计算机系统函数(过程)调用堆栈分析
来源:互联网 发布:js lambda表达式 编辑:程序博客网 时间:2024/05/22 09:51
1.过程的基本概念
一个过程调用包括将数据(以过程的参数和返回值的形式)和控制从代码的一部分传递到另一部分。另外,过程还必须在进入时为其局部变量分配空间,并在退出时释放这些空间。大多数机器,包括IA32,只提供转移到控制到过程和从过程中转移出控制这些简单的指令。数据传递,局部变量的分配释放都需要操作程序栈来实现。
1) 本文讨论的堆栈,是指程序为每个线程分配的默认堆栈,用以支持程序的运行,而不是指程序员为了实现算法而自己定义的堆栈。
2) 本文讨论的平台是IA32 X86平台。
3) 结构化异常处理也是通过堆栈来实现的(当你使用try…catch语句时,使用的就是C++对Windows结构化异常处理的扩展),但是关于结构化异常处理的主题太复杂了,本文将不会涉及到。
2.相关的基本概念
1) 栈帧:为单个过程分配的那部分栈称为栈帧。栈帧的最顶端以两个指针界定,寄存器%EBP为帧指针,寄存器%ESP为栈指针。当程序运行时,栈指针可以移动,因此大多数信息的访问都是相对于帧指针。
下图为栈帧的通用结构:(如图1)
2) 在32位系统中,堆栈每个数据单元的大小为4字节。小于等于4字节的数据,比如字节、字、双字和布尔型,在堆栈中都是占4个字节的;大于4字节的数据在堆栈中占4字节整数倍的空间。
3) 和堆栈的操作相关的两个寄存器是EBP寄存器和ESP寄存器的,本文中,你只需要把EBP和ESP理解成2个指针就可以了。ESP寄存器总是指向堆栈的栈顶,执行PUSH命令向堆栈压入数据时,ESP减4,然后把数据拷贝到ESP指向的地址;执行POP命令时,首先把ESP指向的数据拷贝到内存地址/寄存器中,然后ESP加4。EBP寄存器是用于访问堆栈中的数据的,它指向堆栈中间的某个位置(具体位置后文会具体讲解),函数的参数地址比EBP的值高,而函数的局部变量地址比EBP的值低,因此参数或局部变量总是通过EBP加减一定的偏移地址来访问的,比如,要访问函数的第一个参数为EBP+8。
4) 堆栈中到底存储了什么数据? 包括了:函数的参数,函数的局部变量,寄存器的值(用以恢复寄存器),函数的返回地址以及用于结构化异常处理的数据(当函数中有try…catch语句时才有,本文不讨论)。这些数据是按照一定的顺序组织在一起的,我们称之为一个堆栈帧(Stack Frame)。一个堆栈帧对应一次函数的调用。在函数开始时,对应的堆栈帧已经完整地建立了(所有的局部变量在函数帧建立时就已经分配好空间了,而不是随着函数的执行而不断创建和销毁的);在函数退出时,整个函数帧将被销毁。
5) 在文中,我们把函数的调用者称为Caller(调用者),被调用的函数称为Callee(被调用者)。之所以引入这个概念,是因为一个函数帧的建立和清理,有些工作是由Caller完成的,有些则是由Callee完成的。
3.讨论堆栈如何工作
先看下列代码:(该代码本身没有意义,我们只是利用它来讲解过程调用时堆栈如何工作的)
int foo1(int m, int n){ int p=m*n; return p;}int foo(int a, int b){ int c=a+1; int d=b+1; int e=foo1(c,d); return e;}int main(){ int result=foo(3,4); return 0;}
1) 堆栈的建立
我们从main函数执行的第一行代码,即int result=foo(3,4); 开始跟踪。这时main以及之前的函数对应的堆栈帧已经存在在堆栈中了,如图:
2) 参数入栈
当foo函数被调用,首先,Caller(此时Caller为main函数)把foo函数的两个参数:a=3,b=4压入堆栈。参数入栈的顺序是由函数的调用约定(Calling Convention)决定的,我们将在后面一个专门的章节来讲解调用约定。一般来说,参数都是从右往左入栈的,因此,b=4先压入堆栈,a=3后压入,如图:
a.将EBP压入堆栈
b.把ESP的值赋给EBP
奇怪的是,在debug模式下,编译器为局部变量分配的空间远远大于实际所需,而且局部变量之间的地址不是连续的(据我观察,总是间隔8个字节)如下图所示:
7)通用寄存器入栈
最后,将函数中使用到的通用寄存器入栈,暂存起来,以便函数结束时恢复。在foo函数中用到的通用寄存器是EBX,ESI,EDI,将它们压入堆栈,如图所示:
到此为止,一个完整的堆栈帧就建立起来了。
4.堆栈的特性分析
上一节中,一个完整的堆栈帧已经建立起来,现在函数可以开始正式执行代码了。本节我们对堆栈的特性进行分析,有助于了解函数与堆栈帧的依赖关系。
1)一个完整的堆栈帧建立起来后,在函数执行的整个生命周期中,它的结构和大小都是保持不变的;不论函数在什么时候被谁调用,它对应的堆栈帧的结构也是一定的。
2)在A函数中调用B函数,对应的,是在A函数对应的堆栈帧“下方”建立B函数的堆栈帧。例如在foo函数中调用foo1函数,foo1函数的堆栈帧将在foo函数的堆栈帧下方建立。如下图所示:
3)函数用EBP寄存器来访问参数和局部变量。我们知道,参数的地址总是比EBP的值高,而局部变量的地址总是比EBP的值低。而在特定的堆栈帧中,每个参数或局部变量相对于EBP的地址偏移总是固定的。因此函数对参数和局部变量的的访问是通过EBP加上某个偏移量来访问的。比如,在foo函数中,EBP+8为第一个参数的地址,EBP-8为第一个局部变量的地址。
4)如果仔细思考,我们很容易发现EBP寄存器还有一个非常重要的特性,请看下图中:
我们发现,EBP寄存器总是指向先前的EBP,而先前的EBP又指向先前的先前的EBP,这样就在堆栈中形成了一个链表!这个特性有什么用呢,我们知道EBP+4地址存储了函数的返回地址,通过该地址我们可以知道当前函数的上一级函数(通过在符号文件中查找距该函数返回地址最近的函数地址,该函数即当前函数的上一级函数),以此类推,我们就可以知道当前线程整个的函数调用顺序。事实上,调试器正是这么做的,这也就是为什么调试时我们查看函数调用顺序时总是说“查看堆栈”了。
5.返回值的传递
堆栈帧建立起后,函数的代码真正地开始执行,它会操作堆栈中的参数,操作堆栈中的局部变量,甚至在堆(Heap)上创建对象。。。。。,终于函数完成了它的工作,有些函数需要将结果返回给它的上一层函数,这是怎么做的呢?
首先,caller和callee在这个问题上要有一个“约定”,由于caller是不知道callee内部是如何执行的,因此caller需要从callee的函数声明就可以知道应该从什么地方取得返回值。同样的,callee不能随便把返回值放在某个寄存器或者内存中而指望Caller能够正确地获得的,它应该根据函数的声明,按照“约定”把返回值放在正确的”地方“。下面我们来讲解这个“约定”:
1)首先,如果返回值等于4字节,函数将把返回值赋予EAX寄存器,通过EAX寄存器返回。例如返回值是字节、字、双字、布尔型、指针等类型,都通过EAX寄存器返回。
2)如果返回值等于8字节,函数将把返回值赋予EAX和EDX寄存器,通过EAX和EDX寄存器返回,EDX存储高位4字节,EAX存储低位4字节。例如返回值类型为__int64或者8字节的结构体通过EAX和EDX返回。
3) 如果返回值为double或float型,函数将把返回值赋予浮点寄存器,通过浮点寄存器返回。
4)如果返回值是一个大于8字节的数据,将如何传递返回值呢?这是一个比较麻烦的问题,我们将详细讲解:
我们修改foo函数的定义如下并将它的代码做适当的修改:
MyStruct foo(int a, int b) { ... }
MyStruct定义为:
struct MyStruct { int value1; __int64 value2; bool value3; };
这时,在调用foo函数时参数的入栈过程会有所不同,如下图所示:
Caller会在压入最左边的参数后,再压入一个指针,我们姑且叫它ReturnValuePointer,ReturnValuePointer指向caller局部变量区的一块未命名的地址,这块地址将用来存储callee的返回值。函数返回时,callee把返回值拷贝到ReturnValuePointer指向的地址中,然后把ReturnValuePointer的地址赋予EAX寄存器。函数返回后,caller通过EAX寄存器找到ReturnValuePointer,然后通过ReturnValuePointer找到返回值,最后,caller把返回值拷贝到负责接收的局部变量上(如果接收返回值的话)。
你或许会有这样的疑问,函数返回后,对应的堆栈帧已经被销毁,而ReturnValuePointer是在该堆栈帧中,不也应该被销毁了吗?对的,堆栈帧是被销毁了,但是程序不会自动清理其中的值,因此ReturnValuePointer中的值还是有效的。
6.堆栈帧的销毁
当函数将返回值赋予某些寄存器或者拷贝到堆栈的某个地方后,函数开始清理堆栈帧,准备退出。堆栈帧的清理顺序和堆栈建立的顺序刚好相反:(堆栈帧的销毁过程就不一一画图说明了)
1)如果有对象存储在堆栈帧中,对象的析构函数会被函数调用。
2)从堆栈中弹出先前的通用寄存器的值,恢复通用寄存器。
3)ESP加上某个值,回收局部变量的地址空间(加上的值和堆栈帧建立时分配给局部变量的地址大小相同)。
4)从堆栈中弹出先前的EBP寄存器的值,恢复EBP寄存器。
5)从堆栈中弹出函数的返回地址,准备跳转到函数的返回地址处继续执行。
6)ESP加上某个值,回收所有的参数地址。
前面1-5条都是由callee完成的。而第6条,参数地址的回收,是由caller或者callee完成是由函数使用的调用约定(calling convention )来决定的。下面的小节我们就来讲解函数的调用约定。
7.函数的调用约定
函数的调用约定(calling convention)指的是进入函数时,函数的参数是以什么顺序压入堆栈的,函数退出时,又是由谁(Caller还是Callee)来清理堆栈中的参数。有2个办法可以指定函数使用的调用约定:
1)在函数定义时加上修饰符来指定,如
void __thiscall mymethod();{ ...}
2)在VS工程设置中为工程中定义的所有的函数指定默认的调用约定:在工程的主菜单打开Project|Project Property|Configuration Properties|C/C++|Advanced|Calling Convention,选择调用约定(注意:这种做法对类成员函数无效)。
常用的调用约定有以下3种:
1)__cdecl。这是VC编译器默认的调用约定。其规则是:参数从右向左压入堆栈,函数退出时由caller清理堆栈中的参数。这种调用约定的特点是支持可变数量的参数,比如printf方法。由于callee不知道caller到底将多少参数压入堆栈,因此callee就没有办法自己清理堆栈,所以只有函数退出之后,由caller清理堆栈,因为caller总是知道自己传入了多少参数。
2)__stdcall。所有的Windows API都使用__stdcall。其规则是:参数从右向左压入堆栈,函数退出时由callee自己清理堆栈中的参数。由于参数是由callee自己清理的,所以__stdcall不支持可变数量的参数。
3) __thiscall。类成员函数默认使用的调用约定。其规则是:参数从右向左压入堆栈,x86构架下this指针通过ECX寄存器传递,函数退出时由callee清理堆栈中的参数,x86构架下this指针通过ECX寄存器传递。同样不支持可变数量的参数。如果显式地把类成员函数声明为使用__cdecl或者__stdcall,那么,将采用__cdecl或者__stdcall的规则来压栈和出栈,而this指针将作为函数的第一个参数最后压入堆栈,而不是使用ECX寄存器来传递了。
8.反汇编代码的跟踪
以下代码为和foo函数对应的堆栈帧建立相关的代码的反编译代码,我将逐行给出注释,可对照前文中对堆栈的描述:main函数中 int result=foo(3,4); 的反汇编:
008A147E push 4 //b=4 压入堆栈 008A1480 push 3 //a=3 压入堆栈,到达图2的状态008A1482 call foo (8A10F5h) //函数返回值入栈,转入foo中执行,到达图3的状态 008A1487 add esp,8 //foo返回,由于采用__cdecl,由Caller清理参数008A148A mov dword ptr [result],eax //返回值保存在EAX中,把EAX赋予result变量
下面是foo函数代码正式执行前和执行后的反汇编代码
008A13F0 push ebp //把ebp压入堆栈 008A13F1 mov ebp,esp //ebp指向先前的ebp,到达图4的状态008A13F3 sub esp,0E4h //为局部变量分配0E4字节的空间,到达图5的状态008A13F9 push ebx //压入EBX008A13FA push esi //压入ESI008A13FB push edi //压入EDI,到达图7的状态008A13FC lea edi,[ebp-0E4h] //以下4行把局部变量区初始化为每个字节都等于cch008A1402 mov ecx,39h 008A1407 mov eax,0CCCCCCCCh 008A140C rep stos dword ptr es:[edi] ...... //省略代码执行N行......008A1436 pop edi //恢复EDI 008A1437 pop esi //恢复ESI008A1438 pop ebx //恢复EBX008A1439 add esp,0E4h //回收局部变量地址空间008A143F cmp ebp,esp //以下3行为Runtime Checking,检查ESP和EBP是否一致 008A1441 call @ILT+330(__RTC_CheckEsp) (8A114Fh) 008A1446 mov esp,ebp 008A1448 pop ebp //恢复EBP 008A1449 ret //弹出函数返回地址,跳转到函数返回地址执行//(__cdecl调用约定,Callee未清理参数)
- 计算机系统函数(过程)调用堆栈分析
- 函数调用过程内存堆栈变化分析
- <深入浅出>函数调用过程堆栈变化分析
- 函数调用堆栈分析
- 函数调用堆栈分析
- 函数调用堆栈分析
- 函数调用堆栈分析
- 堆栈、栈帧与函数调用过程分析
- 堆栈、栈帧与函数调用过程分析
- 堆栈、栈帧与函数调用过程分析
- 堆栈、栈帧与函数调用过程分析
- 堆栈、栈帧与函数调用过程分析
- 堆栈、栈帧与函数调用过程分析
- 汇编学习笔记:函数调用过程中的堆栈分析
- 汇编学习:函数调用过程中的堆栈分析
- 堆栈、栈帧、函数调用过程
- 堆栈和函数调用过程
- 函数的调用堆栈过程
- android直接访问电脑里面的mysql
- sql server2008R2 连接access
- C++ 继承体系中的名称覆盖
- VC++程序员如何做好界面
- vs2010使用备忘
- 计算机系统函数(过程)调用堆栈分析
- C/C++中容器vector使用方法<第一弹>
- MFC MDI程序的退出菜单突然不能退出了
- java中的网络编程详解 TCP 和UDP
- 互联网金融“众筹”试水姑苏
- 三大工厂模式
- UITextView 回收键盘
- Docker 网络学习笔记
- RPM 默认安装的路径