結合ARM相關文件和在飛騰機器上使用gdb除錯實際程式來研究ARM的指令和執行時棧幀佈局。主要參考了三篇文件。

1. Procedure Call Standard for the ARM 64-bit Architecture。參考其中的過程呼叫標準和執行時棧幀佈局。

2. ARMv8 Instruction Set Overview。參考其中的指令概述。

3. ARM Compiler Migration and Compatibility Guide。參考其中ARM彙編與GNU彙編格式的比較。

在文章1中，對ARM架構下執行時棧幀佈局如圖1所示。

圖1 ARM執行時棧幀佈局

其中，FP(x29)暫存器儲存棧幀地址，LR（x30）儲存當前過程的返回地址。棧是從高地址向低地址生長。為驗證圖中的佈局形式，在飛騰機器上安裝gdb，通過除錯一個示例程式，來研究ARM的指令特點和棧幀結構。示例程式如圖2所示，函式TestParam定義了兩個區域性變數，分別為陣列和標量型別。

使用gdb除錯圖2中程式碼所產生的程式，然後再反彙編函式TestParam，可以得到如下結果。

=> 0x0000000000400680 <+0>:stpx29, x30, [sp,#-64]!

   0x0000000000400684 <+4>:movx29, sp

   0x0000000000400688 <+8>:strw0, [x29,#28]

   0x000000000040068c <+12>:strw1, [x29,#24]

   0x0000000000400690 <+16>:strw2, [x29,#20]

   0x0000000000400694 <+20>:strw3, [x29,#16]

   0x0000000000400698 <+24>:adrpx0, 0x411000 <

   0x000000000040069c <+28>:addx0, x0, #0x38

   0x00000000004006a0 <+32>:ldrx1, [x0]

   0x00000000004006a4 <+36>:strx1, [x29,#56]

   0x00000000004006a8 <+40>:movx1, #0x0                   // #0

   0x00000000004006ac <+44>:ldrw1, [x29,#28]

   0x00000000004006b0 <+48>:ldrw0, [x29,#24]

   0x00000000004006b4 <+52>:addw0, w1, w0

   0x00000000004006b8 <+56>:strw0, [x29,#48]

   0x00000000004006bc <+60>:ldrw1, [x29,#20]

   0x00000000004006c0 <+64>:ldrw0, [x29,#16]

   0x00000000004006c4 <+68>:subw0, w1, w0

   0x00000000004006c8 <+72>:strw0, [x29,#52]

   0x00000000004006cc <+76>:ldrw1, [x29,#20]

   0x00000000004006d0 <+80>:ldrw0, [x29,#16]

   0x00000000004006d4 <+84>:addw0, w1, w0

   0x00000000004006d8 <+88>:strw0, [x29,#44]

   0x00000000004006dc <+92>:ldrw1, [x29,#48]

   0x00000000004006e0 <+96>:ldrw2, [x29,#52]

   0x00000000004006e4 <+100>:adrpx0, 0x400000

   0x00000000004006e8 <+104>:addx0, x0, #0x808

   0x00000000004006ec <+108>:ldrw3, [x29,#44]

   0x00000000004006f0 <+112>:bl0x400530 <[email protected]>

   0x00000000004006f4 <+116>:adrpx0, 0x411000 <[email protected]>

   0x00000000004006f8 <+120>:addx0, x0, #0x38

   0x00000000004006fc <+124>:ldrx1, [x29,#56]

   0x0000000000400700 <+128>:ldrx0, [x0]

   0x0000000000400704 <+132>:eorx0, x1, x0

   0x0000000000400708 <+136>:cmpx0, xzr

   0x000000000040070c <+140>:b.eq0x400714 <TestParam+148>

   0x0000000000400710 <+144>:bl0x400500 <[email protected]>

   0x0000000000400714 <+148>:ldpx29, x30, [sp],#64

   0x0000000000400718 <+152>:ret

以下是反彙編指令的解釋以及其對棧中內容的影響。

=> 0x0000000000400680 <+0>:stpx29, x30, [sp,#-64]!

   0x0000000000400684 <+4>:movx29, sp

指令stp把一對值x29和x30放到SP-64的地址（7ffffff370）中去。此時的SP是舊SP，其值為7ffffff3b0。值得注意的是，這條語句同時完成了SP的自減運算，也就是執行之後，SP的值也變成了7ffffff370。第二條指令把FP的值設定為與SP的值相同。

   0x0000000000400688 <+8>:strw0, [x29,#28]

   0x000000000040068c <+12>:strw1, [x29,#24]

   0x0000000000400690 <+16>:strw2, [x29,#20]

   0x0000000000400694 <+20>:strw3, [x29,#16]

這4條指令把儲存在引數傳遞暫存器中的4個引數儲存到棧中。如圖2中的w0, w1, w2, w3所示。

   0x0000000000400698 <+24>:adrpx0, 0x411000 <[email protected]>

   0x000000000040069c <+28>:addx0, x0, #0x38

   0x00000000004006a0 <+32>:ldrx1, [x0]

   0x00000000004006a4 <+36>:strx1, [x29,#56]

   0x00000000004006a8 <+40>:movx1, #0x0                   // #0

這5條指令是用於安全保障的。因為函式TestParam中聲明瞭一個數組，因此有受到緩衝區溢位攻擊的危險。在其他平臺下或者之前版本中，需要在編譯時顯式使用-fstack-protector選項，才會增加這樣的安全保障指令。而在飛騰ARM配置的編譯器中，預設就增加了。

其主要思路是在編譯時生成一個隨機化的值，如圖中的_stack_guard儲存在bss段中。在開始執行函式體時，把它從bss段中取出，放在棧的底部。然後執行函式。若有針對陣列e的緩衝區溢位攻擊，則_stack_guard就會被改寫。在函式執行結束時，再把棧底部的值和bss段中的原始值相比較，若兩者不同，就說明有攻擊行為發生。

這5條指令的功能就是從bss段中把_stack_guard的值放到棧的底部。需要注意的是，在查詢時使用了相對定址指令adrp。

   0x00000000004006ac <+44>:ldrw1, [x29,#28]

   0x00000000004006b0 <+48>:ldrw0, [x29,#24]

   0x00000000004006b4 <+52>:addw0, w1, w0

   0x00000000004006b8 <+56>:strw0, [x29,#48]

   0x00000000004006bc <+60>:ldrw1, [x29,#20]

   0x00000000004006c0 <+64>:ldrw0, [x29,#16]

   0x00000000004006c4 <+68>:subw0, w1, w0

   0x00000000004006c8 <+72>:strw0, [x29,#52]

這8條指令是使用形式引數進行運算，並把結果儲存在陣列中。陣列中只有兩個元素，被放置在靠近棧底的位置。

   0x00000000004006cc <+76>:ldrw1, [x29,#20]

   0x00000000004006d0 <+80>:ldrw0, [x29,#16]

   0x00000000004006d4 <+84>:addw0, w1, w0

   0x00000000004006d8 <+88>:strw0, [x29,#44]

這4條指令的作用是計算出f的值，並把它儲存到棧中。

   0x00000000004006dc <+92>:ldrw1, [x29,#48]

   0x00000000004006e0 <+96>:ldrw2, [x29,#52]

   0x00000000004006e4 <+100>:adrpx0, 0x400000

   0x00000000004006e8 <+104>:addx0, x0, #0x808

   0x00000000004006ec <+108>:ldrw3, [x29,#44]

   0x00000000004006f0 <+112>:bl0x400530 <[email protected]>

這6條指令是負責準備引數暫存器x0、w1、 w2和w3的值，並呼叫printf。x0中存放的是指向格式字串的指標。

   0x00000000004006f4 <+116>:adrpx0, 0x411000 <[email protected]>

   0x00000000004006f8 <+120>:addx0, x0, #0x38

   0x00000000004006fc <+124>:ldrx1, [x29,#56]

   0x0000000000400700 <+128>:ldrx0, [x0]

   0x0000000000400704 <+132>:eorx0, x1, x0

   0x0000000000400708 <+136>:cmpx0, xzr

   0x000000000040070c <+140>:b.eq0x400714 <TestParam+148>

   0x0000000000400710 <+144>:bl0x400500 <[email protected]>

這8條指令是比較_stack_guard的值與存放在bss段中的值是否相等，若相等，在跳到400714，繼續執行TestParam函式，否則跳到_stack_chk_fail函式，處理緩衝區溢位發生的情況。

   0x0000000000400714 <+148>:ldpx29, x30, [sp],#64

   0x0000000000400718 <+152>:ret

這2條指令從棧中恢復x29和x30的值，並返回。需要注意的是ldp指令執行之後，sp的值自動增加了64。