机器代码层面的函数调用

2018.04.18

CPU 发出指令把硬盘程序指令搬到内存，操作系统给程序指令分配内存。然后操作系统会告诉 CPU 「程序入口点」，也就是第一条指令地址。

CPU 从内存出取得的指令一般是这三类：

把数据从内存运到 CPU 寄存器。
对寄存器数据进行运算。
把寄存器数据写入到内存。

x86 体系机器：每次函数调用都会创建一个帧。

帧，内存中一段连续空间。

帧

多个函数帧在内存里排起来，就像一个先进后出的栈一样。

但这个栈与普通的栈不一样，这个栈的栈底在上面，从上往下生长（从高地址往低地址生长）。
4 个字节为单位，4 个字节内从低地址往高地址生长。

ebp，CPU 特殊寄存器，指向栈中当前函数帧的起始地址。
esp，CPU 特殊寄存器，指向栈中当前函数帧的尾地址。

ebp 与 esp

下面是 CPU 向内存取的函数调用指令。

把 ebp 的值压入栈中。（CPU -> 内存）
这时，地址 800~804 的内容是 1000，esp 指向地址 800 。
把 esp 的值赋给 ebp 。（CPU）
这时，esp、ebp 同时指向地址 800，一个新的函数帧诞生！
函数帧的起始地址是 800，里边的内容是1000 。
把 esp 的值减去 24 。（CPU）
esp 指向地址 776，这是为准备函数实参腾出空间。
减去 24 是为了数据对齐。24 + 4（入栈的 ebp） + 4（返回地址） = 32 。
x86 编程规定函数帧是 16 的整数倍。
把 10 放到 ebp 减去 4 的地址，把 20 放到 ebp 减去8的地址。（CPU -> 内存）
其实就是：int x=10; int y=20 。
把 x 地址放到 esp 指向的地址，把 y 地址放到 esp+4 指向的地址。
其实就是准备实参 &x, &y 。

准备函数实参

把地址 100 压入栈中。
这是调用函数之前，调用方下一条指令地址（函数返回地址）压入栈。

int sum = add(&x, &y); 
printf("the sum is %d\n",sum);  // 假设这条指令的地址是 100

准备返回地址

函数调用前的保护现场，以便返回时恢复现场。（CPU -> 内存）
把寄存器 ebp 的值压到栈里去
把 esp 的值赋给 ebp
把寄存器 ebx 的值压入栈

保护现场

CPU 取出数据计算。（CPU）

int add(int *xp , int *yp){
    int x = *xp;
    int y = *yp;
    return x+y
}

把 ebp 加 8 的数据取出来放到 edx 寄存器。取得 xp 。
把 ebp 加 12 的数据取出来放到 ecx 寄存器。取得 yp 。
把 edx 指向的内存地址的数据取出来，放到 ebx 寄存器。取得 *xp 放入 ebx 。
把 ecx 指向的内存地址的数据取出来，放到 eax 寄存器。取得 *yp 放入 eax 。
把 ebx 和 eax 的值加起来，放到 eax 寄存器中。取得 *xp+*yp，放入 eax 。

恢复现场。（内存 -> CPU）
把 esp 指向的数据弹出的 ebx 寄存器。
把 esp 指向的数据弹出到 ebp 寄存器。

恢复现场

返回。
CPU 取出返回地址 100，去那里找到指令继续执行。

函数调用总结

把参数和返回地址准备好。
新建函数帧：
把寄存器 ebp 的值压入栈。
把 esp 的值赋给 ebp。
函数调用完后，重置 ebp 和 esp，让他们重新指向调用方的函数帧。

内存缓冲区溢出

用户输入的数据是从低地址向高地址存放的。

黑客输入精心设计的数据过多以至于覆盖了返回地址，让返回地址指向恶意代码入口地址。

输入函数有边界检查就可避免攻击。

参考文档：
http://mp.weixin.qq.com/s/hX8tHnoq4gdkhcLHUGzEbg
http://mp.weixin.qq.com/s?__biz=MzAxOTc0NzExNg==&mid=2665513039&idx=1&sn=381c1b8c7f86906c4838050b8c1db2bb&scene=21#wechat_redirect

最后编辑于：2018.04.18 12:32:52