堆栈机制

 

堆栈为什么是向下增长的呢？

这几天频频要处理关于堆栈的问题，就是为什么在x86中堆栈是向下方向增长呢？也就是说为什么PUSH后，栈顶的内存地址是减小了呢？

过去也想过这个问题，当时只是感性上模糊地觉得这种设计真是巧妙……呵呵，可是仔细想的时候却发现原来自己也说不出个为什么来，又总是忘记到底是减小还是增加:-)

“这个问题与虚拟地址空间的分配规则有关，每一个可执行C程序，从低地址到高地址依次是：text，data，bss，堆，栈，环境参数变量；其中堆和栈之间有很大的地址空间空闲着，在需要分配空间的时候，堆向上涨，栈往下涨。”

这样设计可以使得堆和栈能够充分利用空闲的地址空间。如果栈向上涨的话，我们就必须得指定栈和堆的一个严格分界线，但这个分界线怎么确定呢？平均分？但是有的程序使用的堆空间比较多，而有的程序使用的栈空间比较多。所以就可能出现这种情况：一个程序因为栈溢出而崩溃的时候，其实它还有大量闲置的堆空间呢，但是我们却无法使用这些闲置的堆空间。所以呢，最好的办法就是让堆和栈一个向上涨，一个向下涨，这样它们就可以最大程度地共用这块剩余的地址空间，达到利用率的最大化！！

呵呵，其实当你明白这个原理的时候，你也会不由地惊叹当时设计计算机的那些科学家惊人的聪明和智慧！！

附图：

 

 

 

 

学习Ollydbg，目的是了解函数调用时的堆栈机制

1、 快捷键

F2：设置断点，只要在光标定位的位置（上图中灰色条）按F2键即可，再按一次F2键则会删除断点。

F8：单步步过。每按一次这个键执行一条反汇编窗口中的一条指令，遇到 CALL 等子程序不进入其代码。

F7：单步步入。功能同单步步过(F8)类似，区别是遇到 CALL 等子程序时会进入其中，进入后首先会停留在子程序的第一条指令上。

F4：运行到选定位置。作用就是直接运行到光标所在位置处暂停。

F9：运行。按下这个键如果没有设置相应断点的话，被调试的程序将直接开始运行。

CTR+F9：执行到返回。此命令在执行到一个 ret (返回指令)指令时暂停，常用于从系统领空返回到我们调试的程序领空。

ALT+F9：执行到用户代码。可用于从系统领空快速返回到我们调试的程序领空。

2、 eip,ebp,esp的解释

先写个小程序：

void fun(void)

{

printf("hello world")；

}

void main(void)

{

fun()

printf("函数调用结束");

}

这是一个再简单不过的函数调用的例子了。

当程序进行函数调用的时候，我们经常说的是先将函数压栈，当函数调用结束后，再出栈。这一切的工作都是系统帮我们自动完成的。

但在完成的过程中，系统会用到下面三种寄存器：

1.EIP        Extended Instructions Pointer 指令寄存器

2.ESP     Extended Stack Pointer栈指针寄存器

3.EBP      Extended (Stack) Base Pointer 栈基指针寄存器

当调用fun函数开始时，三者的作用。

1.EIP寄存器里存储的是CPU下次要执行的指令的地址。

也就是调用完fun函数后，让CPU知道应该执行main函数中的printf（"函数调用结束"）语句了。

2.EBP寄存器里存储的是是栈的栈底指针，通常叫栈基址，这个是一开始进行fun()函数调用之前，由ESP传递给EBP的。（在函数调用前你可以这么理解：ESP存储的是栈顶地址，也是栈底地址。）

3.ESP寄存器里存储的是在调用函数fun()之后，栈的栈顶。并且始终指向栈顶。

当调用fun函数结束后，三者的作用：

1.系统根据EIP寄存器里存储的地址，CPU就能够知道函数调用完，下一步应该做什么，也就是应该执行main函数中的printf（“函数调用结束”）。

2.EBP寄存器存储的是栈底地址，而这个地址是由ESP在函数调用前传递给EBP的。等到调用结束，EBP会把其地址再次传回给ESP。所以ESP又一次指向了函数调用结束后，栈顶的地址。

 

函数调用栈：

理解调用栈最重要的两点是：栈的结构，EBP寄存器的作用。

右侧的红色部分，写出了引发栈结构变化的对应的指令
+| (栈底方向，高位地址) |
| ....................|
| ....................| // call somefun(...)-->修改esp，栈向下增长，参数入栈，返回值入栈
| 参数3 |
| 参数2 |
| 参数1 |
| 返回地址|
-| 上一层[EBP] | // push ebp --->修改esp，栈向下增长

//“MOV EBP ESP” ebp指向新的栈顶

| 局部变量1 | // sub esp 局部变量占用空间 -->修改esp，栈向下增长

| 局部变量2 |

|.....................|

补充：栈一直随着函数调用的深入，一直想栈顶方向压下去。每次调用函数时候，先压函数参数（从右往左顺序压），再压入函数调用下条指令的地址（由call完成）。接着进入调用函数体中先执行PUSH EBP; MOV EBP ESP;（一般已经由编译器加入到函数头中了），接着就是吧函数体中的局部变量压入栈中。再遇到函数的调用的嵌套则依此类推。（added by smsong）

 “PUSH EBP”“MOV EBP ESP”这两条指令实在大有深意：首先将EBP入栈，然后将栈顶指针ESP赋值给EBP。“MOV EBP ESP”这条指令表面上看是用ESP把EBP原来的值覆盖了，其实不然——因为给EBP赋值之前，原EBP值已被压栈（位于栈顶），而新的EBP又恰恰指向栈顶。
此时EBP寄存器就已处于一个很重要的地位，该寄存器中存储着栈中的一个地址（原EBP入栈后的栈顶），从该地址为基准，向上（栈底方向）能获取返回地址、参数值，向下（栈顶方向）能获取函数局部变量值，而该地址处又存储着上一层函数调用时的EBP值！（注意：ESP始终指向栈顶）
     一般而言，ss:[ebp+4]处为返回地址，ss:[ebp+8]处为第一个参数值（最后一个入栈的参数值，此处假设其占用4字节内存），ss:[ebp-4]处为第一个局部变量，ss:[ebp]处为上一层EBP值。
     由于EBP中的地址处总是“上一层函数调用时的EBP值”，而在每一层函数调用中，都能通过当时的EBP值“向上（栈底方向）能获取返回地址、参数值，向下（栈顶方向）能获取函数局部变量值”。
     如此形成递归，直至到达栈底。这就是函数调用栈。