11

如果我运行一个程序，就像

#include <stdio.h>
int main(int argc, char *argv[], char *env[]) {
  printf("My references are at %p, %p, %p\n", &argc, &argv, &env);
}

我们可以看到这些区域实际上在堆栈中。但还有什么？如果我们循环遍历 Linux 3.5.3 中的所有值（例如，直到 segfault），我们可以看到一些奇怪的数字，以及由一堆零分隔的两个区域，可能是为了防止覆盖环境变量偶然。

无论如何，在第一个区域中必须有很多数字，例如每个函数调用的所有帧。

我们如何区分每一帧的结束，参数在哪里，如果编译器添加了一个金丝雀，返回地址，CPU状态等等？

4

4 回答 4

5

如果不了解覆盖，您只能看到位或数字。虽然某些区域受机器细节的影响，但很多细节都是相当标准的。

如果您没有在嵌套例程之外移动太远，那么您可能正在查看内存的调用堆栈部分。对于一些通常被认为“不安全”的 C，您可以编写访问函数变量的有趣函数，即使这些变量没有像源代码中所写的那样“传递”给函数。

调用堆栈是一个很好的起点，因为 3rd 方库必须可由尚未编写的程序调用。因此，它是相当标准化的。

超出进程内存边界会给您带来可怕的分段违规，因为内存防护将检测到进程访问未授权内存的尝试。Malloc 所做的不仅仅是“只是”返回一个指针，在具有内存分段功能的系统上，它还“标记”该进程可访问的内存，并检查所有内存访问是否违反了进程分配。

如果你一直走这条路，迟早你会对内核或对象格式感兴趣。研究一种使用 Linux 完成工作的方式要容易得多，因为这里有源代码。拥有源代码使您无需通过查看二进制文件来对数据结构进行逆向工程。开始时，困难的部分将是学习如何找到正确的标题。稍后它将学习如何四处寻找并可能改变在非修补条件下你可能不应该改变的东西。

PS。您可能会将此内存视为“堆栈”，但一段时间后，您会发现它实际上只是一大块可访问内存，其中一部分被视为堆栈......

于 2012-09-15T12:59:16.690 回答
4

堆栈的内容基本上是：

  • 无论操作系统传递给程序什么。
  • 调用帧（也称为堆栈帧、激活区域……）

操作系统将什么传递给程序？典型的 *nix 会将环境、参数传递给程序，可能还有一些辅助信息，以及指向它们的指针以传递给main().

在 Linux 中，您将看到：

  • 一个空
  • 程序的文件名。
  • 环境字符串
  • 参数字符串（包括argv[0]）
  • 填充全零
  • auxv数组，用于将信息从内核传递给程序
  • 指向环境字符串的指针，以 NULL 指针结尾
  • 指向参数字符串的指针，以 NULL 指针结尾
  • argc

然后，下面是堆栈帧，其中包含：

  • 论据
  • 退货地址
  • 可能是帧指针的旧值
  • 可能是金丝雀
  • 局部变量
  • 一些填充，用于对齐目的

你怎么知道每个堆栈帧中哪个是哪个？编译器知道，所以它只是适当地处理它在堆栈帧中的位置。如果可用，调试器可以以调试信息的形式为每个函数使用注释。否则，如果存在帧指针，您可以识别与它相关的事物：局部变量位于帧指针下方，参数位于堆栈指针上方。否则，您必须使用启发式方法，看起来像代码地址的东西可能是代码地址，但有时这会导致不正确且烦人的堆栈跟踪。

于 2012-09-15T13:45:27.780 回答
3

堆栈的内容将根据架构ABI、编译器以及可能的各种编译器设置和选项而有所不同。

一个好的起点是为您的目标架构发布的 ABI，然后检查您的特定编译器是否符合该标准。最终，您可以分析编译器的汇编器输出或观察调试器中的指令级操作。

还要记住，编译器不需要初始化堆栈，并且当它完成时肯定不会“清除它”，因此当它被分配给进程或线程时，它可能包含任何值 - 即使在开机时, 例如，SDRAM 将不包含任何特定或可预测的值，如果物理 RAM 地址先前已被另一个进程使用，或者甚至在同一进程中更早调用的函数，则内容将包含该进程留在其中的任何内容。因此，仅查看原始堆栈并不能告诉您太多信息。

通常，一个通用堆栈帧可能包含函数返回时控件将跳转到的地址、传递的所有参数的值以及函数中所有自动局部变量的值。但是，例如 ARM ABI 将前四个参数传递给寄存器 R0 到 R3 中的函数，并将叶函数的返回值保存在 LR 寄存器中，因此它在所有情况下都不像“典型”实现 I有建议。

于 2012-09-15T13:26:30.897 回答
2

细节很大程度上取决于您的环境。操作系统通常定义一个 ABI，但实际上这仅对系统调用强制执行。

实际上，每种语言（以及每个编译器，即使它们编译相同的语言）可能会做一些不同的事情。

但是，至少在与动态加载的库接口的意义上，存在某种系统范围的约定。

然而，细节差异很大。

一个非常简单的“入门”可能是http://kernelnewbies.org/ABI

您可以查看一个非常详细和完整的规范，以了解定义 ABI 所涉及的复杂程度和细节是“System V Application Binary Interface AMD64 Architecture Processor Supplement” http://www.x86-64。 org/documentation/abi.pdf

于 2012-09-15T13:34:29.663 回答