X86匯編語言學習

1、 . X86匯編語言學習手記X86匯編語言學習手記(1)1. 編譯環(huán)境    OS: Solaris 9 X86    Compiler: gcc 3.3.2    Linker: Solaris Link Editors 5.x    Debug Tool: mdb    Editor: vi    注：關于編譯環(huán)境的安裝和設置，可以參考文章：Solaris 上的開發(fā)環(huán)境安裝與設置。        mdb是Sola

2、ris提供的kernel debug工具，這里用它做反匯編和匯編語言調試工具。        如果在Linux平臺可以用gdb進行反匯編和調試。 2. 最簡C代碼分析     為簡化問題，來分析一下最簡的c代碼生成的匯編代碼：     # vi test1.c            int main()         

3、;    return 0;                  編譯該程序，產(chǎn)生二進制文件：     # gcc test1.c -o test1     # file test1       test1: ELF 32-bit LSB executable 80386 Version 1, dynamically linked

4、, not stripped      test1是一個ELF格式32位小端(Little Endian)的可執(zhí)行文件，動態(tài)并且符號表沒有去除。     這正是Unix/Linux平臺典型的可執(zhí)行文件格式。     用mdb反匯編可以觀察生成的匯編代碼：     # mdb test1     Loading modules: libc.so.1     > main:dis  &

5、#160;                    ; 反匯編main函數(shù)，mdb的命令一般格式為  <地址>:dis     main:          pushl   %ebp     

6、0; ; ebp寄存器容壓棧，即保存main函數(shù)的上級調用函數(shù)的?；刂?    main+1:        movl    %esp,%ebp  ; esp值賦給ebp，設置main函數(shù)的?；?    main+3:          subl    $8,%esp    

7、 main+6:          andl    $0xf0,%esp     main+9:          movl    $0,%eax     main+0xe:        subl  

8、0; %eax,%esp     main+0x10:     movl    $0,%eax    ; 設置函數(shù)返回值0     main+0x15:     leave              ; 將ebp值賦給esp，pop先前棧的上級函數(shù)棧的基地址給ebp，恢

9、復原?；?    main+0x16:     ret                ; main函數(shù)返回，回到上級調用     >      注：這里得到的匯編語言語法格式與Intel的手冊有很大不同，Unix/Linux采用AT&T匯編格式作為匯編語言的語法格式   &

10、#160;      如果想了解AT&T匯編可以參考文章：Linux AT&T 匯編語言開發(fā)指南      問題：誰調用了 main函數(shù)？            在C語言的層面來看，main函數(shù)是一個程序的起始入口點，而實際上，ELF可執(zhí)行文件的入口點并不是main而是_start。      mdb也可以反匯編_start：    

11、;         > _start:dis                       ;從_start 的地址開始反匯編     _start:          

12、60;   pushl   $0     _start+2:            pushl   $0     _start+4:            movl    %esp,%ebp    

13、_start+6:            pushl   %edx     _start+7:            movl    $0x80504b0,%eax     _start+0xc:      &

14、#160;   testl   %eax,%eax     _start+0xe:          je      +0xf            <_start+0x1d>     _start+0x10:  &#

15、160;      pushl   $0x80504b0     _start+0x15:         call    -0x75           <atexit>     _start+0x1a:   

16、60;     addl    $4,%esp     _start+0x1d:         movl    $0x8060710,%eax     _start+0x22:         testl   %eax,%eax   &#

17、160; _start+0x24:         je      +7              <_start+0x2b>     _start+0x26:         call  

18、0; -0x86           <atexit>     _start+0x2b:         pushl   $0x80506cd     _start+0x30:         call    -0x9

19、0           <atexit>     _start+0x35:         movl    +8(%ebp),%eax     _start+0x38:         leal    +0x

20、10(%ebp,%eax,4),%edx     _start+0x3c:         movl    %edx,0x8060804     _start+0x42:         andl    $0xf0,%esp     _start+0x45:  

21、0;      subl    $4,%esp     _start+0x48:         pushl   %edx     _start+0x49:         leal    +0xc(%ebp),%edx   &#

22、160; _start+0x4c:         pushl   %edx     _start+0x4d:         pushl   %eax     _start+0x4e:         call    +0x15

23、2          <_init>     _start+0x53:         call    -0xa3           <_fpstart>     _start+0x58:  &

24、#160;     call    +0xfb        <main>              ;在這里調用了main函數(shù)     _start+0x5d:         addl 

25、0;  $0xc,%esp     _start+0x60:         pushl   %eax     _start+0x61:         call    -0xa1           <exit&

26、gt;     _start+0x66:         pushl   $0     _start+0x68:         movl    $1,%eax     _start+0x6d:         lcal

27、l   $7,$0     _start+0x74:         hlt     >      問題：為什么用EAX寄存器保存函數(shù)返回值？     實際上IA32并沒有規(guī)定用哪個寄存器來保存返回值。但如果反匯編Solaris/Linux的二進制文件，就會發(fā)現(xiàn)，都用EAX保存函數(shù)返回值。     這不是偶然現(xiàn)象，是操作系統(tǒng)的ABI

28、(Application Binary Interface)來決定的。     Solaris/Linux操作系統(tǒng)的ABI就是Sytem V ABI。     概念：SFP (Stack Frame Pointer) ?？蚣苤羔?#160;     正確理解SFP必須了解：         IA32 的棧的概念         CPU 中32位寄存器ESP/EBP的作

29、用         PUSH/POP 指令是如何影響棧的         CALL/RET/LEAVE 等指令是如何影響棧的     如我們所知：     1)IA32的棧是用來存放臨時數(shù)據(jù)，而且是LIFO，即后進先出的。棧的增長方向是從高地址向低地址增長，按字節(jié)為單位編址。     2) EBP是?；返闹羔?，永遠指向棧底（高地址），ESP是棧指針，永遠指向棧頂（低

30、地址）。     3) PUSH一個long型數(shù)據(jù)時，以字節(jié)為單位將數(shù)據(jù)壓入棧，從高到低按字節(jié)依次將數(shù)據(jù)存入ESP-1、ESP-2、ESP-3、ESP-4的地址單元。     4) POP一個long型數(shù)據(jù)，過程與PUSH相反，依次將ESP-4、ESP-3、ESP-2、ESP-1從棧彈出，放入一個32位寄存器。     5) CALL指令用來調用一個函數(shù)或過程，此時，下一條指令地址會被壓入堆棧，以備返回時能恢復執(zhí)行下條指令。     6) RET指令用來從一個函數(shù)或過程返回，

31、之前CALL保存的下條指令地址會從棧彈出到EIP寄存器中，程序轉到CALL之前下條指令處執(zhí)行     7) ENTER是建立當前函數(shù)的?？蚣?，即相當于以下兩條指令：         pushl   %ebp         movl    %esp,%ebp     8) LEAVE是釋放當前函數(shù)或者過程的?？蚣埽聪喈斢谝韵聝蓷l指令：  

32、;       movl ebp esp         popl  ebp     如果反匯編一個函數(shù)，很多時候會在函數(shù)進入和返回處，發(fā)現(xiàn)有類似如下形式的匯編語句：                   pushl   %ebp  

33、;          ; ebp寄存器容壓棧，即保存main函數(shù)的上級調用函數(shù)的棧基地址         movl    %esp,%ebp       ; esp值賦給ebp，設置 main函數(shù)的?；?        .    

34、0;        ; 以上兩條指令相當于 enter 0,0         .         leave                   ; 將ebp值賦給esp，pop先前棧的上級函數(shù)棧的基地址給e

35、bp，恢復原?；?        ret                     ; main函數(shù)返回，回到上級調用     這些語句就是用來創(chuàng)建和釋放一個函數(shù)或者過程的棧框架的。     原來編譯器會自動在函數(shù)入口和出口處插入創(chuàng)建和釋放?？蚣艿恼Z句。  &

36、#160;  函數(shù)被調用時：     1) EIP/EBP成為新函數(shù)棧的邊界     函數(shù)被調用時，返回時的EIP首先被壓入堆棧；創(chuàng)建?？蚣軙r，上級函數(shù)棧的EBP被壓入堆棧，與EIP一道行成新函數(shù)?？蚣艿倪吔?    2) EBP成為?？蚣苤羔楽FP，用來指示新函數(shù)棧的邊界     棧框架建立后，EBP指向的棧的容就是上一級函數(shù)棧的EBP，可以想象，通過EBP就可以把層層調用函數(shù)的棧都回朔遍歷一遍，調試器就是利用這個特性實現(xiàn) backtrace功能的  &

37、#160;  3) ESP總是作為棧指針指向棧頂，用來分配?？臻g     棧分配空間給函數(shù)局部變量時的語句通常就是給ESP減去一個常數(shù)值，例如，分配一個整型數(shù)據(jù)就是 ESP-4     4) 函數(shù)的參數(shù)傳遞和局部變量訪問可以通過SFP即EBP來實現(xiàn)      由于棧框架指針永遠指向當前函數(shù)的?；刂?，參數(shù)和局部變量訪問通常為如下形式：         +8+xx(%ebp)   

38、0;     ; 函數(shù)入口參數(shù)的的訪問         -xx(%ebp)           ; 函數(shù)局部變量訪問                  假如函數(shù)A調用函數(shù)B，函數(shù)B調用函數(shù)C ，則函數(shù)棧框架與調用關系如下圖所示： b:771

39、101bbb0下圖有點亂，因此刪去部分容，要看原圖可參考我的blog/b:771101bbb0 +-+-> 高地址 | EIP (上級函數(shù)返回地址)  |     +-+   | EBP (上級函數(shù)的EBP)     |  +-+ | Local Variables            |    | .  &#

40、160;                       |  +-+   | Arg n(函數(shù)B的第n個參數(shù)) |   +-+ | Arg .(函數(shù)B的第.個參數(shù))   |  +-+  | Arg 1(函數(shù)B的第1個參數(shù)) |  +-+   | Arg 0(函數(shù)

41、B的第0個參數(shù)) |  +-+   EIP (A函數(shù)的返回地址)      | +-+  | EBP (A函數(shù)的EBP)          | +-+   | Local Variables             |   | .  

42、60;                        |    +-+  | Arg n(函數(shù)C的第n個參數(shù)) |   +-+    | Arg .(函數(shù)C的第.個參數(shù))   |   +-+   | Arg 1(函數(shù)C的

43、第1個參數(shù)) |  +-+   | Arg 0(函數(shù)C的第0個參數(shù)) |   +-+    | EIP (B函數(shù)的返回地址)     |  +-+  | EBP (B函數(shù)的EBP)          |  +-+ | Local Variables         &#

44、160;   | | .                           |  +-+-> 低地址    圖 1-1              再分析test1反匯編結果

45、中剩余部分語句的含義：              # mdb test1     Loading modules: libc.so.1     > main:dis                     

46、0;  ; 反匯編main函數(shù)     main:          pushl   %ebp                              

47、60;  main+1:        movl    %esp,%ebp        ; 創(chuàng)建Stack Frame(棧框架)     main+3:       subl    $8,%esp       ; 通過ESP-8來分配8字

48、節(jié)堆?？臻g     main+6:       andl    $0xf0,%esp    ; 使棧地址16字節(jié)對齊     main+9:       movl    $0,%eax       ; 無意義     main+0xe:&#

49、160;    subl    %eax,%esp     ; 無意義     main+0x10:     movl    $0,%eax          ; 設置main函數(shù)返回值     main+0x15:     leave&#

50、160;                   ; 撤銷Stack Frame(棧框架)     main+0x16:     ret                  &

51、#160;   ; main 函數(shù)返回     >     以下兩句似乎是沒有意義的，果真是這樣嗎？         movl    $0,%eax          subl     %eax,%esp         &

52、#160;   用gcc的O2級優(yōu)化來重新編譯test1.c:     # gcc -O2 test1.c -o test1     # mdb test1     > main:dis     main:         pushl   %ebp     main+1:    &#

53、160;  movl    %esp,%ebp     main+3:       subl    $8,%esp     main+6:       andl    $0xf0,%esp     main+9:       xo

54、rl    %eax,%eax      ; 設置main返回值，使用xorl異或指令來使eax為0     main+0xb:     leave     main+0xc:     ret     >      新的反匯編結果比最初的結果要簡潔一些，果然之前被認為無用的語句被優(yōu)化掉了，進一步驗證了之

55、前的猜測。     提示：編譯器產(chǎn)生的某些語句可能在程序實際語義上沒有用處，可以用優(yōu)化選項去掉這些語句。     問題：為什么用xorl來設置eax的值？     注意到優(yōu)化后的代碼中，eax返回值的設置由 movl $0,%eax 變?yōu)?xorl %eax,%eax ，這是因為IA32指令中，xorl比movl有更高的運行速度。     概念：Stack aligned 棧對齊     那么，以下語句到底是和作用呢？   &

56、#160;     subl    $8,%esp        andl    $0xf0,%esp     ; 通過andl使低4位為0，保證棧地址16字節(jié)對齊             表面來看，這條語句最直接的后果是使ESP的地址后4位為0，即16字節(jié)對齊，那么為什么這么做呢？  &

57、#160;  原來，IA32 系列CPU的一些指令分別在4、8、16字節(jié)對齊時會有更快的運行速度，因此gcc編譯器為提高生成代碼在IA32上的運行速度，默認對產(chǎn)生的代碼進行16字節(jié)對齊         andl $0xf0,%esp 的意義很明顯，那么 subl $8,%esp 呢，是必須的嗎？     這里假設在進入main函數(shù)之前，棧是16字節(jié)對齊的話，那么，進入main函數(shù)后，EIP和EBP被壓入堆棧后，棧地址最末4位二進制位必定是 1000，esp -8則恰好使后4位地址二進制

58、位為0000?？磥?，這也是為保證棧16字節(jié)對齊的。     如果查一下gcc的手冊，就會發(fā)現(xiàn)關于棧對齊的參數(shù)設置：     -mpreferred-stack-boundary=n    ; 希望棧按照2的n次的字節(jié)邊界對齊, n的取值圍是2-12     默認情況下，n是等于4的，也就是說，默認情況下，gcc是16字節(jié)對齊，以適應IA32大多數(shù)指令的要求。     讓我們利用-mpreferred-stack-boundary=2來去除棧對齊指

59、令：            # gcc -mpreferred-stack-boundary=2 test1.c -o test1             > main:dis     main:       pushl   %ebp     main+1:

60、60;    movl    %esp,%ebp     main+3:     movl    $0,%eax     main+8:     leave     main+9:     ret     >      可以

61、看到，棧對齊指令沒有了，因為，IA32的棧本身就是4字節(jié)對齊的，不需要用額外指令進行對齊。     那么，?？蚣苤羔楽FP是不是必須的呢？     # gcc -mpreferred-stack-boundary=2 -fomit-frame-pointer test1.c -o test     > main:dis     main:       movl    $0,%eax

62、     main+5:     ret     >      由此可知，-fomit-frame-pointer 可以去除SFP。             問題：去除SFP后有什么缺點呢？             1)增加調式難度  

63、0;      由于SFP在調試器backtrace的指令中被使用到，因此沒有SFP該調試指令就無法使用。     2)降低匯編代碼可讀性         函數(shù)參數(shù)和局部變量的訪問，在沒有ebp的情況下，都只能通過+xx(esp)的方式訪問，而很難區(qū)分兩種方式，降低了程序的可讀性。             問題：去除SFP有什么優(yōu)點呢？  

64、;           1)節(jié)省?？臻g     2)減少建立和撤銷?？蚣艿闹噶詈?，簡化了代碼     3)使ebp空閑出來，使之作為通用寄存器使用，增加通用寄存器的數(shù)量     4)以上3點使得程序運行速度更快     概念：Calling Convention  調用約定和 ABI (Application Binary Interface) 應用程序二進制接口  

65、                 函數(shù)如何找到它的參數(shù)？         函數(shù)如何返回結果？         函數(shù)在哪里存放局部變量？         那一個硬件寄存器是起始空間？      

66、;   那一個硬件寄存器必須預先保留？     Calling Convention  調用約定對以上問題作出了規(guī)定。Calling Convention也是ABI的一部分。     因此，遵守一樣ABI規(guī)的操作系統(tǒng)，使其相互間實現(xiàn)二進制代碼的互操作成為了可能。     例如：由于Solaris、Linux都遵守System V的ABI，Solaris 10就提供了直接運行Linux二進制程序的功能。     詳見文章：關注： Solaris 1

67、0的10大新變化                3. 小結     本文通過最簡的C程序，引入以下概念：         SFP ?？蚣苤羔?        Stack aligned 棧對齊         Calli

68、ng Convention  調用約定 和 ABI (Application Binary Interface) 應用程序二進制接口     今后，將通過進一步的實驗，來深入了解這些概念。通過掌握這些概念，使在匯編級調試程序產(chǎn)生的core dump、掌握C語言高級調試技巧成為了可能。X86匯編語言學習手記(2)這是作者在學習X86匯編過程中的學習筆記，難免有錯誤和疏漏之處，歡迎指正。作者將隨時修改錯誤并將新的版本發(fā)布在自己的Blog站點上。嚴格說來，本篇文檔更側重于C語言和C編譯器方面的知識，如果涉與到基本的匯編語言的容，可以參考相關文檔。 自X86 匯

69、編語言學習手記(1)在作者的Blog上發(fā)布以來，得到了很多網(wǎng)友的肯定和鼓勵，并且還有熱心網(wǎng)友指出了其中的錯誤，b:bea66ddae0作者已經(jīng)將文檔中已發(fā)現(xiàn)的錯誤修正后更新在Blog上。/b:bea66ddae0     上一篇文章通過分析一個最簡的C程序，引出了以下概念：         Stack Frame 棧框架 和 SFP ?？蚣苤羔?        Stack aligned 棧對齊   

70、60;     Calling Convention  調用約定 和 ABI (Application Binary Interface) 應用程序二進制接口     本章中，將通過進一步的實驗，來深入了解這些概念。如果還不了解這些概念，可以參考 X86匯編語言學習手記(1)。          1. 局部變量的棧分配     上篇文章已經(jīng)分析過一個最簡的C程序，     下面

71、我們分析一下C編譯器如何處理局部變量的分配，為此先給出如下程序：     #vi test2.c      int main()             int i;         int j=2;         i=3;      &

72、#160;  i=+i;         return i+j;         編譯該程序，產(chǎn)生二進制文件，并利用mdb來觀察程序運行中的stack的狀態(tài)：     #gcc test2.c -o test2     #mdb test2     Loading modules: libc.so.1     > main:dis

73、    main:           pushl   %ebp     main+1:         movl    %esp,%ebp          ; main至main+1，創(chuàng)建Stack Frame &#

74、160;   main+3:         subl    $8,%esp            ; 為局部變量i,j分配?？臻g，并保證棧16字節(jié)對齊     main+6:         andl    $0xf0

75、,%esp     main+9:         movl    $0,%eax     main+0xe:       subl    %eax,%esp          ; main+6至main+0xe，再次保證棧16字節(jié)對齊 

76、    main+0x10:      movl    $2,-8(%ebp)        ; 初始化局部變量j的值為2     main+0x17:      movl    $3,-4(%ebp)        ; 給局部變量i賦值為

77、3     main+0x1e:      leal    -4(%ebp),%eax      ; 將局部變量i的地址裝入到EAX寄存器中     main+0x21:      incl    (%eax)          

78、   ; i+     main+0x23:      movl    -8(%ebp),%eax      ; 將j的值裝入EAX     main+0x26:      addl    -4(%ebp),%eax      ; i+j并將結果存入EAX，作

79、為返回值     main+0x29:      leave                    ; 撤銷Stack Frame      main+0x2a:      ret     

80、                 ; main函數(shù)返回     >      > main+0x10:b         ; 在地址 main+0x10處設置斷點     > main+0x1e:b   

81、0;     ; 在main+0x1e設置斷點     > main+0x29:b         ; 在main+0x1e設置斷點     > main+0x2a:b         ; 在main+0x1e設置斷點           

82、;   下面的mdb的4個命令在一行輸入，中間用分號間隔開，命令的含義在注釋中給出：     > :r;<esp,10/nap;<ebp=X;<eax=X    ; 運行程序(:r 命令)     mdb: stop at main+0x10               ; 以ESP寄存器為起始地址，指定格式輸出16字節(jié)的棧

83、容(<esp,10/nap 命令)     mdb: target stopped at:                ; 在最后輸出EBP和EAX寄存器的值(<ebp=X 命令 和<eax=X 命令)     main+0x10:      movl    $2,-8(%ebp)

84、0;   ; 程序運行后在main +0x10處指令執(zhí)行前中斷，此時棧分配后還未初始化     0x8047db0:           0x8047db0:      0xddbebca0             ; 這是變量j，4字節(jié)，未初始化，此處為棧頂，ESP的值就是0x8047d

85、b0        0x8047db4:      0xddbe137f             ; 這是變量i， 4字節(jié)，未初始化     0x8047db8:      0x8047dd8        &

86、#160;     ; 這是_start的SFP(_start的EBP),4字節(jié)，由main 的SFP指向它     0x8047dbc:      _start+0x5d            ; 這是_start調用main之前壓棧的下條指令地址，main返回后將恢復給EIP     0x8047dc0:  

87、60;   1                    0x8047dc4:      0x8047de4            0x8047dc8:      0x8047dec  

88、;          0x8047dcc:      _start+0x35          0x8047dd0:      _fini                0x8047dd4: 

89、;     ld.so.1atexit_fini     0x8047dd8:      0                      ; _start的SFP指向的容為0，證明_start是程序的入口     0x8047ddc:

90、0;     0                    0x8047de0:      1                    0x8047de4:

91、      0x8047eb4            0x8047de8:      0                    0x8047dec:      0x804

92、7eba                            8047db8              ; 這是main當前EBP寄存器的值，即main的SFP     

93、;                0                  ; EAX的值，當前為0     > :c;<esp,10/nap;<ebp=X;<eax=X    ; 繼續(xù)運行程序(:c

94、 命令)，其余3命令同上，打印16字節(jié)棧和EBP,EAX容     mdb: stop at main+0x1e     mdb: target stopped at:     main+0x1e:      leal    -4(%ebp),%eax  ; 程序運行到斷點main+0x1e處停止，此時局部變量i,j賦值已完成     0x8047db0:  

95、0;        0x8047db0:      2                      ; 這是變量j，4字節(jié)，值為2，此處為棧頂，ESP的值就是0x8047db0     0x8047db4:    

96、;  3                      ; 這是變量i，4字節(jié)，值為3      0x8047db8:      0x8047dd8            &

97、#160; ; 這是_start的SFP，4字節(jié)     0x8047dbc:      _start+0x5d            ; 這是返回_start后的EIP     0x8047dc0:      1         

98、0;          0x8047dc4:      0x8047de4            0x8047dc8:      0x8047dec            0x8047dcc:  &#

99、160;   _start+0x35          0x8047dd0:      _fini                0x8047dd4:      ld.so.1atexit_fini     0x8047dd8:&

100、#160;     0                    0x8047ddc:      0                    0x8047d

101、e0:      1                    0x8047de4:      0x8047eb4            0x8047de8:      0&

102、#160;                   0x8047dec:      0x8047eba                        &#

103、160;   8047db8              ; 這是main當前EBP寄存器的值，即main的SFP                     0        

104、0;         ; EAX的值，當前為0     > :c;<esp,10/nap;<ebp=X;<eax=X    ; 繼續(xù)運行程序，打印16字節(jié)棧和EBP,EAX容     mdb: stop at main+0x29     mdb: target stopped at:     main+0x29:  

105、0;   leave                  ; 運行到斷點main+0x29處停止，計算已經(jīng)完成，即將撤銷Stack Frame     0x8047db0:           0x8047db0:      2 &

106、#160;                    ; 這是變量j，4字節(jié)，值為2，此處為棧頂，ESP的值就是0x8047db0            0x8047db4:      4      &#

107、160;               ; 這是i+以后的變量i，4字節(jié)，值為3     0x8047db8:      0x8047dd8              ; 這是_start的SFP，4字節(jié)     0x80

108、47dbc:      _start+0x5d            ; 這是返回_start后的EIP     0x8047dc0:      1                  

109、60; 0x8047dc4:      0x8047de4            0x8047dc8:      0x8047dec            0x8047dcc:      _start+0x35   &#

110、160;      0x8047dd0:      _fini                0x8047dd4:      ld.so.1atexit_fini     0x8047dd8:      0   

111、;                 0x8047ddc:      0                    0x8047de0:      1  &

112、#160;                 0x8047de4:      0x8047eb4            0x8047de8:      0        &

113、#160;           0x8047dec:      0x8047eba                            8047db8    

114、          ; 這是main當前EBP寄存器的值，即main的SFP                             6        

115、0;         ; EAX的值，即函數(shù)的返回值，當前為6                    > :c;<esp,10/nap;<ebp=X;<eax=X    ; 繼續(xù)運行程序，打印16字節(jié)棧和EBP,EAX容     mdb: stop at

116、main+0x2a     mdb: target stopped at:     main+0x2a:      ret                  ; 運行到斷點main+0x2a處停止，Stack Frame已被撤銷，main即將返回     0x8047dbc: &

117、#160;         0x8047dbc:      _start+0x5d            ; Stack Frame已經(jīng)被撤銷，棧頂是返回_start后的EIP，main的棧已被釋放     0x8047dc0:      1    

118、                0x8047dc4:      0x8047de4            0x8047dc8:      0x8047dec         

119、60;  0x8047dcc:      _start+0x35          0x8047dd0:      _fini                0x8047dd4:      ld.so.1atexit_f

120、ini     0x8047dd8:      0                    0x8047ddc:      0              

121、;      0x8047de0:      1                    0x8047de4:      0x8047eb4            0x8047de8

122、:      0                    0x8047dec:      0x8047eba            0x8047df0:      0x80

123、47ed6            0x8047df4:      0x8047edd            0x8047df8:      0x8047ee4            

124、0;               8047dd8            ; _start的SFP,之前存儲在地址0x8047db8處，main的Stack Frame撤銷時恢復              

125、60;             6                 ; EAX的值，即函數(shù)的返回值，當前為6                  

126、60; > :s;<esp,10/nap;<ebp=X;<eax=X   ; 單步執(zhí)行下條指令(:s 命令)，打印16字節(jié)棧和EBP,EAX容     mdb: target stopped at:     _start+0x5d:    addl    $0xc,%esp     ; 此時main已經(jīng)返回，_start+0x5d曾經(jīng)存儲在地址0x8047dbc處   &#

127、160; 0x8047dc0:           0x8047dc0:      1                      ; main已經(jīng)返回，_start +0x5d已經(jīng)被彈出     0x8047dc4:&#

128、160;     0x8047de4            0x8047dc8:      0x8047dec            0x8047dcc:      _start+0x35       

129、;   0x8047dd0:      _fini                0x8047dd4:      ld.so.1atexit_fini     0x8047dd8:      0     

130、60;                ; _start的SFP指向的容為0，證明_start是程序的入口                    0x8047ddc:      0   

131、60;                0x8047de0:      1                    0x8047de4:      0x8047eb4 

132、60;          0x8047de8:      0                    0x8047dec:      0x8047eba        &#

133、160;   0x8047df0:      0x8047ed6            0x8047df4:      0x8047edd            0x8047df8:      0x8047ee4 

134、60;          0x8047dfc:      0x8047ef3                            8047dd8     &#

135、160;      ; _start的SFP,之前存儲在地址0x8047db8處，main的Stack Frame撤銷時恢復                       6                 ; EAX的值為6，還是main函數(shù)的返回值                     >      通過m