二进制安全：一文讲通Stack and Function Call栈与函数调用原理应用

github开源项目：CTF-we-are-one笔记
栈是计算机中最重要的数据结构之一，它是一个先入后出的数据结构。
栈空间是计算机内存中的一段确定的内存区域，也有着一些指针指向相应的内存地址，在x86架构中这个指针位于ESP寄存器，而在x86-x64平台上的RSP寄存器。在计算机底层中：
（1）储存局部变量
（2）执行CALL指令调用函数时，保存函数地址结束的时候，正确返回。
（3）传递函数参数。
操作栈的常用指令是PUSH和POP，即入栈和出栈。PUSH指令会对ESP、RSP、SP寄存器的值进行减法运算。
下面得汇编将通过栈完成EAX和EBX值得交换。

MOV EAX,1234h
MOV EBX,5678h
PUSH EAX
PUSH  EBX

POP指令则是PUSH指令的反操作，实质上PUSH和POP是两个逆操作符：

POP EAX
POP EBX

使用栈保存函数返回值
CALL指令调用某个子函数的时候。下一条的指令地址作为返回地址保存在栈中，等价于PUSH返回地址与JMP函数地址的指令序列。

以下通过汇编伪码的方式说明CALL指令与RET指令在栈中的整个流程

0x00001023 CALL Function
0x00001024 MOV EAX,EBX
           RET

Stack
————High address—————
00001024<——ESP
00002048<——EIP
————Low address—————
CALL指令的下一条指令00001024被压入栈中，ESP指针指向这个内存地址。被调用函数Function的地址0x00001023被加入到EIP寄存器中。
Stack
————High address—————
… <————ESP
00001024
00001024<————EIP
————Low address——————
当程序执行到RET指令的时候，被分为两个部分。
第一步：ESP指向的数据将被弹出至EIP寄存器
第二步：ESP的数值增加，将指向栈的上一个值。

使用栈传递函数参数
在x86平台程序中，最常见的参数调用约定是cdecl，其他的还有stdcall，fastcall和thiscall。
我们可以使用stack进行传递参数，但并不代表stack是唯一参数的传递方
假设函数func有三个参arg1、arg2、arg3

push arg3
push arg2
push arg1
calll func 

使用栈存储变量

PUSHFD 
POPFD  

PUSHFD 指令把32位EFLAGS寄存器内容压入栈中
POPFD指令则是把栈顶的数据弹出来到EFLAGS寄存器中

参考文献：
Dolan S.mov is Turing-complete[J/OL].2013-07.

本文不够权威，可以参考更多博文，如有问题欢迎各位学者指正批评。