函数栈帧详解

目录

1.什么是函数栈帧

2.理解函数栈帧能解决什么问题呢？

3.函数栈帧的创建和销毁解析

3.1 什么是栈？

3.2 认识相关寄存器和汇编指令

3.2.1 相关寄存器

3.2.2 相关汇编命令

3.3 解析函数栈帧的创建和销毁

3.3.1 预备知识

3.3.2 函数的调用堆栈

3.3.3 准备环境

 3.3.4 转到main函数的反汇编

3.3.5 转到Add函数的反汇编

3.3.6 函数栈帧的销毁

总结

---

1.什么是函数栈帧

我们在写代码的时候，经常会把一个独立的功能抽象为函数，所以C程序是以函数为基本单位的。那函数是如何调用的？函数的返回值又是如何带回的？函数参数是如何传递的？这些问题都和函数栈帧有关系。

函数栈帧（stack frame）就是函数调用过程中在程序的调用栈（call stack）所开辟的空间，这些空间是用来存放：

• 函数参数和函数返回值
• 临时变量（包括函数的非静态局部变量以及编译器自动生成的其他临时变量）
• 保存上下文信息（包括在函数调用前后需保持不变的寄存器）

2.理解函数栈帧能解决什么问题呢？

理解函数栈帧有什么用呢？

只要理解了函数栈帧的创建和销毁，以下问题就能够很好的理解了：

• 局部变量是如何创建的？
• 为什么局部变量不初始化的话内容是随机的？
• 函数调用时参数是如何传递的？传参的顺序是怎么样的？
• 函数的形参和实参分别是怎样实例化的？
• 函数的返回值是如何带回的？

让我们一起走进函数栈帧的创建和销毁的过程中。

3.函数栈帧的创建和销毁解析

3.1 什么是栈？

栈（stack）是现代计算机程序里最为重要的概念之一，几乎每一个程序都使用了栈，没有栈就没有函数，没有局部变量，也就没有我们如今看到的所有的计算机语言。

在经典的计算机科学中，栈被定义为一种特殊的容器，用户可以将数据压入栈中（入栈，push），也可以将已经压入栈中的数据弹出(出栈，pop)，但是栈这个容器必须遵守一条规则：先入栈的数据后出栈（First In Last Out，FIFO）。就像叠成一叠的书，先叠上去的书在最下面，因此要最后才能取出。

在计算机系统中，栈则是一个具有以上属性的动态内存区域。程序可以将数据压入栈中，也可以将数据从栈顶弹出。压栈操作使得栈增大，而弹出操作使得栈减小。

在经典的操作系统中，栈总是向下增长（由高地址向低地址）的。

在我们常见的i386或者x86-64下，栈顶由成为esp的寄存器进行定位的，栈底是由称为ebp的寄存器进行定位的。（后文的图我全部把ebp不小心写成了edp，失误失误！！！大家知道是ebp就好）

3.2 认识相关寄存器和汇编指令

3.2.1 相关寄存器

eax：通用寄存器，保留临时数据，常用于返回值

ebx：通用寄存器，保留临时数据

ebp：栈底寄存器，维护函数栈帧

esp：栈顶寄存器，维护函数栈帧

eip：指令寄存器，保存当前指令的下一条指令的地址

3.2.2 相关汇编命令

mov；数据转移指令

push：数据入栈，同时esp栈顶寄存器也要发生改变

pop：数据弹出至指定位置，同时esp栈顶寄存器也要发生改变

sub：减法命令

add：加法命令

call：函数调用，1.压入返回地址 2.转入目标函数

jmp：通过修改eip，转入目标函数，进行调用

ret：恢复返回地址，弹出eip，类似pop eip命令，回到进入函数前的下一条指令

3.3 解析函数栈帧的创建和销毁

3.3.1 预备知识

1. 每一次函数调用，都要为本次函数调用开辟空间，就是函数栈帧的空间。
2. 这块空间的维护是使用了2个寄存器esp和ebp，ebp记录的是栈底的地址，esp记录的是栈顶的地址，如图所示
3. 函数栈帧的创建和销毁过程，在不同的编译器上实现的方法大同小异，本次演示以VS2022为例。

3.3.2 函数的调用堆栈

 演示代码：

#include <stdio.h>

int Add(int x, int y)
{
int z = 0;
z = x + y;
return z;
}

int main()
{
int a = 10;
int b = 20;
int c = 0;
c = Add(a, b);
return 0;
}

这段代码，如果我们在VS2022编译器上调试，调试进入Add函数后，我们就可以观察到函数的调用堆栈

 按如图所示步骤打开函数的调用堆栈。

函数调用堆栈是反馈函数调用逻辑的，我们可以从中清晰的观察到，main函数调用之前，是由invoke_main函数来调用main函数.

在invoke_main函数之前的函数调用我们暂时就不考虑了。

那我们可以确定，invoke_main函数应该会有自己的栈帧，main函数和Add函数也会维护自己的栈帧，每个函数栈帧都由ebp和esp来维护栈帧空间。

那接下来我们从main函数的栈帧创建开始讲解：

3.3.3 准备环境

为了让我们研究函数栈帧的过程足够清晰，不要太多干扰，我们可以关闭下面的选项，让汇编代码中排除一些编译器附加的代码:

 3.3.4 转到main函数的反汇编

按键盘上的F10调试main函数到开始执行的第一行，右击鼠标转到反汇编。

 注：VS编译器每次调试都会为程序重新分配内存，这里的反汇编代码是一次调试代码过程中的数据，每次调试略有差异。

 这里有些同学可能不是ebp和esp，而是rbp和rsp，这是因为你的VS2022是以64位开始的调试，我们需要将64位改为32位：

 让我们进入到反汇编代码中。

 由于main函数是由invoke_main函数调用的，所以我们这里先画出invoke_main函数的函数栈帧：

 第一步：

 用push把ebp压入栈中,esp-4

 第二步：

 把esp的值存入ebp（使得ebp和esp同时指向栈顶）

 第三步：

 esp减去0E4h的大小，即往上移动0E4H

 第四步-第六步:

 将ebx、esi、edi压入栈顶，esp-4,esp-4,esp-4

 第七步-第十步:

1. 先把ebp-24h的地址，放在edi中
2. 把9放在ecx中
3. 把0xCCCCCCCC放在eax中
4. 将从edp-0x2h到ebp这一段的内存的每个字节都初始化为0xcccccccc

我们可以看看经过这几步后内存中的变化：

打开内存监视器

 我们这里输入ebp-24h

 我们可以看到往下的9行都是编译器生成的随机值

 让我们执行一下第七步-第十步

我们可以看到ebp-0x24h到ebp这一段的内存的每个字节都初始化为0xcccccccc，如图所示

 小知识：烫烫烫~

之所以上面的程序输出“烫”这么一个奇怪的字，是因为main函数调用时，在栈区开辟的空间的其中每一个字节都被初始化为0xCC，而arr数组是一个未初始化的数组，恰好在这块空间上创建的，0xCCCC（两个连续排列的0xCC）的汉字编码就是“烫”，所以0xCCCC被当作文本就是“烫”。

那么现在main函数的函数栈帧就创建完毕了，接下来就是main函数中代码的执行

第十一步

 这里的[a]可能不太好看让我们关闭符号名显示:

 我们就可以看到下面的指令

 将0Ah(10)存储到ebp-8的地址处，ebp-8的位置其实就是a变量，如图

 第十二步

 将14h(20)存储到ebp-14h的地址处，ebp-14h的位置其实就是b变量，如图

 第十三步

 将0存储到ebp-20h的地址处，ebp-20h的位置其实就是c变量，如图

 第十四步-第十七步

调用Add函数（传参）

1. 传递b(从右往左扫描)将ebp-14h处放的20放在eax寄存器中
2. 将eax的值压栈，esp-4
3. 传递a，将ebp-8处的10放在ecx寄存器中
4. 将ecx的值压栈，esp-4

第十八步

跳转到调用函数

call指令是要执行函数调用逻辑的，在执行call指令之前会把call指令的下一条指令的地址进行压栈操作，这个操作是为了解决当函数调用结束后要回到call指令的下一条指令的地方，继续往后执行。

 我们可以看到call指令的下一条指令的地址是

 0072179D

我们可以打开内存监视看看esp所指向的值有没有发生变化。

call之前：

call之后：

 我们可以看到call指令的下一条指令的地址成功的完成了压栈操作，如图：

 这个时候我们按键盘上的F11进入Add函数

第十九步

 转入目标函数，再按一下F11，就可以跳转到Add函数

3.3.5 转到Add函数的反汇编

当我们跳转到Add函数，就要开始观察Add函数的反汇编代码了。

 第一步到第六步

为Add函数创建一块栈帧空间。

在Add函数中创建栈帧的方法和main函数中是相似的，在栈帧空间的大小上略有差异而已。

1. 将main函数的ebp压栈，esp-4
2. 计算新的ebp,esp
3. 将ebx，esi，edi寄存器的值保存

如图

第七步

 将0放在ebp-8的地址处，其实就是创建z

 第八步-第九步

1. 将ebp+8地址处存放的值存入eax寄存器中，即把形参a'存入eax中
2. 将ebp+12地址处的数字加到eax寄存器中，即把形参b'加入eax

以上两步算出a'+b'的值，并把其存入了寄存器eax中

第十步

将eax的结果保存到ebp-8的地址处，其实就是放到z中

z = eax = a' + b' = 30

 第十一步

将ebp-8地址处存放的值放入eax中，其实就是把z的值存储到eax寄存器中，这里是想通过eax寄存器带回计算的结果，做函数的返回值。

做完这一步我们的函数调用就将结束了，应该开始返回了。

3.3.6 函数栈帧的销毁

当函数调用要结束返回的时候，前面创建的函数栈帧也开始销毁。

那具体是怎么销毁的呢？我们来看一下反汇编代码。

 第一步-第三步

1. 在栈顶弹出一个值，存放到edi中，esp+4
2. 在栈顶弹出一个值，存放到esi中，esp+4
3. 在栈顶弹出一个值，存放到ebx中，esp+4

如图所示

 第四步

 将ebp的值赋给esp，此时ebp和esp指向同一处，如图

 第五步

弹出栈顶的值存放到ebp，栈顶此时的值恰好就是之前main函数的ebp，esp+4，此时恢复的main函数的栈帧维护，esp指向main函数栈帧的栈顶，ebp指向了main函数栈帧的栈底。

 第六步

 ret指令的执行，首先是从栈顶弹出一个值，此时栈顶的值就是call指令下一条指令的地址，此时esp+4，然后直接跳转到call指令的下一条指令的地址处，继续往下执行。

 调用完Add函数后，回到main函数，继续往下执行

 第一步

 esp直接+8，相当于跳过了main函数中压栈的a'和b'

 第二步

 把eax的值赋给ebp-20h地址所指向的空间，其实就是存储到main函数的c变量中，而此时eax中就是Add函数中计算的x和y的和，可以看出来，本次函数的返回值是由eax寄存器带回来的。程序是在函数调用返回之后，在eax中去读取返回值的。

总结

以上便是函数栈帧创建和销毁的详细过程，希望看完这篇文章的你能够有所收获！下一篇文章再见！！