C函式呼叫過程及彙編分析
C程式碼：
int fun(int para)
{
int a=0；
return 0;
}
void main()
{
fun(1);
}
彙編程式碼：
1:
2:
3: int fun(int para)
4: {
0040B810 push ebp ；保護暫存器ebp
0040B811 mov ebp,esp ；此時ebp=esp；此後ebp一般不變
0040B813 sub esp,44h ；44即為40Bytes間隔空間+fun內部變數佔有空間，此時fun僅定義一int型變數a，故為4Bytes
0040B816 push ebx ；保護ebx
0040B817 push esi ；保護esi
0040B818 push edi ；保護edi
0040B819 lea edi,[ebp-44h] ；以下四條程式碼將44Bytes空間置為0CCCCCCCCh
0040B81C mov ecx,11h
0040B821 mov eax,0CCCCCCCCh
0040B826 rep stos dword ptr [edi]
；以下為自己寫的程式碼
5: int a=0;
0040B828 mov dword ptr [ebp-4],0
6:
7:
8: return 1;
0040B82F mov eax,1 ；返回值被放入eax
9: }
0040B831 pop edi
0040B832 pop esi
0040B833 pop ebx
0040B834 mov esp,ebp
0040B836 pop ebp
0040B837 ret
10:
11: void main()
12: {
0040B790 push ebp
0040B791 mov ebp,esp
0040B793 sub esp,40h
0040B796 push ebx
0040B797 push esi
0040B798 push edi
0040B799 lea edi,[ebp-40h]
0040B79C mov ecx,10h
0040B7A1 mov eax,0CCCCCCCCh
0040B7A6 rep stos dword ptr [edi]
13:
14: fun(1);
0040B7A8 push 1 ；引數入棧
0040B7AA call @ILT+25(fun) (0040101e)
0040B7AF add esp,4 ；等效於引數出棧，恢復esp。(此時引數為1 個int型資料，佔4Bytes)
15:
16:
17: }
0040B7B2 pop edi
0040B7B3 pop esi
0040B7B4 pop ebx
0040B7B5 add esp,40h
0040B7B8 cmp ebp,esp
0040B7BA call __chkesp (004010a0)
0040B7BF mov esp,ebp
0040B7C1 pop ebp
0040B7C2 ret
歸納呼叫fun的過程為：
(1)引數入棧
(2)呼叫fun，保護斷點，EIP入棧(內部完成，無彙編程式碼)
(3)保護暫存器ebp
(4)定位新的ebp，此後ebp一般不變
(5)保護ebx，esi，edi
(6)初始化40Bytes間隔空間和fun內部變數
此過程，資料空間變化如下：
(1)引數入棧
|低地址|...|引數值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(2)呼叫fun，保護斷點，EIP入棧(內部完成，無彙編程式碼)
|低地址|...|fun返回函式地址|引數值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(3)保護暫存器ebp
|低地址|...|ebp入棧值|fun返回函式地址|引數值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(4)定位新的ebp，此後ebp一般不變
|低地址|...|ebp入棧值|fun返回函式地址|引數值|...|高地址| ...
^esp和ebp指向此
(5)保護ebx，esi，edi
|低地址|...|edi入棧值|esi入棧值|ebx入棧值|40Bytes間隔空間|fun內部變數值|ebp入棧值|fun返回函式地址|引數值|...|高地址| ...
^esp指向此 ^ebp指向(ebp入棧值)
(6)初始化40Bytes間隔空間和fun內部變數
曾看到一程式：
#include "stdio.h"
int fun()
{
int a=0;
int* p=&a;
p=p+2;
*p=*p+3;
return 0;
}
int main(int argc, char* argv[])
{
int i=1;
fun();
i++;
printf("%d",i);
return 0;
}
下面是其中兩段彙編程式碼：
.......
15: int i=1;
0040B558 mov dword ptr [ebp-4],1
16:
17: fun();
0040B55F call @ILT+10(fun) (0040100f)
18: i++;
0040B564 mov eax,dword ptr [ebp-4]
0040B567 add eax,1
0040B56A mov dword ptr [ebp-4],eax
...
5: int a=0;
0040B508 mov dword ptr [ebp-4],0
6: int* p=&a;
0040B50F lea eax,[ebp-4]
0040B512 mov dword ptr [ebp-8],eax
7: p=p+2;
0040B515 mov ecx,dword ptr [ebp-8]
0040B518 add ecx,8
0040B51B mov dword ptr [ebp-8],ecx
8: *p=*p+3;
0040B51E mov edx,dword ptr [ebp-8]
0040B521 mov eax,dword ptr [edx]
0040B523 add eax,3
0040B526 mov ecx,dword ptr [ebp-8]
0040B529 mov dword ptr [ecx],eax
9:
10: return 0;
0040B52B xor eax,eax
11: }
...
其資料空間為：
|低地址|...|40Bytes間隔空間|p的值|a的值|ebp入棧值|fun返回函式地址|引數值|...|高地址| ...
^ebp指向|ebp入棧值|
由於p=&a，p指向|a的值|，則執行p=p+2後，p指向|fun返回函式地址|
跟蹤程式|fun返回函式地址|=0040B564 ，執行的*p=*p+3，|fun返回函式地址|=0040B567
即fun返回後程序從地址0040B567執行，跳過0040B564 處的程式碼mov eax,dword ptr [ebp-4]，使得結果i=1，而不是i=2。