函數調用的過程

C代碼:

int fun(int para)
{
  int a=0;


  return 0;
}

void main()
{

  fun(1);


}

彙編代碼:

1:
2:
3:    int fun(int para)
4:    {
0040B810   push        ebp                                  ;保護寄存器ebp
0040B811   mov         ebp,esp                           ;此時ebp=esp;此後ebp一般不變
0040B813   sub         esp,44h                            ;44即爲40Bytes間隔空間+fun內部變量佔有空間,此時fun僅定義一int型變量a,故爲4Bytes
0040B816   push        ebx                                    ;保護ebx
0040B817   push        esi                                     ;保護esi
0040B818   push        edi                                     ;保護edi


0040B819   lea         edi,[ebp-44h]                      ;以下四條代碼將44Bytes空間置爲0CCCCCCCCh
0040B81C   mov         ecx,11h
0040B821   mov         eax,0CCCCCCCCh
0040B826   rep stos    dword ptr [edi]

;以下爲自己寫的代碼

5:      int a=0;
0040B828   mov         dword ptr [ebp-4],0
6:
7:
8:      return 1;
0040B82F   mov         eax,1                                 ;返回值被放入eax
9:    }
0040B831   pop         edi
0040B832   pop         esi
0040B833   pop         ebx
0040B834   mov         esp,ebp
0040B836   pop         ebp
0040B837   ret

 

10:
11:   void main()
12:   {
0040B790   push        ebp
0040B791   mov         ebp,esp
0040B793   sub         esp,40h
0040B796   push        ebx
0040B797   push        esi
0040B798   push        edi
0040B799   lea         edi,[ebp-40h]
0040B79C   mov         ecx,10h
0040B7A1   mov         eax,0CCCCCCCCh
0040B7A6   rep stos    dword ptr [edi]
13:
14:     fun(1);
0040B7A8   push        1                                              ;參數入棧
0040B7AA   call        @ILT+25(fun) (0040101e)
0040B7AF   add         esp,4                                       ;等效於參數出棧,恢復esp。(此時參數爲1 個int型數據,佔4Bytes)
15:
16:
17:   }
0040B7B2   pop         edi
0040B7B3   pop         esi
0040B7B4   pop         ebx
0040B7B5   add         esp,40h
0040B7B8   cmp         ebp,esp
0040B7BA   call        __chkesp (004010a0)
0040B7BF   mov         esp,ebp
0040B7C1   pop         ebp
0040B7C2   ret

 

歸納調用fun的過程爲:

(1)參數入棧

(2)調用fun,保護斷點,EIP入棧(內部完成,無彙編代碼)

(3)保護寄存器ebp

(4)定位新的ebp,此後ebp一般不變

(5)保護ebx,esi,edi

(6)初始化40Bytes間隔空間和fun內部變量

 

此過程,數據空間變化如下:

(1)參數入棧

     |低地址|...|參數值|...|高地址| ...

                       ^esp指向此                   ^ebp指向某一位置

(2)調用fun,保護斷點,EIP入棧(內部完成,無彙編代碼)

     |低地址|...|fun返回函數地址|參數值|...|高地址| ...

                       ^esp指向此                                                ^ebp指向某一位置

(3)保護寄存器ebp

     |低地址|...|ebp入棧值|fun返回函數地址|參數值|...|高地址| ...

                       ^esp指向此                                                ^ebp指向某一位置

(4)定位新的ebp,此後ebp一般不變

     |低地址|...|ebp入棧值|fun返回函數地址|參數值|...|高地址| ...

                       ^esp和ebp指向此                                               

(5)保護ebx,esi,edi

     |低地址|...|edi入棧值|esi入棧值|ebx入棧值|40Bytes間隔空間|fun內部變量值|ebp入棧值|fun返回函數地址|參數值|...|高地址| ...

                       ^esp指向此                                                                                            ^ebp指向(ebp入棧值)                                     

(6)初始化40Bytes間隔空間和fun內部變量

 

----------------------------------------------------------------------------------------------

 曾看到一程序:

#include "stdio.h"

int fun()
{
int a=0;
int* p=&a;
p=p+2;
*p=*p+3;

return 0;
}

int main(int argc, char* argv[])
{
int i=1;

fun();
i++;
printf("%d",i);

return 0;
}

下面是其中兩段彙編代碼:

 

...

15:   int i=1;
0040B558   mov         dword ptr [ebp-4],1
16:
17:   fun();
0040B55F   call        @ILT+10(fun) (0040100f)
18:   i++;
0040B564   mov         eax,dword ptr [ebp-4]
0040B567   add         eax,1
0040B56A   mov         dword ptr [ebp-4],eax

...

5:    int a=0;
0040B508   mov         dword ptr [ebp-4],0
6:    int* p=&a;
0040B50F   lea         eax,[ebp-4]
0040B512   mov         dword ptr [ebp-8],eax
7:    p=p+2;
0040B515   mov         ecx,dword ptr [ebp-8]
0040B518   add         ecx,8
0040B51B   mov         dword ptr [ebp-8],ecx
8:    *p=*p+3;
0040B51E   mov         edx,dword ptr [ebp-8]
0040B521   mov         eax,dword ptr [edx]
0040B523   add         eax,3
0040B526   mov         ecx,dword ptr [ebp-8]
0040B529   mov         dword ptr [ecx],eax
9:
10:   return 0;
0040B52B   xor         eax,eax
11:   }

...

 

其數據空間爲:

     |低地址|...|40Bytes間隔空間|p的值|a的值|ebp入棧值|fun返回函數地址|參數值|...|高地址| ...

                                                                             ^ebp指向|ebp入棧值|

由於p=&a,p指向|a的值|,則執行p=p+2後,p指向|fun返回函數地址|

跟蹤程序|fun返回函數地址|=0040B564 ,執行的*p=*p+3,|fun返回函數地址|=0040B567  

即fun返回後程序從地址0040B567執行,跳過0040B564 處的代碼mov         eax,dword ptr [ebp-4],使得結果i=1,而不是i=2。

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章