汇编语言里调用函数的过程和堆栈平衡问题_堆栈不平衡-程序员宅基地

技术标签: 汇编语言  

汇编语言里调用函数的过程和堆栈平衡问题

1、汇编实例:简单函数调用时堆栈的变化过程

​ 我这里写了一个简单的C语言程序,调用了ADD()子函数,返回两个参数的和。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jsdVlWil-1582313055305)(../../../AppData/Roaming/Typora/typora-user-images/1582299641419.png)]

我们用OD调试它的exe文件,来查看调用函数前后堆栈的变化过程。

1.调用函数前:传入参数

我这里是直接找到main函数入口

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ZzkQXo0Z-1582313055306)(../../../AppData/Roaming/Typora/typora-user-images/1582299868710.png)]

我下断点的地方(地址:0x40DABE)就是子函数ADD();

  • 函数调用前首先压入参数。

原C语言代码中ADD函数有两个参数a=1和b=2;

按f8执行,一直到函数入口

可以看到OD中地址:0x40DAA8开始到调用函数有以下代码

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BAWZ3kp9-1582313055306)(../../../AppData/Roaming/Typora/typora-user-images/1582301229432.png)]

所以,调用函数前的PUSH函数(此程序为PUSH EAX,PUSH ECX),即为子函数传入参数。

提一下汇编的CALL函数(个人认为),比如这个程序中调用ADD()函数的CALL函数。

0040DABE   CALL 草稿.0040100A
0040DAC3   ADD ESP,0x8

这里的CAll函数可以看为

PUSH 0x0040DAC3//将函数返回地址压栈
MOV EIP,0x0040100A//改变EIP指针的值

调用函数前的

栈顶指针ESP:0x0019FED0

栈底指针EBP:0x0019FF30

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-WuTjK6DR-1582313055307)(../../../AppData/Roaming/Typora/typora-user-images/1582308662012.png)]

2.调用函数时

按f7步入函数,

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-g4eTABXb-1582313055307)(../../../AppData/Roaming/Typora/typora-user-images/1582304279074.png)]

这里是JMP,就继续f8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-gSb2fOk2-1582313055307)(../../../AppData/Roaming/Typora/typora-user-images/1582305003852.png)]

此时

栈底指针ESP:0x0019FECC

栈底指针EBP:0x0019FF30

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-aYlBnzeQ-1582313055307)(../../../AppData/Roaming/Typora/typora-user-images/1582309791177.png)]

1.开辟空间(缓存区)

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-kOCRSQ1g-1582313055308)(../../../AppData/Roaming/Typora/typora-user-images/1582305224660.png)]

开辟了长度为0x40的堆栈空间,就是缓存区,同时ESP、EBP跟着变化。

值得注意的是,连栈底指针EBP也移动了,而且栈底指针[EBP+0x4]的堆栈位置存储的实际就是函数返回地址

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-BWvcPGBW-1582313055308)(../../../AppData/Roaming/Typora/typora-user-images/1582305596336.png)]

此时

栈底指针ESP:0x0019FE88

栈底指针EBP:0x0019FEC8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-5cQOn2ct-1582313055309)(../../../AppData/Roaming/Typora/typora-user-images/1582310095279.png)]

2.保存现场

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-724IVVqH-1582313055310)(../../../AppData/Roaming/Typora/typora-user-images/1582305902066.png)]

将这几个寄存器的值压入堆栈,防止函数调用时将原本的参数遗漏。

此时

栈底指针ESP:0x0019FE7C

栈底指针EBP:0x0019FEC8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-kTyi0Tdv-1582313055310)(../../../AppData/Roaming/Typora/typora-user-images/1582310187922.png)]

3.覆盖缓存区

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JuMHJvM3-1582313055310)(../../../AppData/Roaming/Typora/typora-user-images/1582306456161.png)]

这一步的作用是覆盖缓存区,防止缓存区溢出,因为开辟的空间里有历史数据,避免这些数据对程序造成不必要的影响。

此时

栈底指针ESP:0x0019FE7C

栈底指针EBP:0x0019FEC8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8En42lK7-1582313055311)(../../../AppData/Roaming/Typora/typora-user-images/1582310304986.png)]

4.执行函数的功能

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jL9gO4te-1582313055311)(../../../AppData/Roaming/Typora/typora-user-images/1582306668307.png)]

可以发现,它在调用参数时,并没有用EAX和ECX(在函数调入口处EAX和ECX里也存放1,2),而是运用原本压入栈的数据。

将函数返回值3,存储在EAX中。

在这个程序中,子函数的功能代码就只有这两行。

此时

栈底指针ESP:0x0019FE7C

栈底指针EBP:0x0019FEC8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Rk2cnqLY-1582313055312)(../../../AppData/Roaming/Typora/typora-user-images/1582310318576.png)]

5.恢复现场

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-UJVjrVD6-1582313055312)(../../../AppData/Roaming/Typora/typora-user-images/1582307000478.png)]

就是将原本寄存器压入栈的值返回给原本寄存器,保留上一个函数的数据。

此时

栈底指针ESP:0x0019FE88

栈底指针EBP:0x0019FEC8

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-3STwvpwt-1582313055312)(../../../AppData/Roaming/Typora/typora-user-images/1582310359395.png)]

6.恢复空间

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-5x0xVQMK-1582313055313)(../../../AppData/Roaming/Typora/typora-user-images/1582307378294.png)]

此时

栈底指针ESP:0019FECC

栈底指针EBP:0019FF30

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NIXwKKbh-1582313055313)(../../../AppData/Roaming/Typora/typora-user-images/1582310421795.png)]

7.函数结尾:RETN

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-G8CuRZbm-1582313055314)(../../../AppData/Roaming/Typora/typora-user-images/1582307469326.png)]

实际上,RETN这个语句的意义是

POP EIP

将栈中之前存入的函数返回地址弹到EIP中,实现返回函数的目的

按f8执行

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-18DpcDHh-1582313055314)(../../../AppData/Roaming/Typora/typora-user-images/1582307729622.png)]

函数结束后

栈顶指针ESP:0x0019FED0

栈底指针EBP:0x0019FF30

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-1HPRO0KM-1582313055315)(../../../AppData/Roaming/Typora/typora-user-images/1582310456602.png)]

3.总结

可以反先,调用函数前后,堆栈空间是不变的,ESP和EBP都复原了,而这个现象叫做堆栈平衡

但调用函数时产生的数据并没有管理,这些数据就是历史数据,也称垃圾数据。

2、堆栈平衡

汇编语言里,调用函数的时候会开辟新的堆栈,调用完后返回时必须要恢复堆栈,即调用函数前后,ESP和ESB不变。

如果前后发生了变化,造成堆栈不平衡,对程序危害非常大。

3、IDA堆栈不平衡问题:positive sp value has been found

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yzH3zRnZ-1582313055315)(../../../AppData/Roaming/Typora/typora-user-images/1582310682504.png)]

造成这个问题的原因就是堆栈不平衡

我们先找到出问题的地址0x411A04,也就是警告里提示的。

IDA里按g键并输入地址

他又会弹出警告,但这是你点OK,他会自动切换到改地址对应汇编代码段。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-xdVKZXKK-1582313055315)(../../../AppData/Roaming/Typora/typora-user-images/1582311027963.png)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-arjajhxK-1582313055316)(../../../AppData/Roaming/Typora/typora-user-images/1582311333186.png)]

这时,我们需要打开IDA里的Stack pointer(栈指针)选项,来查看他的堆栈情况,检测哪里不平衡。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-KEKGbg2b-1582313055316)(../../../AppData/Roaming/Typora/typora-user-images/1582311414753.png)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wB2mNAWJ-1582313055317)(../../../AppData/Roaming/Typora/typora-user-images/1582311455144.png)]

记住是打上勾。。。

之后,就可以看到堆栈情况。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-anS1gF4s-1582313055317)(../../../AppData/Roaming/Typora/typora-user-images/1582311599555.png)]

所以,我有就要向上寻找,看哪里恢复空间时,是不是ADD ESP,立即数多了。导致堆栈不平衡。

网上看 正好看到ADD ESP,0CCh,

所以,我们只需让ESP少加4,就正好对应最后面的-4。

(为什么是负数-4,因为开辟栈空间的时候是SUB ESP,立即数,堆栈由高到低开辟,而恢复的时候,是ADD ESP,立即数,。。。根据IDA里栈指针的情况,开辟栈空间的时候,栈指针变为正数,而恢复空间的时候,变为了负数,说明ADD ESP,立即数的时候,这个立即数大了)

具体的操作是点击ADD ESP,0CCh,按ALT+K。(0CCh-4=0C8h)

在这里插入图片描述

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8rphKTUN-1582313055318)(../../../AppData/Roaming/Typora/typora-user-images/1582312283458.png)]

我们在回到伪代码的子函数入口处,双击即可打开子函数。

OK。

好,如果你在其中有什么不解或我有写错的地方,欢迎大家评论留言交流 ^ _ ^

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/qq_35289660/article/details/104437975

智能推荐

近期的工作生活-程序员宅基地

文章浏览阅读1.2k次。坦诚地说每周想去更新博客,但是工作、生活、家庭各方面因素被搁置了,撰写前两个博客专栏“FPGA基础知识”和“FPGA 20个例程”时也酝酿准备了很久,把市面很多教程和视频都研究了一遍,也查阅了很多经典FPGA设计书籍,最后的最后更结合了实际项目经验,CSDN也收到了很多留言和私信等。这几个月因为忙于单位的新项目所以很久没有更新博客了,面对新的需求和新的挑战也需要不断学习新的知识,甚至推翻老的惯性思维,这时想到一个老同事说过:研发如果不能迎难而上,那基本不太会有什么提高了。

关于JavaBean获取中文乱码问题_javabean get中文字符串-程序员宅基地

文章浏览阅读3.8k次,点赞2次,收藏7次。最近重新学习了一下JavaWeb的一些基础知识,今天在学习JavaBean时遇到了一个中文的乱码问题。当JavaBean获取表单中的数据有中文时就会出现乱码的现象。原因大概是因为MyEclipse对Java文件的默认编码是iso8859-1,而我们在jsp中的编码设置一般为utf-8,所以在获取中文时必然会出现乱码的现象。其实解决的方法很简单,只需要我们在Getter方法中用getBytes(_javabean get中文字符串

GSL Non-Complete Primer-程序员宅基地

文章浏览阅读163次。Bo Schwarzstein http://jedimaster.cnblogs.com/ 6/21/2008 写在狗屎一样的中国高等教育之前 摘要GNU Scientific Library(以下简称GSL)是来自开源社区的重磅礼物,历史悠久功能强大,集成了最基础的同时也是最重要的科学计算算法如BLAS、Monte Carlo积分等。本文讲解了其基本使用方法..._c++ ordinary differential equation

Windows用批处理文件设置自动或者手动获取IP地址_windows11批处理换网关-程序员宅基地

文章浏览阅读2.1k次。在工作和生活中,有的时候需要设置固定的IP、网关、DNS才能上网,有的时候需要设置为自动获取IP。通过Windows界面操作确实可以实现,但是比较慢,需要我们一步一步的操作,通过以下的批处理文件可以更加快速的实现一键切换。1、设置固定IP,脚本里面的IP、网关、DNS修改为自己环境下的对应信息echo offecho 设置固定IP....netsh interface IP set addr..._windows11批处理换网关

Horizon View 6-创建共享虚拟桌面池⑸-程序员宅基地

文章浏览阅读57次。当底层都准备以后,那么我们可以创建虚拟桌面了,当然虚拟桌面也可以创建共享和专用了,我这以创建共享虚拟桌面池为例: Automated Pool:桌面池中的计算机通过vSphere平台自动生成。 Manual Pool:桌面池中的计算机是物理机或其它虚拟机。 Terminal Services Pool:池中的计算机是微软的终端服务器。 Full Virtual..._horizon view可以共享模板吗

基于TCP的聊天室_mfc tcp聊天室,实现群聊和私聊-程序员宅基地

文章浏览阅读1.6w次,点赞19次,收藏177次。 综合案例基于TCP的聊天室,支持多个用户同时登陆服务器进行聊天。(相当于群)socket编程,做一对多的通信,必然要用到多线程,保证多个客户端(并行)登陆服务器时同时进行聊天。cs:客户端服务器 项目主要功能:1、使用socket网络编程,实现聊天室的服务端和客户端、实现多人聊天2、客户发消息给服务端,服务端采用多线程处理每个客户端的消息并转发具体实现:客户端:..._mfc tcp聊天室,实现群聊和私聊

随便推点

习题10-4 递归求简单交错幂级数的部分和 (15point(s)).c_double fn( double x, int n );-程序员宅基地

文章浏览阅读132次。本题要求实现一个函数,计算下列简单交错幂级数的部分和:f(x,n)=x−x​2+x​3​​−x​4+⋯+(−1)​n−1​​x​nf(x,n)=x− x_​{2} +x​_3​​ −x​_4 +⋯+(−1)​^{n−1}​​ x_​nf(x,n)=x−x​​2+x​3​​​−x​4​+⋯+(−1)​n−1​​x​​n​​函数接口定义:double fn( double x, int n )..._double fn( double x, int n );

system generator学习(三)之black box的使用_system generator blackbox模块-程序员宅基地

文章浏览阅读2.3k次。1、建立模型 将black box模块拖入新建MDL文件中,出现要添加的硬件描述文件的对话框把生成的m文件改为dout_port.setType('Fix_26_13');意思是输出带13位小数的26位定点数,并添加下行代码调用如下图搭建完模型运行后发现并不知道要怎么改。。挖个坑放在这里——————————————————————————————发现是# ** Warning: There ..._system generator blackbox模块

OpenSSL新手自学:如何生成RSA私钥并用于数字签名_rsa_padding_mode:pss-程序员宅基地

文章浏览阅读1.4k次。参考: https://paulyang.cn/2016/11/28/rsa-padding.html 作者: 杨洋https://infohunter.github.io/2016/11/28/rsa-padding.htmlopenssl 更新工具包, 使用pkeyutl取代rsautl之后才开始支持使用PSS padding scheme进行数字..._rsa_padding_mode:pss

在Matplotlib图中插入LaTex公式_matplotlib latex-程序员宅基地

文章浏览阅读1.5w次。Matplotlib可以无缝的处理LaTex字体,在图中加入数学公式from matplotlib.patches import Polygonimport matplotlib.pyplot as pltimport numpy as np# 定义一个求积分的函数def func(x): return 0.3* (x**2) + (0.1*x) + 1# 定义积分区间a, b =_matplotlib latex

分布式系统架构设计原理与实战:如何进行分布式系统的测试-程序员宅基地

文章浏览阅读929次,点赞14次,收藏22次。1.背景介绍1. 背景介绍分布式系统是现代计算机科学中的一个重要领域,它涉及到多个计算节点之间的协同和通信。随着互联网的不断发展,分布式系统的应用范围不断扩大,从传统的Web应用、大型数据库、云计算平台到物联网等各个领域都广泛应用。分布式系统的测试是确保系统性能、可靠性、安全性等方面性能的关键环节。在分布式系统中,由于节点之间的通信和协同,测试的复杂性也随之增加。因此,了解分布式系统的..._分布式系统测试

栈的顺序存储结构 -- C++使用类模板实现_模板实现使用存储栈元素-程序员宅基地

文章浏览阅读518次。栈栈是先进后出的线性表。即限定只能在表的一段进行插入和删除操作的线性表。栈结构在计算机中有广泛的应用。常见的软件的”撤销”和”恢复”功能就是用栈实现的。栈的顺序存储结构示例代码template<typename T>class SqStack{public: SqStack(int k = 1); ~SqStack(){ delete[]m..._模板实现使用存储栈元素

推荐文章

热门文章

相关标签