函数堆栈调用过程-创新互联

从内存的角度详细的分析C语言中的函数调用过程：

首先写一个测试用的代码：

#include 

int add(int x, int y)
{
	int z = 0;
	z = x + y;
	return z;
}

int main()
{
	int a = 1, b = 2;
	int c = 0;

	c = add(a, b);

	return 0;
}

这是一个简单的的求和函数。

其次，让我们确定一下，程序是从哪里开始运行的：

调试程序，按一下F10（博主用的VS2013），

进入main函数：

然后进调试--->窗口--->调用堆栈（用来显示函数的调用关系）。

发现正在调用main这个函数，但现在我想知道是谁在调用main函数，F10一路走到return 0,接着换F11（逐语句调试），然后会发现，main函数返回后，我们来到了这里：

再看看此时的调用堆栈：

直接来看，现在运行的函数是__tmainCRTStartup()，这个函数又被mainCRTStratup()调用，而我们刚刚是从main()函数返回来的，所以，main()函数是由__tmainCRTStartup()这个函数调用的。

了解了main()函数是被谁调用后，我们可以进一步分析这其中的细节了！

现在重新F10进入调试，到这一步：

进入main()函数后还没有执行任何一条语句，我们 右击-->转到反汇编：

看到了汇编语言的代码，图中的ebp和esp是什么东西呢？我们知道，调用函数的时候操作系统要给这个函数分配一段内存空间，之前又说了main()函数是由—__tCRTStartup()函数调用的，所以请看：

mainCRTStratup()函数调用__tmainCRTStra()函数的时候就会从栈上为__tmainCRTStra()分配类似图中这么一块空间，把这块空间叫做栈帧。我们知道栈是由高地址向低地址扩展的。其中ebp叫做栈底指针，esp叫做栈顶指针（当然也有其它叫法）。ebp，esp本身是一个寄存器，其中存放了地址时，我们就称之为指针！

现在再来看汇编程序：

按一下F10执行第一条语句，箭头指向下一条语句，变成这样：

（和我们在外边的调试是一样的）这句 push ebp 就是将ebp中的值进行压栈，而此时ebp存放的是系统分给__tmainCRTStartup()函数的空间的起始地址。因为我们现在要调用main()函数了，所以当然要先把__tmainCRTStartup()函数的运行状态保存下来，这样main()函数才能返回的时候才能找得到！push是在栈顶进行的，所以，push之后，esp要向上移动：

刚刚说了，栈是由高地址向低地址扩展的，所以这个push操作应该是对esp进行一个减操作，具体见了多少，可以在内存里查一查：

先看一下push之前esp的的值：

esp的当前值为0x00ABFA30，代表它指向0x00ABFA30这个地址代表的内存。

再看一下push之后esp的值发生了什么变化：

变成了0x00ABFA2C，差了4个字节，就是放进去的地址的大小。

然后继续执行下一条语句： mov         ebp,esp   

即把esp的值赋给ebp，这样，ebp也就指向了现在esp的位置，如下图：

接着又执行语句：sub         esp,0E4h  

即将esp的值减去E4h，所以esp向上移动了E4h个位置（相当于申请了这么大的一块空间），新申请的这块空间就给main()用了。如下：

接下来紧接着三条push语句将后面要用到的寄存器中原来的值存储起来，等我们借用完寄存器后再给人家pop回去，不管它，这里esp再向上移动三次。

（ps:图片太大，所以只截了当前要用到的）

紧接着的四条语句共同完成一个任务，就是将图中大长方形区域初始化为0CCCCCCCh（你经常看到的：烫烫烫烫......）

第一句：lea         edi,[ebp-0E4h]
就是将ebp减去E4h的值赋给edi，这个E4h是不是很眼熟呢？它就是我们上一步分配给main()的空间的大小，即edi指向了3次push之前的esp的位置；

第二句：mov         ecx,39h
把39h放在ecx中（充当了计数器）

第三句：mov         eax,0CCCCCCCCh 

把要初始化的数据写入eax

最后一句：rep stos    dword ptr es:[edi]

循环的从低地址（ebp-0E4h）向高地址（ebp）写0CCCCCCCCh，循环了39h次！

我们在执行之前转到内存中看一下：

先查找ebp：

（我往下拖了一点，左下角的光标处的地址就是ebp当前值0z00ABFA2C）

四条语句执行后：

相应的位置已经被初始化为0CCCCCCCh，其它部分是乱码（此时ebp值为0x00ABFA2C，它之上的一段空间是分配给main()的）

程序继续往下执行：

mov         dword ptr [ebp-8],1  在ebp-8h的位置放一个1，
mov         dword ptr [ebp-14h], 2 在ebp-14h的位置放一个2

即分别创建了a，b两个变量，如图：

接着创建c：

此时我们的内存分配变成了这样：

然后到了这里，调用add()准备工作：

mov         eax,dword ptr [ebp-14h]    是把ebp-14h位置的值放入eax（此时ebp-14h的值是我们的变量b的值），然后：push        eax ， 即eax压栈;

同理，mov         ecx,dword ptr [ebp-8]   把ebp-8位置的值放入ecx，然后ecx压栈。如下（传递形参给x和y）：

程序到这：

在汇编里我们用call调用一个函数（_add是一个标号，它代表了一个地址，是add()函数的首地址），而call在执行的同时，会把它下一条指令的地址（就是图中的00D1450）push到main()的栈桢中去，以便add()执行完后返回的时候还可以找到程序当初执行到了哪里，然后接着执行。

为了证明这一点，我们先查看一下esp所指向内存的值：

然后F11跟进去到这里：

再查看esp所指内存：

可以看到esp的位置发生了改变，此时内存中的值 50 14 0d 00 是不是很像刚刚的call语句下一条指令地址呢？对它就是00 0d 14 50 的小端字节序，这里不再解释小端字节序，只需理解它是内存中字节存储的一种方式，有兴趣的可以查看：http://blog.csdn.net/qq_33724710/article/details/51056542

栈桢分配图变成了这样：

接着F11执行刚刚的jmp语句：

历尽千辛万苦终于进入add()!现在贴出来的这几句代码就和我们刚刚进入main()函数的语句大同小异了。

push        ebp  //ebp压栈
  mov         ebp,esp  //ebp指向esp所指
  sub         esp,0CCh  //esp - 0CCh, 开辟了新的栈桢
  push        ebx  //3个push，照旧不管它
  push        esi
  push        edi
  lea         edi,[ebp-0CCh]  //初始化烫烫烫烫......
  mov         ecx,33h
  mov         eax,0CCCCCCCCh
  rep stos    dword ptr es:[edi] 

然后到这里：

给ebp-8处放了个0，就是创建z啦！

再接着到这里：

eax,dword ptr [ebp+8]  //注意是加了8，取出的是我们之前传递进来的形参值1，放到eax
add         eax,dword ptr [ebp+0Ch]  //取epb+0Ch，取出的是我们之前传递进来的形参值2，加到eax
dword ptr [ebp-8],eax  //再把求和后的值eax赋给epb - 8的位置，就是z喽！ 

程序执行到这，准备返回main()了：

因为z是个临时变量，出了add()就会销毁，要返回z的值，就要把它的值放进寄存器：

mov         eax,dword ptr [ebp-8]  //epb-8找到的就是z，赋给eax
 pop         edi  //连续三个pop，之前连续三个push我们没管它，现在仍然不管它
 pop         esi
 pop         ebx
3次pop后，esp高地址处移动了3个单位：

虽然esp上边的空间还在，但是已经不属于当前的栈桢了，相当于释放掉了！

然后：

mov         esp,ebp  //esp指向当前ebp
  pop         ebp  //main()起始地址赋给给ebp，esp往高地址处移动一次

所以变成这样：

最后执行ret，程序回到这里：

看见了没，ret指令自动取出了call的下一条语句地址（ret自动执行了pop，esp又往高地址处移动了一次）赋给了PC（PC总是指向下一条要执行的语句）。

接着的add         esp,8  使esp继续往高地址方向移动，并跳过1,2两个参数，如下：

mov         dword ptr [ebp-20h],eax  //还记得eax吗，当初我们把求和的结果，即 z 的值赋给了它，ebp-20h依然是当初的c

现在，我们要的结果已经赋给 c 了！

xor         eax,eax  //eax没用了，异或eax，清零

  pop         edi  //又是连续3个pop
  pop         esi
  pop         ebx
  add         esp,0E4h  //oE4h,当出开辟的main()栈桢的大小，现在释放掉
  cmp         ebp,esp  //不管它
  call        000D113B  //不管它
  mov         esp,ebp  //释放main()栈桢
  pop         ebp  //ebp指向__tmainCRTStartup()起始地址，esp下移
  ret  //返回到__tmainCRTStartup()

__tmainCRTStartup()和mainCRTStart()里边的过程就不在分析了！

创新互联www.cdcxhl.cn，专业提供香港、美国云服务器，动态BGP最优骨干路由自动选择，持续稳定高效的网络助力业务部署。公司持有工信部办法的idc、isp许可证， 机房独有T级流量清洗系统配攻击溯源，准确进行流量调度，确保服务器高可用性。佳节活动现已开启，新人活动云服务器买多久送多久。