函數調用過程

引言

如何定義函數、調用函數，是每個程序員學習編程的入門課。調用函數(caller)向被調函數(callee)傳入參數，被調函數返回結果，看似簡單的過程，其實CPU和系統內核在背後做了很多工作。下面我們通過反彙編工具，來看函數調用的底層實現。

基礎知識

我們先來看幾個概念，這有助於理解後面反彙編的輸出結果。

棧(stack)

棧，相信大家都十分熟悉，push/pop，只允許在一端進行操作，後進先出(LIFO)，凡是學過編程的人都能列出一二三點。但就是這個最簡單的數據結構，構成了計算機中程序執行的基礎，用於內核中程序執行的棧具有以下特點：

每一個進程在用戶態對應一個調用棧結構(call stack)
程序中每一個未完成運行的函數對應一個棧幀(stack frame)，棧幀中保存函數局部變量、傳遞給被調函數的參數等信息
棧底對應高地址，棧頂對應低地址，棧由內存高地址向低地址生長

一個進程的調用棧圖示如下：

寄存器(register)

寄存器位於CPU內部，用於存放程序執行中用到的數據和指令，CPU從寄存器中取數據，相比從內存中取快得多。寄存器又分通用寄存器和特殊寄存器。

通用寄存器有ax/bx/cx/dx/di/si，儘管這些寄存器在大多數指令中可以任意選用，但也有一些規定某些指令只能用某個特定“通用”寄存器，例如函數返回時需將返回值mov到ax寄存器中；特殊寄存器有bp/sp/ip等，特殊寄存器均有特定用途，例如sp寄存器用於存放以上提到的棧幀的棧頂地址，除此之外，不用於存放局部變量，或其他用途。

對於有特定用途的幾個寄存器，簡要介紹如下：

ax(accumulator): 可用於存放函數返回值
bp(base pointer): 用於存放執行中的函數對應的棧幀的棧底地址
sp(stack poinger): 用於存放執行中的函數對應的棧幀的棧頂地址
ip(instruction pointer): 指向當前執行指令的下一條指令

不同架構的CPU，寄存器名稱被添以不同前綴以指示寄存器的大小。例如對於x86架構，字母“e”用作名稱前綴，指示各寄存器大小爲32位；對於x86_64寄存器，字母“r”用作名稱前綴，指示各寄存器大小爲64位。

函數調用例子

瞭解了棧和寄存器的概念，下面看一個函數調用實例：

//func_call.c
int bar(int c, int d)
{
    int e = c + d;
    return e;
}
int foo(int a, int b)
{
    return bar(a, b);
}
int main(void)
{
    foo(2, 5);
    return 0;
}

該程序很簡單，main->foo->bar，編譯得到可執行文件func_call：

# gcc -g func_call.c -o func_call

-g選項使目標文件func_call包含程序的調試信息。

反彙編分析

下面我們使用gdb對func_call進行反彙編，跟蹤main->foo->bar函數調用過程。

# gdb func_call
//此處省略gdb版本信息
Reading symbols from /tmp/lx/func_call...done.
(gdb) start
Temporary breakpoint 1 at 0x400525: file func_call.c, line 14.
Starting program: /tmp/lx/func_call 

Temporary breakpoint 1, main () at func_call.c:14
14            foo(2, 5);
(gdb)

start命令用於拉起被調試程序，並執行至main函數的開始位置，程序被執行之後與一個用戶態的調用棧關聯。

main函數

現進程跑在main函數中，我們disassemble命令顯示當前函數的彙編信息：

(gdb) disassemble /rm
Dump of assembler code for function main:
13        {
0x0000000000400521 <main+0>:     55                push %rbp
0x0000000000400522 <main+1>:     48 89 e5          mov %rsp,%rbp

14               foo(2, 5);
0x0000000000400525 <main+4>:     be 05 00 00 00    mov $0x5,%esi
0x000000000040052a <main+9>:     bf 02 00 00 00    mov $0x2,%edi
0x000000000040052f <main+14>:    e8 d2 ff ff ff    callq 0x400506 <foo>

15               return 0;
0x0000000000400534 <main+19>:    b8 00 00 00 00    mov $0x0,%eax

16        }
0x0000000000400539 <main+24>:     c9               leaveq 
0x000000000040053a <main+25>:     c3               retq

End of assembler dump.

disassemble命令的/m指示顯示彙編指令的同時，顯示相應的程序源碼；/r指示顯示十六進制的計算機指令(raw instruction)。

以上輸出每行指示一條彙編指令，除程序源碼外共有四列，各列含義爲：

0x0000000000400521: 該指令對應的虛擬內存地址
<main+0>: 該指令的虛擬內存地址偏移量
55: 該指令對應的計算機指令
push %rbp: 彙編指令

一個函數被調用，首先默認要完成以下動作：

將調用函數的棧幀棧底地址入棧，即將bp寄存器的值壓入調用棧中
建立新的棧幀，將被調函數的棧幀棧底地址放入bp寄存器中

以下兩條指令即完成上面動作：

push %rbp
mov  %rsp, %rbp

也許你會問：咦？以上disassemble的輸出不是main函數的彙編指令嗎，怎麼輸出中也有上面兩條指令？難道main也是一個“被調函數”？

是的，皆因main並不是程序拉起後第一個被執行的函數，它被_start函數調用，更詳細的資料參看這裏。

一個函數調用另一個函數，需先將參數準備好。main調用foo函數，兩個參數傳入通用寄存器中：

mov $0x5, %esi
mov $0x2, %edi

對於參數傳遞的方式，x86和x86_64定義了不同的函數調用規約(calling convention)。相比x86_64將參數傳入通用寄存器的方式，x86將參數壓入調用棧中，x86下對應foo函數傳參的彙編指令，有以下形式的輸出：

sub $0x8, %esp
mov $0x5, -0x4(%ebp)
mov $0x2, -0x8(%ebp)

參數的調用棧位置通過ebp保存的棧幀棧底地址索引，棧從內存高地址向低地址生長，所以索引值爲負數，減少esp寄存器的值表示擴展棧幀。

萬事具備，是時候將執行控制權交給foo函數了，call指令完成交接任務：

0x000000000040052f <main+14>:     e8 d2 ff ff ff    callq  0x400506 <foo>

一條call指令，完成了兩個任務：

將調用函數(main)中的下一條指令(這裏爲0x400534)入棧，被調函數返回後將取這條指令繼續執行，64位rsp寄存器的值減8
修改指令指針寄存器rip的值，使其指向被調函數(foo)的執行位置，這裏爲0x400506

執行完start命令後，現在程序停在0x400522的位置，下面我們通過gdb的si指令，讓程序執行完call指令：

(gdb) si 3
foo (a=0, b=4195328) at func_call.c:8
8    {
(gdb)

此時我們再來看rsp、rbp寄存器的值，它們保存了程序實際用到的物理內存地址：

(gdb) info registers rbp rsp
rbp            0x7fffffffe8e0    0x7fffffffe8e0
rsp            0x7fffffffe8d8    0x7fffffffe8d8
(gdb)

main函數君的執行到此就暫時告一段落了，此時func_call的調用棧情況如下：

相關寄存器信息如下：

esi: 0x5 edi: 0x2

foo函數

foo函數被執行之後，我們使用disassemble命令顯示其彙編指令：

(gdb) disassemble /rm
Dump of assembler code for function foo:
8    {
0x0000000000400506 <foo+0>:     55             push   %rbp
0x0000000000400507 <foo+1>:     48 89 e5       mov    %rsp,%rbp
0x000000000040050a <foo+4>:     48 83 ec 08    sub    $0x8,%rsp
0x000000000040050e <foo+8>:     89 7d fc       mov    %edi,-0x4(%rbp)
0x0000000000400511 <foo+11>:    89 75 f8       mov    %esi,-0x8(%rbp)

9        return bar(a, b);
0x0000000000400514 <foo+14>:     8b 75 f8      mov    -0x8(%rbp),%esi
0x0000000000400517 <foo+17>:     8b 7d fc      mov    -0x4(%rbp),%edi
0x000000000040051a <foo+20>:     e8 cd ff ff ff    callq  0x4004ec <bar>

10    }
0x000000000040051f <foo+25>:     c9    leaveq 
0x0000000000400520 <foo+26>:     c3    retq   

End of assembler dump.
(gdb)

前面兩條指令將main函數棧幀的棧底地址入棧，建立foo函數的棧幀。接着的三條指令擴展棧幀，將傳入的參數存爲函數內局部變量。最後三條指令與bar函數調用相對應，也是先將參數傳入esi、edi寄存器，然後執行call指令。

繼續執行si命令，讓程序執行到call指令的位置：

(gdb) si 8
bar (c=32767, d=-139920736) at func_call.c:2
2    {
(gdb) info registers rbp rsp
rbp            0x7fffffffe8d0    0x7fffffffe8d0
rsp            0x7fffffffe8c0    0x7fffffffe8c0
(gdb)

foo函數調用bar函數之後，bar函數執行之前，調用棧信息如下：

相關寄存器信息如下：

esi: 0x5 edi: 0x2

bar函數

此時程序執行至bar函數，同樣，我們先用disassemble看一下bar函數的彙編指令：

(gdb) disassemble /rm
Dump of assembler code for function bar:
2    {
0x00000000004004ec <bar+0>:     55          push   %rbp
0x00000000004004ed <bar+1>:     48 89 e5    mov    %rsp,%rbp
0x00000000004004f0 <bar+4>:     89 7d ec    mov    %edi,-0x14(%rbp)
0x00000000004004f3 <bar+7>:     89 75 e8    mov    %esi,-0x18(%rbp)

3        int e = c + d;
0x00000000004004f6 <bar+10>:     8b 55 e8    mov    -0x18(%rbp),%edx
0x00000000004004f9 <bar+13>:     8b 45 ec    mov    -0x14(%rbp),%eax
0x00000000004004fc <bar+16>:     01 d0       add    %edx,%eax
0x00000000004004fe <bar+18>:     89 45 fc    mov    %eax,-0x4(%rbp)

4        return e;
0x0000000000400501 <bar+21>:     8b 45 fc    mov    -0x4(%rbp),%eax

5    }
0x0000000000400504 <bar+24>:     c9    leaveq 
0x0000000000400505 <bar+25>:     c3    retq   

End of assembler dump.
(gdb)

對於最前面兩條指令我們應該很熟悉了：將foo函數棧幀的棧底地址入棧，建立bar函數的棧幀。但後面兩條指令與foo函數中對應位置的指令就不一樣了，這裏爲什麼不擴展棧幀，不像foo函數彙編指令那樣將參數的值存入調用棧呢？

原因就是bar函數是最後一個被調用的函數了，foo函數中的局部變量在bar函數返回後還有可能被操作，而bar函數的局部變量已失去保存的必要。以上“{}”中剩餘的指令利用edx和eax寄存器完成加法操作，最後結果保存在eax寄存器中，以作爲結果返回。

至此，調用棧信息如下：

相關寄存器信息如下：

esi: 0x5 edi: 0x2 edx: 0x5 eax: 0x7

這時我們再來使用gdb的x命令查看內存信息：

(gdb) x/16x 0x7fffffffe8a0 
0x7fffffffe8a0:    0x00000005    0x00000002    0x00400595    0x00000000
0x7fffffffe8b0:    0xf7ffa658    0x00000007    0xffffe8d0    0x00007fff
0x7fffffffe8c0:    0x0040051f    0x00000000    0x00000005    0x00000002
0x7fffffffe8d0:    0xffffe8e0    0x00007fff    0x00400534    0x00000000
(gdb)

以上命令顯示16個4bytes內存地址指示的值，且值以十六進制顯示。比較下，看這裏的輸出與上面的調用棧信息是否一致？

函數返回過程

函數調用過程對應着調用棧的建立，而函數返回則是進行調用棧的銷燬，返回比調用過程簡單多了，畢竟破壞比建設來的容易。在main、foo和bar函數的彙編顯示中，我們都可以看到leave和ret兩條指令：

0x0000000000400504 <bar+24>:     c9    leaveq 
0x0000000000400505 <bar+25>:     c3    retq

leave指令等價於以下兩條指令：

mov %rbp, %rsp
pop %rbp

這兩條指令將bp和sp寄存器中的值還原爲函數調用前的值，是函數開頭兩條指令的逆向過程。ret指令修改了ip寄存器的值，將其設置爲原函數棧幀中將要執行的指令地址。bar函數的leave和ret執行完之後，調用棧信息變爲：

rip寄存器的值爲0x40051f

剩餘的函數返回過程類似，直至所有函數執行完成、調用棧被銷燬。

小結

本文通過一個簡單的函數調用實例，結合gdb單步調試和反彙編工具，對函數調用的底層實現過程進行了分析。

修改sp、bp寄存器記錄棧幀的高、低地址，以此完成函數調轉；

push/mov操作保存caller變量、指令信息，保證callee返回之後caller繼續正常執行；

⋯⋯

棧這種簡單的數據結構優雅地完成了支撐計算機程序執行的任務。

我們可以參照這樣的思路，在編碼實現功能需求時，分析所要實現的功能，選擇恰當的數據結構和實現方式，力求做到優雅、簡潔。

------------------------------------------------------------

本文基於Suse11sp1(x86_64)，該發行版可從這裏下載。

# cat /etc/SuSE-release;uname -r
SUSE Linux Enterprise Desktop 11 (x86_64)
VERSION = 11
PATCHLEVEL = 1
2.6.32.12-0.7-default

Reference: 函數調用

Chapter 5, the stack, Self-service Linux

一支蘭州

發佈了12 篇原創文章 · 獲贊 23 · 訪問量 32萬+

私信關注

函數調用過程

73條日常Linux shell命令彙總，總有一條你需要！

如何用 sysdig 監控和排查 Linux 服務器

虛函數調用過程

共享內存

進程間通信-管道（PIPE）和有名管道（FIFO）

Mac下配置sublime實現LaTeX

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結