函数栈帧的创建与销毁

函数栈帧简介

我们在编程的过程中经常会听见函数栈帧这个词汇，那到底什么是函数栈帧呢？接下来就为大家解答一下，我们都知道，一个函数的创建是需要去开辟空间的，而且是在栈区上面开辟的空间（静态函数除外），而这个开辟空间的行为，我们就可以去称之为函数栈帧的创建，当然，他也不仅仅只是单纯的去开辟空间，还伴随着一些其他的行为，后面我们会介绍到。当我们调用完一个函数完毕以后，就会去释放掉申请的空间，这个过程也就称之为函数栈帧的销毁。

函数开辟空间是用来干什么呢？我们在编写代码的过程中经常会创建一些临时变量，会有一些返回值，也会存在一些函数调用的上下文信息；所以函数栈帧开辟出来就是为了去保存这些东西的。

当然，这些东西并不是仅仅保存在函数栈帧开辟的空间里面的，他是会和寄存器存在一些交互操作的，那什么又是寄存器呢？

认识寄存器

寄存器其实就是计算机中访问速度非常快的一块儿内存，从下图中我们就可以看出现代计算机中具有存储功能的部件比对，寄存器的速度是最快的，同时也是造价最高昂的。
关于函数栈帧的创建与销毁我们在这儿就需要理解几个概念：

• eax（累加寄存器，主要作用就是实现乘除运算、中间结果缓存）；
• ebx（基址寄存器，主要作用就是存储器指针）；
• ecx（计数寄存器， 主要作用就是实现循环控制、进行串操作）；
• edx（数据寄存器， 主要作用就是实现乘除运算、中间结果缓存（与 eax 类似））。

以上这几种类型的寄存器统称为数据寄存器，同时，我们也需要理解一下下面这几种变址寄存器和指针寄存器：

• esi（源变址寄存器，主要作用就是作为存储器指针、在串指令中作为源操作数指针）；
• edi（目的变址寄存器，主要作用就是作为存储器指针、在串指令中作为目的操作数指针）；
• ebp（基址指针寄存器，指向栈帧底部或栈底（栈帧底部和栈底是两个不同的概念））；
• esp（堆栈指针寄存器，指向栈帧顶部或栈顶（栈帧顶部和栈顶是两个不同的概念））。

接下来我们还需要去了解一些相关的汇编指令：

• mov：将数据从一个地方移动到另一个地方。例如，mov ax, 1234h 将把十六进制数 1234h 加载到 ax 寄存器。
• add：将两个值相加。例如，add ax, 1234h 将把 ax 寄存器的当前值与十六进制数 1234h 相加，并将结果存储在 ax 寄存器中。
• sub：从第一个值中减去第二个值。例如，sub ax, 1234h 将从 ax 寄存器的当前值中减去十六进制数 1234h，并将结果存储在 ax 寄存器中。
• jmp：无条件跳转到指定的地址。例如，jmp MyProcedure 将跳转到名为 MyProcedure 的程序的开始地址。
• push：将一个值推入堆栈。例如，push ax 将把 ax 寄存器的当前值推入堆栈中。
• pop：从堆栈中弹出一个值，并将其存储在目标操作数中。例如，pop ax 将从堆栈中弹出一个值，并将其存储在 ax 寄存器中。
• call：调用一个子程序，并将返回地址压入堆栈。例如，call MyProcedure 将调用名为 MyProcedure 的子程序，并将返回地址压入堆栈中。
• ret：从堆栈中弹出返回地址，并将控制权转移回调用点。例如，ret 将从堆栈中弹出一个返回地址，并将控制权转移回调用点;
• lea：即装入有效地址的意思，它的操作数就是地址。例如，lea eax，[addr]
  就是将表达式addr的值放入 eax 寄存器；
• rep stos：组合指令实际上是让处理器执行连续的存储操作，将指定的字节或字写入内存中，直到满足某个条件为止，通常用于在内存中填充一段连续的数据。

解析函数栈帧的创建与销毁

在这儿首先我们需要知道栈区的空间是由高地址向低地址进行使用的，函数栈帧开辟的空间是由栈帧顶部和栈帧底部也就是esp和ebp两个指针进行维护的。

因为不同的编译器对于函数栈帧的开辟是略有不同的，本次是以VS2019为例。

代码演示

下面以一段简单的代码来对我们的函数栈帧的创建与销毁进行演示：

#include <stdio.h>int Add(int x, int y)
{int z = 0;z = x + y;return z;
}int main()
{int a = 10;int b = 20;int c = 0;c = Add(a, b);printf("%d\n", c);return 0;
}

首先我们使用反汇编工具来查看一下整体的一个汇编代码

int main()
{
00C91820  push        ebp  
00C91821  mov         ebp,esp  
00C91823  sub         esp,0E4h  
00C91829  push        ebx  
00C9182A  push        esi  
00C9182B  push        edi  
00C9182C  lea         edi,[ebp-24h]  
00C9182F  mov         ecx,9  
00C91834  mov         eax,0CCCCCCCCh  
00C91839  rep stos    dword ptr es:[edi]  int a = 10;
00C9183B  mov         dword ptr [ebp-8],0Ah  int b = 20;
00C91842  mov         dword ptr [ebp-14h],14h  int c = 0;
00C91849  mov         dword ptr [ebp-20h],0  c = Add(a, b);
00C91850  mov         eax,dword ptr [ebp-14h]  
00C91853  push        eax  
00C91854  mov         ecx,dword ptr [ebp-8]  
00C91857  push        ecx  
00C91858  call        00C911BD  
00C9185D  add         esp,8  
00C91860  mov         dword ptr [ebp-20h],eax  printf("%d\n", c);
00C91863  mov         eax,dword ptr [ebp-20h]  
00C91866  push        eax  
00C91867  push        0C97B30h  
00C9186C  call        00C910CD  
00C91871  add         esp,8  return 0;
00C91874  xor         eax,eax  
}

接下来，我们就一行一行的进行拆解，最开始就是main函数函数栈帧的创建：

00C91820  push        ebp  // 首先我们会将ebp的值推入到堆栈当中，也就是栈帧的顶部

00C91821  mov         ebp,esp  // 将esp的值赋值给ebp

这儿需要注意一下，main函数也是有其他函数调起来的，所以这儿会存在一个将esp的值赋值给ebp操作，后续进入Add函数以后，就可以明显的理解这一步操作的用意了。

00C91823  sub         esp,0E4h  // 将esp的值减去一个0E4h（十六进制）

00C91829  push        ebx  // 将ebx的值推入到堆栈当中
00C9182A  push        esi  // 将esi的值推入到堆栈当中
00C9182B  push        edi  // 将edi的值推入到堆栈当中

00C9182C  lea         edi,[ebp-24h]  // 将ebp-24h的值放入到edi中

00C9182F  mov         ecx,9  //将9加载到ecx中去

00C91834  mov         eax,0CCCCCCCCh  // 将0CCCCCCCCh加载到eax中

00C91839  rep stos    dword ptr es:[edi]  // 将ebp跟ebp-24h之间的空间都初始化为0CCCCCCCC
// 可以翻译为下面的意思
for (int i = ecx ;i>0 ;i--,edi += 4 ){stos dword ptr es:[edi] 
}

00C9182C  lea         edi,[ebp-24h]  // 将ebp-24h的值放入到edi中
00C9182F  mov         ecx,9  //将9加载到ecx中去
00C91834  mov         eax,0CCCCCCCCh  // 将0CCCCCCCCh加载到eax中
00C91839  rep stos    dword ptr es:[edi]  // 将ebp跟ebp-24h之间的空间都初始化为0CCCCCCCC
// 可以翻译为下面的意思
for (int i = ecx ;i>0 ;i--,edi += 4 ){stos dword ptr es:[edi] 
}

上面这些汇编代码连在一起其实意思就很明显了，就可以看出这段操作其实就是在初始化这段开辟的空间。

接下就是main函数主要的初始化位置的代码：

	int a = 10;
00C9183B  mov         dword ptr [ebp-8],0Ah  // 将0Ah（16进制）转化为10进制也就是10，在ebp-8位置初始化int b = 20;
00C91842  mov         dword ptr [ebp-14h],14h  // 将14h（16进制）转化为10进制也就是20，在ebp-14h位置初始化int c = 0;
00C91849  mov         dword ptr [ebp-20h],0 // 将0（16进制）转化为10进制也就是0，在ebp-20h位置初始化

	c = Add(a, b);
00C91850  mov         eax,dword ptr [ebp-14h]  // 将ebp-14h位置的值也就是20放入到eax里面
00C91853  push        eax  // 把eax推入到堆栈当中
00C91854  mov         ecx,dword ptr [ebp-8]  // 将ebp-8位置的值也就是10设置进ecx当中
00C91857  push        ecx  // 把ecx推入到堆栈当中

这一段汇编代码的作用就是将main函数的形参分别放入到eax和ecx寄存器中，在这儿我们就会发现，形参其实就是实参的一份临时拷贝，所以也就是是为什么平时我们经常谈到对于形参的修改，并不会去影响到实参，原因就是在这儿，我们已经将值拷贝到eax和ecx寄存器中去了

接下来就是比较重要的一个环节了，这一步就意味着我们此时就需要进入到Add函数当中去了，这儿就是用了call指令以及jump指令：

00C91858  call        00C911BD  // 调用子程序，并将返回的地址（00C911BD）压入到堆栈当中
00C911BD  jmp         00C91760  // 无条件的跳转到00C91760这个地址处，也就是Add函数的位置

将00C91BD这个地址压入到堆栈当中的目的就是以便于最后函数函数销毁过程中找到回来的位置。

此时我们就进入到了Add函数当中，那么当前的操作其实就和main函数函数栈帧的创建很相似了。

int Add(int x, int y)
{
00C91760  push        ebp  
00C91761  mov         ebp,esp  
00C91763  sub         esp,0CCh  
00C91769  push        ebx  
00C9176A  push        esi  
00C9176B  push        edi  int z = 0;
00C9176C  mov         dword ptr [ebp-8],0  z = x + y;
00C91773  mov         eax,dword ptr [ebp+8]  
00C91776  add         eax,dword ptr [ebp+0Ch]  
00C91779  mov         dword ptr [ebp-8],eax  return z;
00C9177C  mov         eax,dword ptr [ebp-8]  
}
00C9177F  pop         edi  
00C91780  pop         esi  
00C91781  pop         ebx  
00C91782  mov         esp,ebp  
00C91784  pop         ebp  
00C91785  ret  

首先也介绍一下最开始的部分：

00C91760  push        ebp  // 将ebp的值推入到堆栈当中
00C91761  mov         ebp,esp  // 将esp的值赋值给ebp
00C91763  sub         esp,0CCh  // 将esp的值减去一个0CCh（十六进制）
00C91769  push        ebx  // 将ebx的值推入到堆栈当中
00C9176A  push        esi  // 将esi的值推入到堆栈当中
00C9176B  push        edi  // 将esi的值推入到堆栈当中

这一段汇编语言其实就是在进入Add函数以开始开辟函数栈帧，然后去完成一些寄存器的赋值工作。

int z = 0;
00C9176C  mov         dword ptr [ebp-8],0  // 将变量0赋值给ebp-8也就是z变量的位置z = x + y;
00C91773  mov         eax,dword ptr [ebp+8]  // 将ebp+8位置的值也就是10赋值到eax里面
00C91776  add         eax,dword ptr [ebp+0Ch]  // 将ebp+0Ch位置的值也就是20与当前eax中的值10相加
00C91779  mov         dword ptr [ebp-8],eax  // 将eax中的值也就是30放入到ebp-8的位置处return z;
00C9177C  mov         eax,dword ptr [ebp-8]  // 将ebp-8位置的值也就就是30放入到eax中

也就是说，最终我们计算出来相加的这个值是保存在eax这个寄存器中的，这也就是为什么z是一个临时变量，但是最终函数栈帧销毁了以后我们依然能return回去的原因。

00C9177F  pop         edi  // 将edi从堆栈中pop掉
00C91780  pop         esi  // 将esi从堆栈中pop掉
00C91781  pop         ebx  // 将ebx从堆栈中pop掉
00C91782  mov         esp,ebp  // 将ebp的值赋给esp
00C91784  pop         ebp  // pop掉ebp
00C91785  ret  // 从堆栈中弹出返回地址也就是00C911BD这个地址，然后将控制权转移到调用点

接下来就是Add函数栈帧销毁的过程了，00C911BD这个地址此时就派上用场了，我们会再次通过这个地址，找到调用点的位置，然后将控制权转移到控制点的位置，也就是跳出Add函数了，此时就回到了调用call指令的下一步的位置：


最终的栈帧又变成了main函数开辟的栈帧了。

00C9185D  add         esp,8  // 将esp的值减去8（16进制）
00C91860  mov         dword ptr [ebp-20h],eax  // 将eax寄存器中的值也就是30放入到ebp-20h中

此时我们就将对应的计算结果30返回来，Add函数的函数栈帧此时也已经销毁，但是我们会发现一个非常有意思的现象，尽管Add函数的函数栈帧已经销毁了，但是Add函数栈帧当时设置的临时变量的值还是存在的，这个值并没有被销毁，只有当下次某个函数在开辟栈帧时才会将这片栈帧中的值给覆盖掉。

后续的调用其实也就是跟上面的图解几乎差不多了，就不做解释了，以下就是部分汇编代码的解析：

int main()
{
00C91820  push        ebp  // 首先我们会将ebp的值推入到堆栈当中，也就是栈帧的顶部
00C91821  mov         ebp,esp  // 将esp的值赋值给ebp
00C91823  sub         esp,0E4h  // 将esp的值减去一个0E4h（十六进制）
00C91829  push        ebx  // 将ebx的值推入到堆栈当中
00C9182A  push        esi  // 将esi的值推入到堆栈当中
00C9182B  push        edi  // 将edi的值推入到堆栈当中
00C9182C  lea         edi,[ebp-24h]  // 将ebp-24h的值放入到edi中
00C9182F  mov         ecx,9  //将9加载到ecx中去
00C91834  mov         eax,0CCCCCCCCh  // 将0CCCCCCCCh加载到eax中
00C91839  rep stos    dword ptr es:[edi]  // 将ebp跟ebp-24h之间的空间都初始化为0CCCCCCCC
// 其实这四句汇编代码就可以理解为一个循环，就是将ebp跟ebp-24h之间的9个空间全部初始化为0CCCCCCCCint a = 10;
00C9183B  mov         dword ptr [ebp-8],0Ah  // 将0Ah（16进制）转化为10进制也就是10，在ebp-8位置初始化int b = 20;
00C91842  mov         dword ptr [ebp-14h],14h  // 将14h（16进制）转化为10进制也就是20，在ebp-14h位置初始化int c = 0;
00C91849  mov         dword ptr [ebp-20h],0 // 将0（16进制）转化为10进制也就是0，在ebp-20h位置初始化c = Add(a, b);
00C91850  mov         eax,dword ptr [ebp-14h]  // 将ebp-14h位置的值也就是20放入到eax里面
00C91853  push        eax  // 把eax推入到堆栈当中
00C91854  mov         ecx,dword ptr [ebp-8]  // 将ebp-8位置的值也就是10设置进ecx当中
00C91857  push        ecx  // 把ecx推入到堆栈当中
00C91858  call        00C911BD  // 调用子程序，并将返回的地址（00C911BD）压入到堆栈当中
00C911BD  jmp         00C91760  // 无条件的跳转到00C91760这个地址处，也就是Add函数的位置
00C9185D  add         esp,8  // 将esp的值减去8（16进制）
00C91860  mov         dword ptr [ebp-20h],eax  // 将eax寄存器中的值也就是30放入到ebp-20h中printf("%d\n", c);
00C91863  mov         eax,dword ptr [ebp-20h]  
00C91866  push        eax  
00C91867  push        0C97B30h  
00C9186C  call        00C910CD  
00C91871  add         esp,8  return 0;
00C91874  xor         eax,eax  
}int Add(int x, int y)
{
00C91760  push        ebp  // 将ebp的值推入到堆栈当中
00C91761  mov         ebp,esp  // 将esp的值赋值给ebp
00C91763  sub         esp,0CCh  // 将esp的值减去一个0CCh（十六进制）
00C91769  push        ebx  // 将ebx的值推入到堆栈当中
00C9176A  push        esi  // 将esi的值推入到堆栈当中
00C9176B  push        edi  // 将esi的值推入到堆栈当中
int z = 0;
00C9176C  mov         dword ptr [ebp-8],0  // 将变量0赋值给ebp-8也就是z变量的位置z = x + y;
00C91773  mov         eax,dword ptr [ebp+8]  // 将ebp+8位置的值也就是10赋值到eax里面
00C91776  add         eax,dword ptr [ebp+0Ch]  // 将ebp+0Ch位置的值也就是20与当前eax中的值10相加
00C91779  mov         dword ptr [ebp-8],eax  // 将eax中的值也就是30放入到ebp-8的位置处return z;
00C9177C  mov         eax,dword ptr [ebp-8]  // 将ebp-8位置的值也就就是30放入到eax中
}
00C9177F  pop         edi  // 将edi从堆栈中pop掉
00C91780  pop         esi  // 将esi从堆栈中pop掉
00C91781  pop         ebx  // 将ebx从堆栈中pop掉
00C91782  mov         esp,ebp  // 将ebp的值赋给esp
00C91784  pop         ebp  // pop掉ebp
00C91785  ret  // 从堆栈中弹出返回地址也就是00C911BD这个地址，然后将控制权转移会调用点