x86 - 跟踪 x86 汇编代码中的堆栈

Question

我正在看我的一门类(class)的练习考试，但我只是不明白问题的几个方面，所以也许你能帮助我(如果你了解 x86，可能真的很容易)。

这里是第 8 题: http://www.coe.utah.edu/~cs4400/schedule/exam3.F10.pdf

解决方法在这里: http://www.coe.utah.edu/~cs4400/schedule/exam3_solns.F10.pdf\

我只是不明白解决方案中的值是如何获得的。让我回顾一下我是如何解释堆栈的:

08048510 <callfoo>:
08048510: 55       pushl %ebp               # old frame pointer is pushed to the stack  
08048511: 89 e5    movl %esp,%ebp           # frame pointer = stack pointer
08048513: 83 ec 08 subl $0x8,%esp           # allocates 8 bytes for stack
08048516: 83 c4 f4 addl $0xfffffff4,%esp    # this I believe allocates 4 bytes to the stack??
08048519: 68 9c 85 04 08 pushl $0x804859c   # push string address
0804851e: e8 d1 ff ff ff call 80484f4 <foo> # call foo, which takes the string address as param1
08048523: 89 ec    movl %ebp,%esp           # (after foo) does similar to return out of function
08048525: 5d       popl %ebp
08048526: c3       ret

080484f4 <foo>:
080484f4: 55       pushl %ebp                  # push old frame pointer
080484f5: 89 e5    movl %esp,%ebp              # frame pointer = stack pointer
080484f7: 83 ec 18 subl $0x18,%esp             # allocate 24 bytes 
080484fa: 8b 45 08 movl 0x8(%ebp),%eax         # moves the param1 (string pointer) into eax
080484fd: 83 c4 f8 addl $0xfffffff8,%esp       # allocates 8 more bytes (?)
08048500: 50       pushl %eax                  # push x # pushes param1 to stack
08048501: 8d 45 fc leal 0xfffffffc(%ebp),%eax  # adds 12 to the frame pointer, puts it in eax(?)  
08048504: 50       pushl %eax                  # push buf (which apparently is located in eax and 0xc(%ebp)
08048505: e8 ba fe ff ff call 80483c4 <strcpy> # copies the string from param1 into buf
0804850a: 89 ec    movl %ebp,%esp              # puts stack pointer into ebp
0804850c: 5d       popl %ebp                   # pops ebp (returns back to other function)
0804850d: c3       ret

(a) 所以在这样做之后，我想我可以看到 buf[0] = 0x64636261 是如何工作的。一个 char 是一个字节，并且是小端，它也可以这样读:buf[0] = 0x61626364(虽然我不知道我的教授是否会接受这个答案)。 但是，我不明白 buf[2] 是如何等于 0x08040069 或 0x69000408 的。它有最后一个字符，然后是空字符，但是 04 和 08 是什么？

(b) 我不确定如何获得 (b) 或 (c)。我什至在哪里获得 esp 的值是什么，以找出在 foo 开头放入 ebp 的内容？总的来说，我只是对最后两个感到困惑......帮助？ :(

Answer 1

这段代码中似乎对堆栈指针进行了很多不必要的操作，但真正重要的是 buf 变量位于 ebp-4。你可以从序列中看到:

leal 0xfffffffc(%ebp),%eax 
pushl %eax
call 80483c4 <strcpy>

0xfffffffc 为 -4，因此 leal 0xfffffffc(%ebp),%eax 将 eax 设置为内存位置 ebp-4。然后将该值作为 strcpy 的第一个参数压入堆栈。由于传递给 strcpy 的第一个参数是 buf，我们知道 buf 的地址在 ebp-4 .

现在考虑调用 foo 时堆栈是如何构建的。

首先字符串地址由指令pushl $0x804859c压入。

0804859c   # string pointer

然后当函数 foo 被调用时，调用后的指令地址 (08048523) 被压入堆栈作为返回地址。

08048523   # return address

然后在 foo 内部，ebp 被保存在堆栈中。此时可以是任何东西。

????????   # saved ebp

然后 ebp 被设置为 esp，所以它现在指向之前保存 ebp 的位置。

现在因为我们知道 buf 位于 ebp-4，这意味着堆栈中的下一个项目将是 buf。堆栈上分配的空间比 subl 和 addl 指令所需的空间多得多，但我们只关心 buf 是在 ebp-4。所以我们关心的堆栈部分看起来像这样:

0804859c   # string pointer
08048523   # return address
????????   # saved ebp      <- ebp points here
????????   # buff[0]        <- ebp-4 points here

那么现在当你将“abcdefghi”复制到 buff 时会发生什么？因为机器是小字节序的，所以那些双字将从右到左填满。该字符串中有 9 个字符和一个空终止符，因此您将覆盖 buff[0] 的所有四个字节、保存的 ebp 的所有四个字节，然后是返回的两个字节地址。

所以你的堆栈现在看起来像这样:

0804859c   # string pointer
08040069   # return address
68676665   # saved ebp      <- ebp points here
64636261   # buff[0]        <- ebp-4 points here

由此，各种问题的答案应该是相当明显的。

由于堆栈在内存中向下构建，buff[1] 和 buff[2] 位于 buff[0] 的正上方我展示的堆栈表示。所以你可以看到各种增益值只是:

buff[0] = 0x64636261
buff[1] = 0x68676665
buff[2] = 0x08040069

然后在 ret 指令之前，我们有以下两条指令:

movl %ebp,%esp
popl ebp

首先将 esp 设置为 ebp 的当前值，因此它将指向堆栈中保存前一个 ebp 的位置。但是，查看堆栈表示，您可以看到该值现在已被 68676665 覆盖。因此，当您弹出 ebp 时，这就是您将获得的值。

%ebp = 0x68676665

类似地，当函数返回时，它会尝试将返回地址从堆栈中弹出，但是您可以再次从堆栈表示中看到原始返回地址已被部分覆盖。因此，在 ret 指令之后，eip 将立即弹出 08040069。

$eip = 0x08040069

我认为，这可以回答您所有的问题。

我意识到这个问题已经有好几年了，但它还没有结束，也没有公认的答案，所以也许这个解释对某些人仍然有用。