g++4.8 的堆栈内容

Question

我写了这段简单的代码来测试缓冲区溢出：

#include <stdio.h>
#include <string.h>
using namespace std;
int f(int x, int y, char *s){
   char buf[4];
   strcpy(buf,s);
   return 0;
}
int main(int argc, char** argv){
   f(2,3,argv[1]);
   return 0;
}

然后用gdb(g++ 4.8.4)编译查看其执行情况

g++ -g -fno-stack-protector -o bo bo.c
gdb bo
...
   b f
   r  "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA"
   p $rbp // 0x7fffffffdc90
   p $rsp // 0x7fffffffdc70
   x/20xw $rsp
     0x7fffffffdc70:    0xffffe0ef  0x00007fff  0x00000003  0x00000002
     0x7fffffffdc80:    0xffffdcb0  0x00007fff  0x00000000  0x00000000
     0x7fffffffdc90:    0xffffdcb0  0x00007fff  0x00400585  0x00000000
     0x7fffffffdca0:    0xffffdd98  0x00007fff  0x00000000  0x00000002
     0x7fffffffdcb0:    0x00000000  0x00000000  0xf7a36ec5  0x00007fff

我的理解是堆栈向下增长到较低的地址，但看起来这个堆栈帧（来自0x7fffffffdc90 - 0x7fffffffdc90）正在向上增长：参数被向上推（s，y 然后 x）。这是为什么？

看起来 return 地址 (0x00400585) 首先被推送。但是后面的词是什么意思呢？他们是：

已保存 $rbp$ ?
接下来的2个字是什么？

Answer 1

要查看调用 f 后堆栈发生了什么，请在 gdb 中调用反汇编程序：

(gdb) disas
Dump of assembler code for function f(int, int, char*):
   0x000000000040052d <+0>: push   %rbp
   0x000000000040052e <+1>: mov    %rsp,%rbp
   0x0000000000400531 <+4>: sub    [=10=]x20,%rsp
   0x0000000000400535 <+8>: mov    %edi,-0x14(%rbp)
   0x0000000000400538 <+11>:    mov    %esi,-0x18(%rbp)
   0x000000000040053b <+14>:    mov    %rdx,-0x20(%rbp)
   0x000000000040053f <+18>:    mov    -0x20(%rbp),%rdx
   0x0000000000400543 <+22>:    lea    -0x10(%rbp),%rax
   0x0000000000400547 <+26>:    mov    %rdx,%rsi
   0x000000000040054a <+29>:    mov    %rax,%rdi
=> 0x000000000040054d <+32>:    callq  0x400410 <strcpy@plt>
   0x0000000000400552 <+37>:    mov    [=10=]x0,%eax
   0x0000000000400557 <+42>:    leaveq 
   0x0000000000400558 <+43>:    retq

在调用 strcpy 之前，堆栈看起来像（我使用 64 位格式而不是 32 位格式）：

(gdb) x/6xg $rsp
0x7fffffffddb0: 0x00007fffffffe297  0x0000000200000003
0x7fffffffddc0: 0x00007fffffffddf0  0x0000000000000000
0x7fffffffddd0: 0x00007fffffffddf0  0x0000000000400585

所以你可以看到：

0x0000000000400585 - return 函数地址 f.
就在它旁边 0x00007fffffffddf0 - 被 0x000000000040052d <+0>: push %rbp
接下来的 4 个值通过 0x0000000000400531 <+4>: sub [=18=]x20,%rsp
您可以看到参数 2 和 3 在调用 strcpy 之前保存在堆栈中（0x0000000200000003- 因为 ints只有 4 个字节长）。

您还可以从反汇编中推断出堆栈上的其他值。

堆栈的顶部在开头（地址0x7fffffffddb0）并且地址变大（例如第三行的0x7fffffffddd0）所以你可以看到堆栈确实向下增长但是由 gdb 颠倒显示。

g++4.8 的堆栈内容

Stack content for g++4.8

c++

stack-overflow

debugging

assembly

gdb