C代码: int fun(int para) { int a=0; return 0; }
void main() { fun(1); }
汇编代码:
1: 2: 3: int fun(int para) 4: { 0040B810 push ebp ;保护寄存器ebp 0040B811 mov ebp,esp ;此时ebp=esp;此后ebp一般不变 0040B813 sub esp,44h ;44即为40Bytes间隔空间+fun内部变量占有空间,此时fun仅定义一int型变量a,故为4Bytes 0040B816 push ebx ;保护ebx 0040B817 push esi ;保护esi 0040B818 push edi ;保护edi
0040B819 lea edi,[ebp-44h] ;以下四条代码将44Bytes空间置为0CCCCCCCCh 0040B81C mov ecx,11h 0040B821 mov eax,0CCCCCCCCh 0040B826 rep stos dword ptr [edi]
;以下为自己写的代码
5: int a=0; 0040B828 mov dword ptr [ebp-4],0 6: 7: 8: return 1; 0040B82F mov eax,1 ;返回值被放入eax 9: } 0040B831 pop edi 0040B832 pop esi 0040B833 pop ebx 0040B834 mov esp,ebp 0040B836 pop ebp 0040B837 ret
10: 11: void main() 12: { 0040B790 push ebp 0040B791 mov ebp,esp 0040B793 sub esp,40h 0040B796 push ebx 0040B797 push esi 0040B798 push edi 0040B799 lea edi,[ebp-40h] 0040B79C mov ecx,10h 0040B7A1 mov eax,0CCCCCCCCh 0040B7A6 rep stos dword ptr [edi] 13: 14: fun(1); 0040B7A8 push 1 ;参数入栈 0040B7AA call @ILT+25(fun) (0040101e) 0040B7AF add esp,4 ;等效于参数出栈,恢复esp。(此时参数为1 个int型数据,占4Bytes) 15: 16: 17: } 0040B7B2 pop edi 0040B7B3 pop esi 0040B7B4 pop ebx 0040B7B5 add esp,40h 0040B7B8 cmp ebp,esp 0040B7BA call __chkesp (004010a0) 0040B7BF mov esp,ebp 0040B7C1 pop ebp 0040B7C2 ret
归纳调用fun的过程为:
(1)参数入栈 (2)调用fun,保护断点,EIP入栈(内部完成,无汇编代码) (3)保护寄存器ebp (4)定位新的ebp,此后ebp一般不变 (5)保护ebx,esi,edi (6)初始化40Bytes间隔空间和fun内部变量
此过程,数据空间变化如下:
(1)参数入栈 |低地址|...|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(2)调用fun,保护断点,EIP入栈(内部完成,无汇编代码)
|低地址|...|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(3)保护寄存器ebp
|低地址|...|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(4)定位新的ebp,此后ebp一般不变
|低地址|...|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp和ebp指向此
(5)保护ebx,esi,edi
|低地址|...|edi入栈值|esi入栈值|ebx入栈值|40Bytes间隔空间|fun内部变量值|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向(ebp入栈值)
(6)初始化40Bytes间隔空间和fun内部变量
曾看到一程序:
#include "stdio.h"
int fun() { int a=0; int* p=&a; p=p+2; *p=*p+3;
return 0; }
int main(int argc, char* argv[]) { int i=1;
fun(); i++; printf("%d",i);
return 0; }
下面是其中两段汇编代码:
....... 15: int i=1; 0040B558 mov dword ptr [ebp-4],1 16: 17: fun(); 0040B55F call @ILT+10(fun) (0040100f) 18: i++; 0040B564 mov eax,dword ptr [ebp-4] 0040B567 add eax,1 0040B56A mov dword ptr [ebp-4],eax ...
5: int a=0; 0040B508 mov dword ptr [ebp-4],0 6: int* p=&a; 0040B50F lea eax,[ebp-4] 0040B512 mov dword ptr [ebp-8],eax 7: p=p+2; 0040B515 mov ecx,dword ptr [ebp-8] 0040B518 add ecx,8 0040B51B mov dword ptr [ebp-8],ecx 8: *p=*p+3; 0040B51E mov edx,dword ptr [ebp-8] 0040B521 mov eax,dword ptr [edx] 0040B523 add eax,3 0040B526 mov ecx,dword ptr [ebp-8] 0040B529 mov dword ptr [ecx],eax 9: 10: return 0; 0040B52B xor eax,eax 11: } ...
其数据空间为:
|低地址|...|40Bytes间隔空间|p的值|a的值|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^ebp指向|ebp入栈值|
由于p=&a,p指向|a的值|,则执行p=p+2后,p指向|fun返回函数地址|
跟踪程序|fun返回函数地址|=0040B564 ,执行的*p=*p+3,|fun返回函数地址|=0040B567
即fun返回后程序从地址0040B567执行,跳过0040B564 处的代码mov eax,dword ptr [ebp-4],使得结果i=1,而不是i=2。
|
请发表评论