Linux内核分析，c程序汇编代码分析--第一周

c程序汇编代码分析

做作业，顺便记录笔记

AT&T相关指令入门知识笔记，见外联  http://ouonline.net/att-asm-1

1.  汇编语言的五种寻址模式

movl %eax,%edx             edx=eax                        寄存器寻址 registermode(相当于c地址指针赋值)

movl  $0x123, %edx        edx=0x123                    立即寻址 immediate（相当于直接赋值地址值给c指针）

movl  0x123,%edx            edx=*(int*)0x123           直接寻址 direct(相当于获取地址指针的内容，* 操作)

movl (%ebx),%edx            edx=*(int*)ebx               间接寻址 indirect（相当于地址指针赋值后取值）

movl 4(%ebx),%edx            edx=*(int*)(ebx +4)      变址寻址 displaced（相当于地址指针增加后，赋值后取值）

2. 几个重要的汇编指令

Pushl %eax	Subl $4, %esp   //栈顶指针减4 Movl %eax, (%esp) //将eax中的值放入栈顶指针指向的内存位置
Popl %eax	Movl (%esp), %eax //从栈顶指针指向的内存中的值放入eax中 Addl $4, %esp //栈顶指针加4，栈在向上收缩
Call 0x12345 （eip 无法直接操作）	Pushl %eip //ip压栈 Movl $0x12345, %eip //将0x12345放入eip中
Ret	Popl %eip //ip出栈
Enter	Pushl %ebp   ebp入栈 Movl %esp, %ebp  使得ebp等于当前esp
leave	Movl %ebp, %esp  使得esp等于当前ebp（相当于栈清空了） Popl %ebp  ebp地址出栈

================================================================================================================

现做汇编分析实验

实现环境：

系统 win7 64位

编译器 mingwin

现有c程序 main.c ：

int g(int x)
{
  return x + 3;
}
 
int f(int x)
{
  return g(x);
}
 
int main(void)
{
  return f(8) + 1;
}

对其进行  gcc –S –o main.s main.c -m32

去掉相关带.的行，分析main.s

_g:

	pushl	%ebp
	movl	%esp, %ebp
	movl	8(%ebp), %eax
	addl	$3, %eax
	popl	%ebp
	ret

_f:
	pushl	%ebp
	movl	%esp, %ebp
	subl	$4, %esp
	movl	8(%ebp), %eax
	movl	%eax, (%esp)
	call	_g
	leave
	ret

_main:
	pushl	%ebp
	movl	%esp, %ebp
	andl	$-16, %esp
	subl	$16, %esp
	call	___main
	movl	$8, (%esp)
	call	_f
	addl	$1, %eax
	leave
	ret

逐条分析

1.程序由_mian进入，首先 pushl %ebp

堆栈变化如下图，堆顶压入了ebp的值

2. movl %esp，%ebp

改变ebp的值使得其指向esp

3.andl $-16,%esp

esp 与 0xfffffff0 与运算，使得它对齐寻址空间，加快cpu处理速度

4.subl $16,%esp

esp 向下移动4位

4.call ___main

调用___main，由于在.def 里面被我删了，开始无法理解，然后google才知道，是编译器加入的，理解为加入调试信息，初始化变量等。真正的函数开始是这里开始的

.def___main;.scl2;.type32;.endef

至于.scl 2 和 .type 32 的意思,上网查一下就有的了。stackoverflow

5.因为call返回后，堆空间不变的，直接进入下一条

movl $8,(%esp)

6.call _f  调用_f 函数，由于eip不可以直接修改，只能调用 call

call 是两条指令组成的，它先压入下一条指令的地址到栈顶，这里就是addl $1,%eax的地址，然后把f的地址赋予eip寄存器。函数调用开始。

7.运行_f 函数的指令

pushl %ebp

movl  %esp，%ebp

后，变成下图，注意这里压入之前ebp地址A

8

9.运行movl 8（%ebp），%eax，从图可知就是把8的值移动加入到eax寄存器里面

10.然后把eax的值传给exp所指的空间

11.call _g

12.之后和之前的一样，压入ebp地址，改变ebp，然后把8赋予eax

13.往eax加3

14.popl %ebp  把exp的值给ebp，相当于ebp值回地址B

15.ret后，eip指向leave指令的地址，esp加四

16.运行ｆ函数的leave指令，有两个过程

先movl %ebp,%esp

然后popl %ebp，相当于堆栈返回了

17.ret指令，eip指向addl指令

18.往eax加1

19.leave，ebp恢复到进入程序之前的ebp地址

20.ret 终于结束了，把esp上指的内容给会eip，函数返回。

总结，计算机程序运行是依照冯诺依曼体系结构，从硬件上看其工作的方式，就是cpu依次读取寄存器中的指令来进行工作，不同的指令集合构成不同的计算机系统和程序。