函数调用过程汇编逐句分析，栈帧的创建与销毁

Myth丶恋晨 2022-05-20 23:18 236阅读 0赞

首先，有一个问题，我们都知道，函数都可以被程序来的调用，那么main函数是谁调用的呢？

对于C语言来说，main函数是程序的入口，事实上，对于ELF可执行的文件它的入口点并不是main函数，而是\_start。

下面介绍一下计算机内存的大体分布图：

![70][]

需要注意的是，栈空间是由高地址向低地址空间增长，而堆空间是由低地址指向高地址空间增长。当我们用C语言用 malloc 函数进行动态内存开辟时是在堆空间中分配的。未初始化的静态变量和全局变量，存放在静态（全局）变量区，准确的说在该区域为它们预留了空间，而初始化之后的静态变量存放在数据区中。非静态局部变量是在函数调用的过程中暂存在栈上的。

通过vs调试，可以查看函数的汇编代码，分析一下下面这个函数的c代码生成的汇编代码，后面对该函数生成的代码进行了逐句解析：

# include <stdio.h>
    
    int sub(int x, int y) { 
    	return x - y;
    }
    
    int main()
    {
    	int a = 5;
    	int b = 6;
    	int ret = 0;
    
    	ret = sub(a, b);
    
    	return 0;
    }

首先，需要介绍一下函数调用过程中涉及到的寄存器的功能：

（1）esp：栈指针寄存器(extended stack pointer)，用于指向栈的栈顶(下一个压入栈的活动记录的顶部)。

（2）ebp：基址指针寄存器(extended base pointer)帧指针，指向当前活动记录的底部。

（3）eax 是”累加器”(accumulator), 它是很多加法乘法指令的缺省寄存器。

（4）ebx 是”基地址”(base)寄存器, 在内存寻址时存放基地址。

（5）ecx 是计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器。

（6）edx 则总是被用来放整数除法产生的余数。

（7）esi/edi分别叫做”源/目标索引寄存器”(source/destination index),因为在很多字符串操作指令中, DS:ESI指向源串,而ES:EDI指向目标串.

下面这一段代码是main函数在初始化变量a之前的汇编代码

int main()
    {
    //ebp寄存器压栈，保存上级函数调用函数的栈的基地址
    00AC17B0  push        ebp   
    
    //这里将esp值赋给ebp,设置main函数的栈基地址,保留esp,待函数调用完再恢复,因为函数调用中会用到esp
    00AC17B1  mov         ebp,esp  
    
    //栈指针自减，自减得到的内存应当能够被用来存储被调用函数的本地状态
    00AC17B3  sub         esp,0E4h  
    
    //压入ebx
    00AC17B9  push        ebx 
    
    //压入esi
    00AC17BA  push        esi  
    
    //压入edi
    00AC17BB  push        edi  
    
    //读入[ebp-0E4h]的有效地址，即原esp-0E4h,正好是为该函数留出的临时存储区的最低位
    00AC17BC  lea         edi,[ebp-0E4h]
    
    //ecx=39h,39h*4=0E4h
    00AC17C2  mov         ecx,39h  
    
    //eax = 0CCCCCCCCh
    00AC17C7  mov         eax,0CCCCCCCCh 
    
    //重复在es:[edi]存入30个0CCCCCCCCh?
    //Debug模式下把Stack上的变量初始化为0xcc，检查未初始化的问题
    00AC17CC  rep stos    dword ptr es:[edi]

//这里定义了a,b,ret,并存储在为main函数留出的临时存储空间中
    	 int a = 5;
    //将5存放到一个名叫a的存储空间,下类同
    00AC17CE  mov         dword ptr [a],5  
    	int b = 6;
    00AC17D5  mov         dword ptr [b],6  
    	int ret = 0;
    00AC17DC  mov         dword ptr [ret],0

ret = sub(a, b);
    //参数反向入栈，同时这里的eax接收函数返回来的值
    00AC17E3  mov         eax,dword ptr [b]
    00AC17E6  push        eax  
    00AC17E7  mov         ecx,dword ptr [a]  
    00AC17EA  push        ecx 
    
    //调用sub函数，Call调用时将下一行命令的ＥＩＰ压入堆栈
    00AC17EB  call        _sub (0AC111Dh)  
    
    //恢复因为sub参数入栈改变的栈指针
    //sub函数有两个参数，int类型，共8字节
    00AC17F0  add         esp,8  
    
    //这里ret接收了函数调用返回的值
    00AC17F3  mov         dword ptr [ret],eax  
    
    	return 0;
    //将eax清零，作为返回值
    00AC1807  xor         eax,eax  
    }
    
    //弹出edi
    00AC1809  pop         edi  
    
    //弹出esi
    00AC180A  pop         esi  
    
    //弹出ebx
    00AC180B  pop         ebx  
    
    //下面三句汇编代码是堆栈检查
    //检查ESP是否被破坏
    //通过检测esp的值来判断堆栈是否平衡
    //首先把esp加上初始化时减出的值，然后和ebp对比，如果不相等会报错
    00AC180C  add         esp,0E4h
    00AC1812  cmp         ebp,esp  
    00AC1814  call        __RTC_CheckEsp (0AC1127h)  
    
    //还原esp
    00AC1819  mov         esp,ebp  
    
    //弹出ebp，ebp还原
    00AC181B  pop         ebp  
    
    //返回
    00AC181C  ret

被调函数汇编代码，理解同上，下面的注释简单的说明了几个地方：

int sub(int x, int y)
    {
    010018D0  push        ebp  
    010018D1  mov         ebp,esp  
    
    //这里为sub函数留了0C0个空间
    010018D3  sub         esp,0C0h  
    010018D9  push        ebx  
    010018DA  push        esi  
    010018DB  push        edi  
    010018DC  lea         edi,[ebp-0C0h]
    
    //30h*4 = 0c0h
    010018E2  mov         ecx,30h  
    010018E7  mov         eax,0CCCCCCCCh  
    010018EC  rep stos    dword ptr es:[edi]  
    	return x - y;
    010018EE  mov         eax,dword ptr [x] 
    
    //将x和y相减后的值存放在eax中
    010018F1  sub         eax,dword ptr [y]  
    }
    010018F4  pop         edi  
    010018F5  pop         esi  
    }
    010018F6  pop         ebx  
    010018F7  mov         esp,ebp  
    010018F9  pop         ebp  
    010018FA  ret

[70]: /images/20220521/358308b923bc4372a1e7166d8650c913.png