基于GDB-peda汇编调试理解函数调用栈

曾经终败给现在 2023-07-13 13:47 188阅读 0赞

# 一、前言 #

## 1.1 叙叙旧 ##

距离上一次写文章已经过去3个月了，当初计划至少一个月一篇，不曾想这一拖就是三个月。一直不写的主要原因是当把一个问题弄清楚了，或者说掌握了一个东西，就觉得没有什么可值得写；另外写文章也会花费一定的时间。不过想想阮一峰和王建硕讨论的写文章一方面可以提高自己的表述能力，一方面可以加深自己对知识的理解，于是便又拿起笔写下今天这篇文章。

## 1.2 文章摘要 ##

这篇文章主要对函数调用栈的理论进行讲解，然后通过一个简单的例子，通过GDP-peda对汇编代码进行断点跟踪，加深对函数调用栈的理解。此外也对32位CPU的寄存器做一个简单的介绍。

# 二、基本理论 #

## 2.1 寄存器 ##

![format_png][]  
32位处理器有数据寄存器、变址寄存器、指针寄存器、段寄存器、指令寄存器和标志寄存器，上图中简单介绍了寄存器的名称和基本作用。如果想要更加详细的连接寄存器，请参考[Daryl][]的文章[通用32位CPU 常用寄存器及其作用][32_CPU]。

## 2.2 函数调用栈 ##

关于函数调用栈我们需要知道的是栈空间是从高地址向低地址填充的，在进行函数调用的时候，首先将被调用函数的参数压入栈空间，压入参数的顺序是 a r g n arg\_n argn,  a r g n − 1 arg\_\{n-1\} argn−1 …  a r g 0 arg\_0 arg0；接着压入函数的返回地址，函数的返回地址就是call指令的下一条指令的地址；接着压入被调用函数的基地址，基地址存放在EBP寄存器中；最后压入被调用函数的局部变量。关于函数调用栈的更多信息可以参考长亭科技的Jwizard的[手把手教你栈溢出从入门到放弃][Link 1]。

# 三、调试分析 #

通过一个简单的C语言程序，通过GCC编译器将其编译为32位的程序，然后使用GDB-peda对其进行跟踪调试。通过观察寄存器中值的变化，来更加深刻的理解函数调用栈。

## 3.1 源代码 ##

#include<stdio.h>
    int sum(int a, int b) {
    	int c = 10;
    	int sum;
    	sum = a + b + c;
    	return sum;
    }
    int main() {
    	int a, b, res;
    	a = 2;
    	b = 3;
    	res = sum(a, b);
    	printf("%d\n", res);
    	return 0;
    }

## 3.2 GCC编译为32位 ##

gcc -g sum.c -o sum -m32

## 3.3 GDB调试 ##

通过`gdb sum`命令对sum文件进行调试，在gdb-peda中使用l命令可以列出源代码。  
![format_png 1][]

## 3.4 开始调试 ##

在gdp-peda中输入`start`命令开始调试，从下图中可以看到寄存器(registers)，汇编代码(code)，栈空间数据(stack)。此时基地址EBP寄存器的值是`0xffffd5a8`，栈顶寄存器ESP的值是`0xffffd590`，而指令寄存器EIP的值则是代码区中正准备执行的指令地址`0x804843e`。从图中可以看出`0x804843b`汇编指令分配了`0x14`个字节的空间供局部变量使用。  
![format_png 2][]

### 3.4.1 给变量a赋值 ###

使用`ni`命令，执行`0x804843e`地址的汇编代码，可以发现把`2`(a的值)赋值给地址为`[ebp-0x14] = 0xffffd594`。  
![format_png 3][]

### 3.4.2 给变量b赋值 ###

使用`ni`命令，执行`0x8048445`地址的汇编代码，可以发现把`3`(b的值)赋值给地址为`[ebp-0x10] = 0xffffd598`。  
![format_png 4][]

### 3.4.3 将b压入栈空间 ###

在压入之前，esp的值为`0xffffd590`，所以`b`在栈空间的位置是`0xffffd590 - 4 = 0xffffd58c`。  
![format_png 5][]

### 3.4.4 将a压入栈空间 ###

和压入b同理，不多赘述。  
![format_png 6][]

### 3.4.5 进入sum函数 ###

使用`si`命令，单步进入sum函数。从下图可以看出执行call指令的时候把call指令的下一条指令的地址`0x8048457`(见3.4.4图)作为返回地址压入了栈空间。接着需要将main函数的基地址(存放在ebp寄存器)压入栈空间。  
![format_png 7][]

### 3.4.6 压入main函数的基地址 ###

使用`ni`命令执行`0x804840c`地址的指令，从上面的理论部分得知在压入调用函数的基地址之后，需要将当前栈顶(esp寄存器的值)赋值给ebp作为被调用函数的基地址，因为接下来就是执行被调用函数中的汇编代码。这里需要注意被调用函数的基地址存储的值是调用函数的基地址。  
![format_png 8][]

### 3.4.7 栈空间分布 ###

此时我们已经完成了调用函数的入栈操作，通过`stack`命令可以查看当前栈空间的内容`0xffffd59c`我们暂时不管，这是main函数启动时的相关数据。从高地址到低地址分别存放的是`0xffffd598` => main的局部变量b，`0xffffd594` => main的局部变量a，`0xffffd590` => 暂未使用,  
`0xffffd58c` => sum函数的参数b，`0xffffd588` => sum函数的参数a，`0xffffd584` => sum函数的返回地址，`0xffffd580` => main函数的基地址。

![format_png 9][]

### 3.4.8 退出操作 ###

在压入main函数的基地址后，执行了sum函数内部的加法操作，这里不做详细介绍。在执行完成以后会把结果放在eax寄存器中。然后执行`leave`指令，`leave`指令相当于`mov esp,ebp; pop ebp;`。执行`mov esp,ebp`将栈顶地址设置为被调用函数(sum函数)的基地址，被调用函数的基地址就是存储main函数基地址的地址。执行`pop ebp`,将ebp以下的地址包括ebp全部弹出栈空间(sum函数内部处理的时候也会把一些数据入栈，此时操作完成全部弹出)，并把main函数的基地址赋值给ebp，成功完成函数的退栈。  
![format_png 10][]

![format_png 11][]

最后执行`ret`指令，类似`pop eip`。把函数的返回地址赋值给eip，使其继续执行。

[format_png]: /images/20230529/22a7819e99514ecf90e5d671b1918fd1.png
[Daryl]: https://www.cnblogs.com/daryl-blog/
[32_CPU]: https://www.cnblogs.com/daryl-blog/p/11369588.html
[Link 1]: https://zhuanlan.zhihu.com/p/25816426
[format_png 1]: /images/20230529/3486756b1bad4cb690f4851faefa63ab.png
[format_png 2]: /images/20230529/c797163fc661484ca2d0476539324c3d.png
[format_png 3]: /images/20230529/499a89c7360c40bcaaf77c027d4a7093.png
[format_png 4]: /images/20230529/14f665056459481985b81fc713ce7868.png
[format_png 5]: /images/20230529/3c5f09127e7e4b1ca3ebbb7b4b5b1637.png
[format_png 6]: /images/20230529/b60c153fc614427ea9f191050cac87e9.png
[format_png 7]: /images/20230529/e915cdacf2cd44739041eff8cbcb86cb.png
[format_png 8]: /images/20230529/722abcfe0e9147f68f9e0b3b280bb0fd.png
[format_png 9]: /images/20230529/929c3fd53a194b6ab41975eab9d903a4.png
[format_png 10]: /images/20230529/c96bb8252f104c2bb926de1bbdf80bf5.png
[format_png 11]: /images/20230529/7a5e247e33a94d7ca37d95f783953f94.png