堆棧指針sp的內(nèi)容是什么

? ? 　堆棧是一塊保存數(shù)據(jù)的連續(xù)內(nèi)存。一個(gè)名為堆棧指針（SP）的寄存器指向堆棧的頂部。 堆棧的底部在一個(gè)固定的地址。

　　堆棧的大小在運(yùn)行時(shí)由內(nèi)核動(dòng)態(tài)地調(diào)整。 CPU實(shí)現(xiàn)指令 PUSH和POP，向堆棧中添加元素和從中移去元素。 堆棧由邏輯堆棧幀組成。 當(dāng)調(diào)用函數(shù)時(shí)邏輯堆棧幀被壓入棧中，當(dāng)函數(shù)返回時(shí)邏輯 堆棧幀被從棧中彈出。

　　堆棧幀包括函數(shù)的參數(shù)，函數(shù)地局部變量，以及恢復(fù)前一個(gè)堆棧 幀所需要的數(shù)據(jù)，其中包括在函數(shù)調(diào)用時(shí)指令指針（IP）的值。 堆棧既可以向下增長(zhǎng)（向內(nèi)存低地址）也可以向上增長(zhǎng)， 這依賴于具體的實(shí)現(xiàn)。在我 們的例子中，堆棧是向下增長(zhǎng)的。

　　這是很多計(jì)算機(jī)的實(shí)現(xiàn)方式，包括Intel，Motorola，SPARC和MIPS處理器。 堆棧指針（SP）也是依賴于具體實(shí)現(xiàn)的。 它可以指向堆棧的最后地址，或者指向堆棧之后的下一個(gè)空閑可用地址。 在我們的討論當(dāng)中，SP指向堆棧的最后地址。除了堆棧指針（SP指向堆棧頂部的的低地址）之外，為了使用方便還有指向幀內(nèi)固定 地址的指針叫做幀指針（FP）。

　　有些文章把它叫做局部基指針（LB-local base pointer）。從理論上來(lái)說(shuō)，局部變量可以用SP加偏移量來(lái)引用。然而，當(dāng)有字被壓棧和出棧后，這些偏移量就變了。盡管在某些情況下編譯器能夠跟蹤棧中的字操作，由此可以修正偏移 量，但是在某些情況下不能。而且在所有情況下，要引入可觀的管理開銷。而且在有些機(jī)器上，比如Intel處理器， 由SP加偏移量訪問(wèn)一個(gè)變量需要多條指令才能實(shí)現(xiàn)。因此，許多編譯器使用第二個(gè)寄存器， FP， 對(duì)于局部變量和函數(shù)參數(shù)都可以引用，因?yàn)樗鼈兊紽P的距離不會(huì)受到PUSH和POP操作的影響。

　　在Intel CPU中，BP（EBP）用于這 個(gè)目的。在Motorola CPU中， 除了A7（堆棧指針SP）之外的任何地址寄存器都可以做FP。 考慮到我們堆棧的增長(zhǎng)方向，從FP的位置開始計(jì)算，函數(shù)參數(shù)的偏移量是正值， 而局部 變量的偏移量是負(fù)值。 當(dāng)一個(gè)例程被調(diào)用時(shí)所必須做的第一件事是保存前一個(gè)FP（這樣當(dāng)例程退出時(shí)就可以 恢復(fù)）。 然后它把SP復(fù)制到FP，創(chuàng)建新的FP，把SP向前移動(dòng)為局部變量保留空間。這稱為 例程的序幕（prolog）工作。 當(dāng)例程退出時(shí)，堆棧必須被清除干凈，這稱為例程的收尾 （epilog）工作。Intel的ENTER和LEAVE指令， Motorola的LINK和UNLINK指令，都可以用于 有效地序幕和收尾工作。

　　一個(gè)簡(jiǎn)單的堆棧例子

　　example1.c：

　　------------------------------------------------------------------

　　void function（int a， int b， int c） {

　　char buffer1［5］;

　　char buffer2［10］;

　　}

　　void main（） {

　　function（1，2，3）;

　　}

　　------------------------------------------------------------------

　　使用gcc的-S選項(xiàng)編譯， 以產(chǎn)生匯編代碼輸出：

　　$ gcc -S -o example1.s example1.c

　　通過(guò)查看匯編語(yǔ)言輸出， 我們看到對(duì)function（）的調(diào)用被翻譯成：

　　pushl $3

　　pushl $2

　　pushl $1

　　call function

　　以從后往前的順序?qū)unction的三個(gè)參數(shù)壓入棧中， 然后調(diào)用function（）。 指令call會(huì)把指令指針（IP）也壓入棧中。 我們把這被保存的IP稱為返回地址（RET）。 在函數(shù)中所做的第一件事情是例程的序幕工作：

　　pushl ?p

　　movl %esp，?p

　　subl $20，%esp

　　將幀指針EBP壓入棧中。 然后把當(dāng)前的SP復(fù)制到EBP， 使其成為新的幀指針。 我們把這個(gè)被保存的FP叫做SFP。 接下來(lái)將SP的值減小， 為局部變量保留空間。

　　內(nèi)存只能以字為單位尋址。 一個(gè)字是4個(gè)字節(jié)， 32位。 因此5字節(jié)的緩沖區(qū)會(huì)占用8個(gè)字節(jié)（2個(gè)字）的內(nèi)存空間， 而10個(gè)字節(jié)的緩沖區(qū)會(huì)占用12個(gè)字節(jié)（3個(gè)字）的內(nèi)存空間。 這就是為什么SP要減掉20的原因。 這樣我們就可以想象function（）被調(diào)用時(shí)堆棧的模樣（每個(gè)空格代表一個(gè)字節(jié)）：

　　內(nèi)存低地址 內(nèi)存高地址

　　buffer2 buffer1 sfp ret a b c

　　《------ ［ ］［ ］［ ］［ ］［ ］［ ］［ ］

　　堆棧頂部 堆棧底部

　　制造緩沖區(qū)溢出

　　現(xiàn)在試著修改我們第一個(gè)例子， 讓它可以覆蓋返回地址， 而且使它可以執(zhí)行任意代碼。堆棧中在buffer1［］之前的是SFP， SFP之前是返回地址。 ret從buffer1［］的結(jié)尾算起是4個(gè)字節(jié)。應(yīng)該記住的是buffer1［］實(shí)際上是2個(gè)字即8個(gè)字節(jié)長(zhǎng)。 因此返回地址從buffer1［］的開頭算起是12個(gè)字節(jié)。 我們會(huì)使用這種方法修改返回地址， 跳過(guò)函數(shù)調(diào)用后面的賦值語(yǔ)句‘x=1;’， 為了做到這一點(diǎn)我們把返回地址加上8個(gè)字節(jié)。 代碼看起來(lái)是這樣的：

　　example3。c：

　　--------------------------------------------------------------------

　　void function（int a， int b， int c） {

　　char buffer1［5］;

　　char buffer2［10］;

　　int *ret;

　　ret = buffer1 + 12;

　　（*ret） += 8;

　　}

　　void main（） {

　　int x;

　　x = 0;

　　function（1，2，3）;

　　x = 1;

　　printf（“%d\n”，x）;

　　}

　　-------------------------------------------------------------------

　　我們把buffer1［］的地址加上12， 所得的新地址是返回地址儲(chǔ)存的地方。 我們想跳過(guò)賦值語(yǔ)句而直接執(zhí)行printf調(diào)用。

　　如何知道應(yīng)該給返回地址加8個(gè)字節(jié)呢？ 我們先前使用過(guò)一個(gè)試驗(yàn)值（比如1）， 編譯該程序， 祭出工具gdb：

　　-----------------------------------------------------------------

　　［aleph1］$ gdb example3

　　GDB is free software and you are welcome to distribute copies of it

　　under certain conditions; type “show copying” to see the conditions。

　　There is absolutely no warranty for GDB; type “show warranty” for details。

　　GDB 4。15 （i586-unknown-linux）， Copyright 1995 Free Software Foundation， Inc.。。

　　（no debugging symbols found）。。.

　　（gdb） disassemble main

　　Dump of assembler code for function main：

　　0x8000490 ： pushl ?p

　　0x8000491 ： movl %esp，?p

　　0x8000493 ： subl $0x4，%esp

　　0x8000496 ： movl $0x0，0xfffffffc（?p）

　　0x800049d ： pushl $0x3

　　0x800049f ： pushl $0x2

　　0x80004a1 ： pushl $0x1

　　0x80004a3 ： call 0x8000470

　　0x80004a8 ： addl $0xc，%esp

　　0x80004ab ： movl $0x1，0xfffffffc（?p）

　　0x80004b2 ： movl 0xfffffffc（?p），êx

　　0x80004b5 ： pushl êx

　　0x80004b6 ： pushl $0x80004f8

　　0x80004bb ： call 0x8000378

　　0x80004c0 ： addl $0x8，%esp

　　0x80004c3 ： movl ?p，%esp

　　0x80004c5 ： popl ?p

　　0x80004c6 ： ret

　　0x80004c7 ： nop

　　------------------------------------------------------------------

　　我們看到當(dāng)調(diào)用function（）時(shí)， RET會(huì)是0x8004a8， 我們希望跳過(guò)在0x80004ab的賦值指令。 下一個(gè)想要執(zhí)行的指令在0x8004b2。 簡(jiǎn)單的計(jì)算告訴我們兩個(gè)指令的距離為8字節(jié)。