• 热门专题

详解C++代码反汇编后的堆栈寄存器EBP和ESP

作者: SolidMango  发布日期:2012-05-25 19:06:27
Tag标签:C++代码  反汇编  堆栈寄存器  EBP  ESP  
  • 最近在分析一个进程崩溃的严重问题,其中有些过程分析需要对ebp, esp 有清晰的理解,对于ebp 和esp 相信大家都很熟悉了,但是为了使本文自成体系,我还是解释一下。

    ebp--栈底指针

    esp--栈顶指针

     


     

    如图所示,简化后的代码调用过程如下:

    void Layer02()

    {

           int b = 2;

    }

     

    void Layer01()

    {

           int a = 1;

           Layer02();

    }

     

    那么函数执行过程中ebp和esp是如何变化的呢?如下是反汇编后的代码:

    void Layer02()

    {

    00413700 push        ebp

    00413701 mov         ebp,esp

    00413703 sub         esp,0CCh

    00413709 push        ebx

    0041370A push        esi

    0041370B push        edi

    0041370C lea         edi,[ebp-0CCh]

    00413712 mov         ecx,33h

    00413717 mov         eax,0CCCCCCCCh

    0041371C rep stos    dword ptr es:[edi]

           int b = 2;

    0041371E mov         dword ptr [b],2

    }

    00413725 pop         edi

    00413726 pop         esi

    00413727 pop         ebx

    00413728 mov         esp,ebp

    0041372A pop         ebp

    0041372B ret

    我们看到函数调用开始执行如下的两行代码:

    00413700 push        ebp

    00413701 mov         ebp,esp

     

    返回前执行如下代码:

    00413728 mov         esp,ebp

    0041372A pop         ebp

    0041372B ret

    那么这几行代码到底是什么意思呢?首先,如图上所示:

    开始两行代码的意思是先将ebp1压栈,然后将现在的栈顶esp1作为函数调用时的栈底,所以会执行如下语句:

    00413701 mov         ebp,esp

     

    那么,返回前的几条语句又是什么意思呢?

    我想大家已经猜到了,当函数调用执行结束,我们要执行相反的过程:

    00413728 mov         esp,ebp

     

    还原栈顶指针

     

    0041372A pop         ebp

     

    还原栈底指针

     

    0041372B ret

    返回到函数调用前的指令继续执行。

About IT165 - 广告服务 - 隐私声明 - 版权申明 - 免责条款 - 网站地图 - 网友投稿 - 联系方式
本站内容来自于互联网,仅供用于网络技术学习,学习中请遵循相关法律法规