缓冲区溢出解密二

而如果ESP被PUSH到堆栈，这是堆栈的表示：

|_parametre_I___| EBP 12

|_parametre II__| EBP 8

|return adress| EBP 4

|savedESP_| EBP ESP

|_local var I __| EBP-4

|_local var II__| EBP-8

在上面的图中，变量I 和II是传递给函数的参数。在返回地址和保存ESP之后，var I和II是函数的局部变量。现在，如果我们总结所有我们所讲的，当调用一个函数的时候：

1.我们保存老的堆栈指针，PUSH它到堆栈 2.我们保存下一个指令的地址(返回地址)，PUSH它到堆栈。3.我们开始执行程序指令。

当我们调用一个函数时，上面3步都做了。

让我们在一个生动的例子中看堆栈的操作。

a.c :

void f(int a, int b, int c)

{

char z[4];

}

void main()

{

f(1, 2, 3);

}

用-g标志编译这个从而能够调试：

[murat@victim murat]$ gcc -g a.c -o a

让我们看看这里发生了什么：

[murat@victim murat]$ gdb -q ./a

(gdb) disas main

Dump of assembler code for function main:

0x8048448 : pushl雙

0x8048449 : movl %esp,雙

0x804844b : pushl$0x3

0x804844d : pushl$0x2

0x804844f : pushl$0x1

0x8048451 : call 0x8048440

0x8048456 :addl $0xc,%esp

0x8048459 :leave

0x804845a :ret

End of assembler dump.

(gdb)

以上可见，main()函数中第一个指令是：

0x8048448 : pushl 雙

它支持老的指针，并把它压入堆栈。接着，拷贝老的堆栈指针倒ebp寄存器：

0x8048449 : movl %esp,雙

因而，从那时起，在函数中，我们将用EBP引用函数的局部变量。这两个指令被称为”程序引入”。接着，我们反序PUSH函数f()的参数到堆栈中。

0x804844b : pushl$0x3

0x804844d : pushl$0x2

0x804844f : pushl$0x1

我们调用这个函数：

0x8048451 : call 0x8048440

如我们已经通过CALL调用解释的那样，我们PUSH指令addl $0xc,%esp的地址0x8048456到堆栈。函数RET调用后，我们加12或者十六进制中的0xc(因为我们推入3个参数到堆栈中，每一个分配了4个字节(整型))。

接着我们离开main()函数，并且返回：

0x8048459 :leave

0x804845a :ret

好，在函数f()内部发生了什么呢？

(gdb)

disas f

Dump of assembler code for function f:

0x8048440 :pushl雙

0x8048441 :movl %esp,雙

0x8048443 :subl $0x4,%esp

0x8048446 :leave

0x8048447 :ret

End of assembler dump.

(gdb)

开始两个指令都是一样的。它们是程序引入。接着我们看a：

0x8048443 : subl $0x4,%esp

从ESP减去了4个字节。这是为局部变量z分配空间。记得我们定义它为char z[4]？它是一个4字节的字符数组。最后，在末尾，函数返回：

0x8048446 :leave

0x8048447 :ret