword ptr [j],2          return a-b;<SPAN style="COLOR: #ff0000">013513A5 mov         eax,dword ptr [a] 013513A8 sub         eax,dword ptr [b] 013513AB mov         edx,dword ptr[ebp+0Ch] 013513AE sbb         edx,dword ptr[ebp+14h] </SPAN>}013513B1 pop         edi 013513B2 pop         esi 013513B3 pop         ebx 013513B4 mov         esp,ebp 013513B6 pop         ebp 013513B7 ret  int _tmain(int argc, _TCHAR* argv[]){013513C0 push        ebp 013513C1 mov         ebp,esp 013513C3 sub         esp,0DCh 013513C9 push        ebx 013513CA push        esi 013513CB push        edi 013513CC lea         edi,[ebp-0DCh] 013513D2 mov         ecx,37h 013513D7 mov         eax,0CCCCCCCCh 013513DC rep stos    dword ptres:[edi]          int i=1;013513DE mov         dword ptr [i],1          long long c=minus(3,1);013513E5 push        0 013513E7 push        1 013513E9 push        0 013513EB push        3 013513ED call        minus (13511C2h) 013513F2 add         esp,10h <SPAN style="COLOR: #ff0000">013513F5 mov         dword ptr [c],eax 013513F8 mov        dword ptr [ebp-14h],edx </SPAN>         return 0;013513FB xor         eax,eax }013513FD pop         edi 013513FE pop         esi 013513FF pop         ebx 01351400 add         esp,0DCh 01351406 cmp         ebp,esp 01351408 call       @ILT+305(__RTC_CheckEsp) (1351136h) 0135140D mov         esp,ebp 0135140F pop         ebp 01351410 ret

可以发现在进行减法运算和传递返回值时确实发生了变化，说明返回值为64位整型时，会使用EAX和EDX来分别传递返回值的低32位和高32位。

浮点数的情况就不重复贴代码了，直接看反汇编代码：

float c=minus(3,1);010E13F5 push        ecx //压入实参1到浮点寄存器st(0)，注意这个操作不会影响ESP的值010E13F6 fld1 //将1送入到ESP指向的空间中，也就是ECX中？并且1从st(0)出栈010E13F8 fstp        dword ptr [esp] 010E13FB push        ecx //另一个实参3010E13FC fld         dword ptr[__real@40400000 (10E573Ch)] 010E1402 fstp        dword ptr [esp] 010E1405 call        minus (10E117Ch) 010E140A add         esp,8 //返回值赋给c，然后出栈010E140D fstp        dword ptr [c]

可以看出浮点类型的返回值是暂存在浮点寄存器st(0)中的。