码迷,mamicode.com
首页 > 其他好文 > 详细

温习一下当年的汇编

时间:2014-10-30 00:04:00      阅读:307      评论:0      收藏:0      [点我收藏+]

标签:style   blog   http   io   ar   使用   for   sp   strong   

假设和说明

本文以32Bit的X86 Windows为原型进行说明。栈的增长方向为高地址向低地址。

开发环境为Visual Studio,语言是C++。没有涉及到Delphi、Borland C++、Visual Basic等。

文中的任何栈地址、寄存器值以及内存址,都会与大家的环境不同。这些值是基于笔者当前环境的当前镜像。

另外一篇文章会介绍C call、Standard call、Fast call和This call。本文默认基于C call。

示例代码

C++代码

int FuncOne(int a, int b)

{

int sum;

sum = a + b;

return sum;

}

void main()

{

FuncOne(0x100, 0x200);

}

对应的汇编代码

bubuko.com,布布扣

操作方式

· 用Visual Studio建立一个Visual C++的Win32 Console工程,在主文件中,删除所有代码,把上述C++代码粘贴上。

· 设置端点在main下面的左括号上,如下图

bubuko.com,布布扣

· 按F5运行程序,当断点触发时,如下图

bubuko.com,布布扣

· 点击Visual Studio的主菜单“Debug”,点击Windows子菜单,然后分别选择Memory1、Disassembly和Registers。如下图红色部分。

bubuko.com,布布扣

· 修改你的Visual Studio窗口布局,如下图(这是我喜好的风格)

bubuko.com,布布扣

首先修改右上角的Columns列,这里我修改为4,以便于每次stack的操作,我们能更清楚地看到。

其次在Address对应的那个输入框上,输入@esp,然后按回车。

bubuko.com,布布扣

上面的窗口为Disassembly窗口,当前断点所在处为push ebp

bubuko.com,布布扣

上面的窗口为Registers窗口,显示几个重要的寄存器。

代码说明

代码由Prologue、代码call和Epilogue组成。

Prologue

PUSH EBP

保存old Frame Pointer地址到栈上

MOV EBP,ESP

保存当前栈地址,因为下面要修改栈地址

SUB ESP, 0C0H

预留出C0个字节的空间,供本地变量及其他使用。如编译器的对栈的检查,如Edit & Continue。后面我们修改这些设置,就会发现预留空间的变化。

PUSH EBX

这三个寄存器经常用,所以不管下面代码是否实际使用,都保留上。这是编译器的行为。

PUSH ESI

PUSH EDI

Epilogue

POP EDI

恢复寄存器的原址

POP ESI

POP EBX

ADD ESP, 0CH

清理栈

MOV ESP,EBP

恢复栈地址

POP EBP

恢复Frame Pointer地址

栈的变化

01031440 push ebp

执行前:ESP = 003FFD50。执行后:EIP = 01031441 ESP = 003FFD4C

我们可以看到,在入栈操作后,ESP减少了4,即我们开始提到的,栈的空间是高地址向低地址增长的。EIP的始终指向当前要执行的代码的地址。

继续按F10,一直走到下面这行:

bubuko.com,布布扣

此时,ESP = 002AF954

在Memory窗口,输入@esp,然后回车

bubuko.com,布布扣

在灰色光标闪烁的地方,就是当前的栈顶,里面的值为0。按F10,此时代码进行到下一行:

bubuko.com,布布扣

观察此时的栈情况,首先ESP = 002AF950

然后看memory窗口

bubuko.com,布布扣

最下面一行显示0x200已经入栈了,表示为一个DWORD类型的00 02 00 00。

继续按F10,ESP = 002AF94C

然后看Memory窗口

bubuko.com,布布扣

第二个参数0x100也已经入栈了,表示为一个DWORD类型的00 01 00 00。

这时要注意,代码运行到了func call的地方。

bubuko.com,布布扣

在这里,我们要按F11,同时记住当前的ESP是002AF94C,该call下一行要执行的代码是add esp, 8,地址是0103146D。

按F11进入到call中后,首先观察寄存器的情况:ESP = 002AF948

ESP又减少了4,为什么?我们要观察Memory窗口

bubuko.com,布布扣

当前ESP指向的地址是什么?就是上面的add esp,8的地址。

所以在当前环境下,我们可以总结出:

· 右面参数入栈

· 左面参数入栈

· 返回地址入栈

(这个与call方式有关,我们在下一篇文章中再谈)

上面的add esp,8 代表什么?因为我们push了两个参数,共占用了栈的8个字节,所以我们需要恢复栈的原始状态。加8即代表回到了原来的地址。如果是1个参数,则就是加4了。

Prologue的说明

bubuko.com,布布扣

Q: 为什么要ebp-0C0h,而不是其他的数字?

A: 看下面一行的30h,乘以sizeof(DWORD)之后,即是0C0h。这段空间包含了参数使用的栈空间、Edit&Continue的空间和编译器对于栈保护的空间。

Q: move ax, 0CCCCCCCCh什么意思?

A: CC代表了int 3。所以上述代码实际上是填充了0C0h个int3在该栈空间内。如果代码“不小心”运行到了这里,则会立刻中断。

Edit & Continue

在Visual Studio中右击project,选择Property,修改General中的Debug Information Format为下图(默认为:Program Database for Edit And Continue (/ZI)

bubuko.com,布布扣

重新debug,我们会看到汇编代码如下:

bubuko.com,布布扣

上面的填充CC以及sub esp的操作已经没有了。如果修改代码如下:

bubuko.com,布布扣

则汇编代码变化为:

bubuko.com,布布扣

注意962BC3地址的sub esp,8,因为我们有两个local变量,所以栈预留了8个字节。那么如果我们有很多个变量呢?大家可以自己试验一下。

 

FQQ

温习一下当年的汇编

标签:style   blog   http   io   ar   使用   for   sp   strong   

原文地址:http://www.cnblogs.com/symphonygcr/p/4060740.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!