二进制基础学习①-函数调用及其栈帧原理

author: bilala

0x00 前言

栈是一个先入后出的结构，如果还不了解的话得先自己百度看看。

本篇在示例中详细解析了汇编层面的指令执行过程，且画了图帮助理解，所以理论部分看的不是很懂的话也不要紧，看示例时候跟一跟就能明白了。

0x01 函数的调用

众所周知，当一个子函数要被调用时，他就会入栈，即push son_fun，执行完成后就会pop出栈。这里还要强调的一点是栈从高地址往低地址生长，接下来看一张图

调用者的帧就是父函数的栈帧，第一个省略号（最上边的）就是正常执行时的栈，当我们在调用子函数时，才开始下面的这些操作，也就是从“参数n”开始都和调用子函数有关，操作如下：

父函数将子函数的参数从后向前压栈，也就是图中的参数n到参数1
将返回地址压栈保存，对应图中“返回地址”。当子函数调用结束后，我们要告诉程序接下来要回到哪里继续执行命令，这个哪里就是返回地址的地址值，这也是栈溢出实现的关键地方
跳转到子函数起始地址开始执行
子函数将父函数栈帧的起始地址入栈，对应着图中的“上一栈帧的%rbp”。注意此时的%rbp指着“调用者栈帧”的栈底，此时的%rsp指向“上一栈帧的%rbp”。
将%rbp的值设置为%rsp的值，也就是将%rbp也指向了“上一栈帧的%rbp”
开始执行子函数里的相关内容

上述过程中，保存返回地址和跳转到子函数处执行由 call 一条指令完成，在call 指令执行完成时，已经进入了子程序中，因而将上一栈帧%rbp 压栈的操作，需要由子程序来完成。

汇编层面的指令如下：

...   # 参数压栈
call FUNC  # 将返回地址压栈，并跳转到子函数 FUNC 处执行
...  # 函数调用的返回位置

FUNC:  # 子函数入口
push %rbp  # 保存旧的帧指针，相当于创建新的栈帧
mov  %rsp, %rbp  # 让 %rbp 指向新栈帧的起始位置
sub  $N, %rsp  # 在新栈帧中预留一些空位，供子程序使用，用 (%rsp+K) 或 (%rbp-K) 的形式引用空位

0x02 函数的返回

函数返回时，其返回值存储在%rax中。获取返回值后，只需将栈结构恢复到进入子函数前的结构即可。

操作如下：

将%rsp指向%rbp，即两个指针指向同个位置：子函数栈帧的栈底
弹出此栈。%rbp回到上一栈帧的%rbp，%rsp往高地址移一个位置，即指向了“返回地址”处

x86-64 架构中提供了 leave 指令来实现上述两步操作的功能。执行leave后，栈帧如下

leave对应的汇编指令如下：

movq %rbp, %rsp    # 使 %rsp 和 %rbp 指向同一位置，即子栈帧的起始处
popq %rbp # 将栈中保存的父栈帧的 %rbp 的值赋值给 %rbp，并且 %rsp 上移一个位置指向父栈帧的结尾处

调用leave后一般都会跟一个ret指令，作用就是从当前 %rsp 指向的位置（即栈顶）弹出数据，并跳转到此数据代表的地址处，在图中就是跳转到“参数1”处，这时程序会从返回地址处的地方开始继续执行，而这些父栈帧尾部存储的调用参数由编译器自动释放。

0x03 函数调用示例

先写一个.c文件

#include <stdio.h>
#include <stdlib.h>

int add(int a,int b){
    int res = a+b;
    return res;
}

int main()
{
    int data1;
    int data2;
    int result;
    data1 = 111;
    data2 = 222;
    result = add(data1, data2);
    printf("result: %d", result);
    return 0;
}

利用gcc -fno-stack-protector -no-pie test.c -o test编译成可执行文件

然后在gdb中打下断点b main，然后r运行，在main处停下