c - 如何使用堆栈框架访问函数的第一个参数？

Question

SPOJ中出现一系列问题关于在具有某些约束的单行中创建函数。我已经解决了简单、中等和困难的问题，但对于 impossible一个我总是得到错误的答案。

综上所述，该题要求填写return语句的代码，如果x为1，则返回值应为2。对于其他x值，应返回3。约束条件是字母'x'不能使用，不能再添加代码；只能对 return 语句进行编码。显然，要解决这个问题，必须创建一个 hack。

所以我使用了 gcc 的内置方法来获取堆栈帧，然后减少指针以获取指向第一个参数的指针。除此之外，该声明只是一个正常的比较。

在我的机器上它工作正常，但是对于在线评委使用的集群(Intel Pentinum G860)，它不起作用，可能是由于不同的调用约定。我不确定我是否理解处理器的 ABI (我不确定堆栈帧指针是保存在堆栈中还是只保存在寄存器中)，或者即使我正在读取正确的 ABI。

问题是:使用堆栈获取函数第一个参数的正确方法是什么？

我的代码是(必须这样格式化，否则不接受):

#include <stdio.h>

int count(int x){

 return (*(((int*)__builtin_frame_address(0))-1) == 1) ? 2 : 3;

}

int main(i){
    for(i=1;i%1000001;i++)
        printf("%d %d\n",i,count(i));
    return 0;
}

Answer 1

The question is: what would be the correct way to get the first parameter of a function using the stack?

没有可移植的方式。您必须假定特定的编译器、其设置和 ABI，以及调用约定。

gcc 编译器可能“放置”一个int 局部变量，其偏移量为-0x4 (假设 sizeof(int) == 4)。您可能会观察到 count 的最基本定义:

4   {
   0x00000000004004c4 <+0>: push   %rbp
   0x00000000004004c5 <+1>: mov    %rsp,%rbp
   0x00000000004004c8 <+4>: mov    %edi,-0x4(%rbp)

5       return x == 1 ? 2 : 3;
   0x00000000004004cb <+7>: cmpl   $0x1,-0x4(%rbp)
   0x00000000004004cf <+11>:    jne    0x4004d8 <count+20>
   0x00000000004004d1 <+13>:    mov    $0x2,%eax
   0x00000000004004d6 <+18>:    jmp    0x4004dd <count+25>
   0x00000000004004d8 <+20>:    mov    $0x3,%eax

6   }
   0x00000000004004dd <+25>:    leaveq 
   0x00000000004004de <+26>:    retq

您可能还会看到 %edi 寄存器保存第一个参数。 AMD64 ABI 就是这种情况(%edi 也不会在调用之间保留)。

现在，有了这些知识，您可以编写如下内容:

int count(int x)
{
    return *((int*)(__builtin_frame_address(0) - sizeof(int))) == 1 ? 2 : 3;
}

可以混淆为:

return *((int*)(__builtin_frame_address(0)-sizeof(int)))==1?2:3;

然而，诀窍就是这样optimizing compiler可能会热情地假设，因为 x 没有在 count 中被引用，它可以简单地跳过移动到堆栈。例如，它生成以下带有 -O 标志的程序集:

4   {
   0x00000000004004c4 <+0>: push   %rbp
   0x00000000004004c5 <+1>: mov    %rsp,%rbp

5       return *((int*)(__builtin_frame_address(0)-sizeof(int)))==1?2:3;
   0x00000000004004c8 <+4>: cmpl   $0x1,-0x4(%rbp)
   0x00000000004004cc <+8>: setne  %al
   0x00000000004004cf <+11>:    movzbl %al,%eax
   0x00000000004004d2 <+14>:    add    $0x2,%eax

6   }
   0x00000000004004d5 <+17>:    leaveq 
   0x00000000004004d6 <+18>:    retq

如您所见，mov %edi,-0x4(%rbp) 指令现在丢失了，因此唯一的方法¹ 是访问 的值x 来自 %edi 寄存器:

int count(int x)
{
    return ({register int edi asm("edi");edi==1?2:3;});
}

但是这种方法缺乏“混淆”的能力，因为变量声明需要空格，它包含 %edi 的值。

^{1) 不一定。即使编译器决定跳过从寄存器到堆栈的 mov 操作，仍然有可能“强制”它这样做，通过 asm("mov %edi,-0x4(%rbp )"); 内联汇编。不过要小心，编译器迟早会报复。}