c - 通过函数调用了解简单 C 程序的 x86-64 汇编

Question

我有一个简单的 C 程序，可以为函数 func 生成这个 x86-64 程序集。

#include <stdio.h>
#include <string.h>

void func(char *name)
{
    char buf[90];
    strcpy(buf, name);
    printf("Welcome %s\n", buf);
}

int main(int argc, char *argv[])
{
   func(argv[1]);
   return 0;
}

所以我认为这个

   0x000000000000118d <+4>: push   %rbp

像放置参数一样推送基指针，即 char *name

然后0x000000000000118e <+5>: mov %rsp,%rbp将堆栈指针设置为我相信上面的基指针，这使得堆栈指针指向 char *name此时

然后

   0x0000000000001191 <+8>: add    $0xffffffffffffff80,%rsp

我对此有点不确定。为什么是0xffffffffffffff80添加到 rsp 中？这条指令的重点是什么？谁能告诉一下吗？

然后在下一条指令中 0x0000000000001195 <+12>: mov %rdi,-0x78(%rbp)它只是将十进制 -128 设置为 rdi 。但仍然没有缓冲char buf[90]可以看到，我的缓冲区在哪里？在接下来的 session 中，有人能告诉我吗？

这行又是什么0x00000000000011a2 <+25>: mov %rax,-0x8(%rbp)

Dump of assembler code for function func:
   0x0000000000001189 <+0>: endbr64 
   0x000000000000118d <+4>: push   %rbp
   0x000000000000118e <+5>: mov    %rsp,%rbp
   0x0000000000001191 <+8>: add    $0xffffffffffffff80,%rsp
   0x0000000000001195 <+12>:    mov    %rdi,-0x78(%rbp)
   0x0000000000001199 <+16>:    mov    %fs:0x28,%rax
   0x00000000000011a2 <+25>:    mov    %rax,-0x8(%rbp)
   0x00000000000011a6 <+29>:    xor    %eax,%eax
   0x00000000000011a8 <+31>:    mov    -0x78(%rbp),%rdx
   0x00000000000011ac <+35>:    lea    -0x70(%rbp),%rax
   0x00000000000011b0 <+39>:    mov    %rdx,%rsi
   0x00000000000011b3 <+42>:    mov    %rax,%rdi
   0x00000000000011b6 <+45>:    call   0x1070 <strcpy@plt>
   0x00000000000011bb <+50>:    lea    -0x70(%rbp),%rax
   0x00000000000011bf <+54>:    mov    %rax,%rsi
   0x00000000000011c2 <+57>:    lea    0xe3b(%rip),%rax        # 0x2004
   0x00000000000011c9 <+64>:    mov    %rax,%rdi
   0x00000000000011cc <+67>:    mov    $0x0,%eax
   0x00000000000011d1 <+72>:    call   0x1090 <printf@plt>
   0x00000000000011d6 <+77>:    nop
   0x00000000000011d7 <+78>:    mov    -0x8(%rbp),%rax
   0x00000000000011db <+82>:    sub    %fs:0x28,%rax
   0x00000000000011e4 <+91>:    je     0x11eb <func+98>
   0x00000000000011e6 <+93>:    call   0x1080 <__stack_chk_fail@plt>
   0x00000000000011eb <+98>:    leave  
   0x00000000000011ec <+99>:    ret    
End of assembler dump.

此外，在上面的汇编中使用 fs 寄存器该指令实际上在做什么 0x0000000000001199 <+16>: mov %fs:0x28,%rax

Answer 1

正如评论中已经提到的，您的缓冲区位于堆栈上。在函数的开头，rsp 会减少以允许更多空间(堆栈向较低地址增长，因此 rsp 随着堆栈的增长而减少)。这个空间通常用于局部变量、传递给函数的参数，也用于其他目的(将在下面讨论)。在您的情况下，您可以通过查看传递给 strcpy 的参数来追溯缓冲区 buf 的位置 - 第一个参数在 rdi 中传递code> 注册，第二个 - 在 rsi 中。

   0x00000000000011b0 <+39>:    mov    %rdx,%rsi
   0x00000000000011b3 <+42>:    mov    %rax,%rdi
   0x00000000000011b6 <+45>:    call   0x1070 <strcpy@plt>

在上面的代码片段中，您可以看到指向 buf 的指针(strcpy 的第一个参数)在放入 rdi 之前位于 rax 中>。 rax 从这条指令中获取了它的值:

   0x00000000000011ac <+35>:    lea    -0x70(%rbp),%rax

这意味着“加载位于 rbp 指向的地址偏移量 -0x70 处的有效地址(即指针)”。 rbp 指向堆栈指针在函数开头的位置(函数帧指针)。

所以它回答了编译器将缓冲区放置在哪里。

现在还有其他问题:

then in next instruction 0x0000000000001195 <+12>:mov %rdi,-0x78(%rbp) its just setting -128 decimal to rdi.

正如我们所说，rdi 保存函数的第一个参数。这里它保存了func()的第一个参数，它是一个指向name的指针。该指令将此参数放入堆栈中，距 rbp 的偏移量为 -0x78 - 8 个字节，位于为缓冲区 buf 保留的空间之前。

最后两个问题是相关的:

also what this line 0x00000000000011a2 <+25>: mov %rax,-0x8(%rbp)

和

also what in above assembly the use of fs register what this instruction actually doing 0x0000000000001199 <+16>: mov %fs:0x28,%rax

   0x0000000000001199 <+16>:    mov    %fs:0x28,%rax
   0x00000000000011a2 <+25>:    mov    %rax,-0x8(%rbp)
   ...
   ...
   0x00000000000011d7 <+78>:    mov    -0x8(%rbp),%rax
   0x00000000000011db <+82>:    sub    %fs:0x28,%rax
   0x00000000000011e4 <+91>:    je     0x11eb <func+98>
   0x00000000000011e6 <+93>:    call   0x1080 <__stack_chk_fail@plt>
   0x00000000000011eb <+98>:    leave  

在 %fs:0x28 处有一些值(表示 fs 段中的偏移量 0x28)。并且该值被放置(通过rax)到堆栈中。到为函数分配的空间中的前 8 个字节。它会留在那里，希望不受影响，直到函数即将返回。在那里，它检查堆栈上的值是否已更改。如果它保持不变，跳转(je)将带您到leave并且函数将返回。如果堆栈上的值万一发生了更改 - 您的代码导致了堆栈溢出(啊哈!)，并且将触发对 __stack_chk_fail 的调用，这可能会警告您有关溢出的信息，也许还可以转储一些调试信息。因此 %fs:0x28 处的值是一种独特的魔法/金丝雀值。

最后一件事 - 关于为什么使用 add $0xffffffffffffff80,%rsp 来分配堆栈空间，而不是 sub - 其他编译器确实使用 sub 与 GCC 一样(版本 8.5.0 20210514):

    sub    $0x70,%rsp

分配的资源较少，原因之一是编译器没有为堆栈溢出检查预留空间。