Win32 环境下的堆栈

原文已经找不到，作者应该是：http://blog.csdn.net/slimak   但是没有找到此文，其中丢了2幅图

简介

在Win32环境下利用调试器调试应用程序的时候经常要和堆栈(Stack)打交道,尤其是在需要手工遍历堆栈(Manually Walking Stack)的时候我们需要对堆栈的工作过程有一个比较清晰的了解.接下来的这些文字将通过一个例子程序详细的讲解堆栈的工作过程.

关键字

调试堆栈 Stack Stack-Frame

目录

1.堆栈是什么?

2.堆栈里面放的都是什么信息?

3.堆栈是在什么时候被建立起来的?它的默认大小是多少?

4.默认才1M??那要是我的程序使用超过了1M的堆栈怎么办?

5.什么叫Stack Frame?

6.在一次函数调用中,堆栈是如何工作的?

7.老大,结合一个例子讲讲吧?

1.堆栈是什么?

从内存管理角度看,堆栈是就是一块连续的内存空间,对它的操作采用先入后出的规则,他的生长方向与内存的生长方向正好相反,也就是说它是从高地址向低地址生长.

从Win32程序内部的角度看,每一个线程有自己的堆栈,它主要用来给线程提供一个暂时存放数据的区域,程序使用POP/PUSH指令来对堆栈进行操作.

2.堆栈里面放的都是什么信息?

堆栈中存放的信息包括:

当前正在执行的函数的局部变量;

函数返回地址;

该函数的上层函数传给该函数的参数;

EBP的值;

一些通用寄存器(EDI,ESI…)的值。

注意这里提到的正在执行的函数,比如有下面的一段C代码:

void B()

{

printf(“B\n”);

}

void A()

{

B();

}

那么当程序执行到B函数的printf函数的时候我们说正在执行的函数包括A和B而不仅仅是B函数,这一点需要注意.

3.堆栈是在什么时候被建立起来了?它的默认大小是多少?

堆栈是在我们的main主函数被系统调用之前被建立起来的,对于非主线程它是在线程被建立之前创建的,

它的默认大小是1M,

如果需要修改堆栈的大小的话可以在VC6++中通过使用/STACK编译项实现:

#pragmacomment(linker,“/STACK:2048,1024″)//预约(Reserve)2M,提交(Commit)1M

关于预约(Reserve)和提交(Commit)的概念请参看”Programming Applications for Microsoft Windows“( Jeffrey Richter,Chapter 15Using Virtual Memory in Your Own Applications)

4.默认才1M??那要是我的程序使用超过了1M的堆栈怎么办?

系统通过使用异常捕获(Exception Handling)机制来捕获应用程序企图去访问超过该程序提交(Commit)的堆栈范围这种异常,假如你程序预约了2M并且提交了1M大小的堆栈,那么当你的程序企图访问超过1M的范围的时候会产生一个异常并且被系统捕获,系统会帮你继续从另外1M预约的内存中提交内存来满足你的需求,如果你要求提交的大小甚至超过了2M(你一开始预约的大小)在 NT系统下(98除外)系统也会尝试去分配(allocate)内存来满足你,但是系统并不保证分配会成功

5.什么叫Stack Frame?

Stack Frame这个词你可以在各种各样的汇编书籍中看到,到底它表示什么意思呢?也许你看完文章的后半部分就会明白,在此我们先给它一个定义,你看完整篇文章在回过头来回味一下就会知道它的确切含义了,Stack Frame是堆栈中的一块区域,它保存着一个函数的返回地址,和该函数内部使用的局部数据(Local Data),它是由函数入口处的SUB ESP,48h之类的语句来建立的.

6.在一次函数调用中,堆栈是如何工作的?

假设我们的主角叫A函数…

a.首先上级函数传给A函数的参数被压入堆栈中(至于是谁来做这个压栈操作取决于A函数的调用方式:是__stdcall, __cdecl还是其他);

b.然后是返回地址(A函数执行完后接下来程序继续执行的地址)入栈;

c.接下来是当前的EBP;

d.如果A函数有局部变量,就在堆栈中开辟相应的空间以构造那些变量变量(A函数执行结束,这些局部变量的内容将被忽略/遗弃,但是不被清除,比如A函数中有一个变量int m存在于地址0×0012FFCC处,函数结束时9依然存在于0×0012FFCC处没有被清除,但是此时它已经没有任何意义了,

e.在函数返回的时候,弹出EBP,恢复堆栈到函数调用前的地址,弹出返回地址到EIP以继续执行程序。

7.结合一个例子

下面就是我们要拿来做模特的代码,程序很简单,wWinMain调用AFunc,AFunc再调用BFunc,下面的讲解过程中我们要观摩这个程序的汇编代码形式,可以通过在VC6++该工程的Debug模式中按F5然后Ctrl+Tab做到,我想这对于Win32程序员应该不是难事.

int BFunc(int i,int j)
{
int m = 1;
int n = 2;

m = i;
n = j;

return m;
}

int AFunc(int i,int j)
{
int m = 3;
int n = 4;

m = i;
n = j;

BFunc(m,n);

return 8;
}

int APIENTRY wWinMain(HINSTANCE hInstance,
HINSTANCE hPrevInstance,
LPSTR lpCmdLine,
int nCmdShow)
{
AFunc(5,6);
return 0;
}

步骤1.我们从wWinMain调用AFunc函数开始

wWinMain调用AFunc的时候,先把参数压栈(至于为什么压栈顺序是6,5而不是5,6请参看附录.注解1)参数压栈结束后此时ESP = 0×0012FEDC,EBP = 0×0012FF30,

这是进入AFunc函数之前的堆栈形势图:

图 1

步骤2.记住进入AFcun函数之前的ESP,EBP的值,然后我们进入AFunc…

为方便大家观摩,先把AFunc函数的全貌贴出来

29: int AFunc(int i,int j)

30: {

004010D0push ebp ;先把EBP入栈保存

004010D1mov ebp,esp ;再把此时的ESP赋给EBP,这样EBP就可以拿来访问本函数的局部变量

004010D3sub esp,48h ;为AFunc函数在堆栈重开辟一块空间,一般来说开辟的空间大小是40+

;函数内所有局部变量的大小;

004010D6push ebx ;通用寄存器入栈,算保存现场吧

004010D7push esi

004010D8push edi

004010D9lea edi,[ebp-48h]

004010DCmov ecx,12h

004010E1mov eax,0CCCCCCCCh

004010E6rep stos dword ptr [edi]

31: int m = 3;

004010E8mov dword ptr [ebp-4],3 ;为什么局部变量m位于ebp-3处?

32: int n = 4;

004010EFmov dword ptr [ebp-8],4;为什么局部变量n位于ebp-8处?

33:

34: m = i;

004010F6mov eax,dword ptr [ebp+8] ;ebp+8处存的是什么?

004010F9mov dword ptr [ebp-4],eax

35: n = j;

004010FCmov ecx,dword ptr [ebp+0Ch] ;ebp+0ch处存的是什么?

004010FFmov dword ptr [ebp-8],ecx

36:

37: BFunc(m,n);

00401102mov edx,dword ptr [ebp-8] ;AFunc调用BFunc之前先把传给BFunc的参数入栈

00401105push edx

00401106mov eax,dword ptr [ebp-4]

00401109push eax

0040110Acall @ILT+25(BFunc) (0040101e)

0040110Fadd esp,8 ;这个出栈操作为什么?

38:

39:return 8;

00401112mov eax,8

40: }

00401117pop edi ;恢复现场

00401118pop esi

00401119pop ebx

0040111Aadd esp,48h ;收回函数一开始在栈中开辟的空间

;对应于一开始的sub esp,48h

0040111Dcmp ebp,esp

0040111Fcall __chkesp (00401220)

00401124mov esp,ebp

00401126pop ebp;恢复调用前的EBP

00401127ret

下面我们要花些篇幅详细的解释AFunc函数执行过程堆栈(主要是ESP,EBP)的变化情况:

29: int AFunc(int i,int j)

30: {

004010D0 push ebp

004010D1 mov ebp,esp

004010D3 sub esp,48h

004010D6 push ebx

004010D7 push esi

004010D8 push edi

;

; 上面几行代码叫做prolog,可以理解成”序曲,开始部分”,与之对应的叫epilog(结束曲,结束部分)对于

; prolog需要逐行解释一下:

;

; 004010D0 PUSH EBP

; 将进入AFunc函数之前的EBP的值入栈保存,这时候的EBP相当于是AFunc上级函数

; 的一个现场信息,所以需要保存起来,以便于AFunc返回后上级函数可以恢复EBP使其指向其调用

; AFunc之前的堆栈位置(当然,这还需要靠恢复ESP来协助达到这一目的),该语句执行完之后堆栈将

; 变成下面这个样子

;

图 2

; 在这里要解释一下什么时候”AFunc结束之后的返回地址”入栈了?导致它入栈的语句就是

; CALL @ILT+20(AFunc) (00401019)

; 也就是说是CALL指令干的

;

; 004010D1 MOV EBP,ESP

; ESP赋给EBP,这样EBP就可以拿来访问本函数的局部变量

图 3

; 004010D3 SUB ESP,48h AFunc函数中有两个int型的变量所以开辟的空间大小是

; 40+2*sizeof(int),我暂时还没有找到正式文档中对于此大小

; 计算的公式.注意:ESP-48h后开辟的新的堆栈中的这块空间就是

; 大名鼎鼎的Stack Frame.

; 004010D6 PUSH EBX 我们知道通用寄存器有时候在程序运算的时候可以用来存放

; 临时结果,如果此结果有必要的话也是需要作为现场信息被保存在

; 堆栈中的.

; 004010D7 PUSH ESI

; 004010D8 PUSH EDI

图 4

; 从上面的图解我们很容易看出在进入AFunc函数执行完prolog之后ESP和EBP指示出了堆栈中

; 存放的当前执行函数的信息(绿色部分,其上级函数的堆栈信息由亮绿色表示,呵呵,我可能有一点色

; 弱所以那到底是不是亮绿色我也不是很确定,夜深人静也没人可问…)

004010D9 lea edi,[ebp-48h]

004010DC mov ecx,12h

004010E1 mov eax,0CCCCCCCCh

004010E6 rep stos dword ptr [edi]

31: int m = 3;

004010E8 mov dword ptr [ebp-4],3;函数的局部变量放置在EBP的负偏移处(Negative

; Offset)也就是向低地址方向(当然,当然,这是针对该函数使用

; 了标准的Stack Frame,如果代码被编译器作了优化了那么你

; 很可能就要遇到FPO这个概念,这可能需要另外写一篇文章

; 来解释,所以这里假设我们的函数使用的是标准的Stack

; Frame)

32: int n = 4;

004010EF mov dword ptr [ebp-8],4;同上

图 5

33:

34: m = i;

004010F6 mov eax,dword ptr [ebp+8];从上图中很容易看出来dword ptr [ebp+8]里面放的是

; 上级函数传给AFunc的第一个参数,这里用ebp+8来访问

; 参数说明上级传给下级函数的参数是放在下级函数

; 的EBP的正向偏移位置处(Positive Offset)

004010F9 mov dword ptr [ebp-4],eax;将参数的值赋给局部变量

35: n = j;

004010FC mov ecx,dword ptr [ebp+0Ch];同上

004010FF mov dword ptr [ebp-8],ecx;同上

图 6

步骤3.现在AFcun函数要调用BFunc了…

这是调用前的准备工作:

a.参数被压栈;

b.CALL指令导致返回地址0040110F入栈;

37: BFunc(m,n);

00401102 mov edx,dword ptr [ebp-8]

00401105 push edx

00401106 mov eax,dword ptr [ebp-4]

00401109 push eax

0040110A call @ILT+25(BFunc) (0040101e)

0040110F add esp,8

图 7

; 这和一开始wWinMain调用AFunc是差不多的过程

38:

39: return 8;

00401112 mov eax,8

40: }

00401117 pop edi

00401118 pop esi

00401119 pop ebx

0040111A add esp,48h

0040111D cmp ebp,esp

0040111F call __chkesp (00401220)

00401124 mov esp,ebp

00401126 pop ebp

00401127 ret

步骤4.进入BFcun函数之后堆栈的变化…

老规矩,我们先通篇看看BFunc在VC6++中的汇编代码:

18: int BFunc(int i,int j)

19: {

00401090 push ebp

00401091 mov ebp,esp

00401093 sub esp,48h

00401096 push ebx

00401097 push esi

00401098 push edi

00401099 lea edi,[ebp-48h]

0040109C mov ecx,12h

004010A1 mov eax,0CCCCCCCCh

004010A6 rep stos dword ptr [edi]

20: int m = 1;

004010A8 mov dword ptr [ebp-4],1

21: int n = 2;

004010AF mov dword ptr [ebp-8],2

22:

23: m = i;

004010B6 mov eax,dword ptr [ebp+8]

004010B9 mov dword ptr [ebp-4],eax

24: n = j;

004010BC mov ecx,dword ptr [ebp+0Ch]

004010BF mov dword ptr [ebp-8],ecx

25:

26: return m;

004010C2 mov eax,dword ptr [ebp-4]

27: }

004010C5 pop edi

004010C6 pop esi

004010C7 pop ebx

004010C8 mov esp,ebp

004010CA pop ebp

004010CB ret

; 先看看BFunc的prolog:

18: int BFunc(int i,int j)

19: {

00401090 push ebp

00401091 mov ebp,esp

00401093 sub esp,48h

00401096 push ebx

00401097 push esi

00401098 push edi

图 8

; 这个时候BFunc的堆栈信息也搭建好了(灰色部分)

20: int m = 1;

004010A8 mov dword ptr [ebp-4],1;没什么新意的操作,和AFunc中发生的一模一样

21: int n = 2;

004010AF mov dword ptr [ebp-8],2;没新意

图 9

22:

23: m = i;

004010B6 mov eax,dword ptr [ebp+8];没新意

004010B9 mov dword ptr [ebp-4],eax

24: n = j;

004010BC mov ecx,dword ptr [ebp+0Ch];没新意

004010BF mov dword ptr [ebp-8],ecx

25:

26: return m;

004010C2 mov eax,dword ptr [ebp-4];函数的返回值是放在EAX里面返回的,如果说一个个函

; 数之间是行星的话EAX就是神5那载着杨天人的返回

; 舱了.

27: }

; 我们把重点放在BFunc函数返回时执行的这些指令上(epilog)

004010C5 pop edi

004010C6 pop esi

004010C7 pop ebx

004010C8 mov esp,ebp

004010CA pop ebp

004010CB ret

图 10

图 11

; 此时你会发现图11与图 7时的堆栈情况完全(ESP,EBP的值相同)一样,也就是说调用完BFunc函数后

; 堆栈恢复到了调用前的状态.

0040110F add esp,8;注意BFunc执行完返回AFunc后AFunc将通过改变ESP将先前传给BFunc

; 的参数出栈,但不清空.

图12

就此AFunc调用BFunc函数结束了,接下来堆栈继续重演着:父函数调用子函数,子函数执行结束后返回.然后父函数又作为别人的子函数,执行结束,返回…..

附录

注解1

因为默认C/C++函数的调用约定是__cdecl,这种调用约定参数是从右到左压栈的,Windows提供的函数大部分是__stdcall的调用约定,符合该约定的函数在传参数的时候也是从右到左压栈.

参考书目

[1] Jeffrey Richter,”Programming Applications for Microsoft Windows4rd”.( Microsoft Press,1999)

[2] Intel Architecture Software Developer Manual

[3] Randy Kath. “The Win32 Debugging API.” MSDN