小例子一步一步解释“函数调用过程中栈的变化过程”

1　问题描述

　　在此之前，我对C中函数调用过程中栈的变化，仅限于了解有好几种参数的入栈顺序，其中的按照形参逆序入栈是比较常见的，也仅限于了解到这个程度，但到底在一个函数A里面，调用另一个函数B的过程中，函数A的栈是怎么变化的，实参是怎么传给函数B的，函数B又是怎么给函数A返回值的，这些问题都不能很明白的一步一步解释出来。下面，便是用一个小例子来解释这个过程，主要回答的问题是如下几个：

　　1、函数A在执行到调用函数B的语句之前，栈的结构是什么样子？

　　2、函数A执行调用函数B这一条语句的过程中，A的栈是怎样的？

　　3、在执行调用函数B语句时，实参是调用函数A来传入栈，还是被调函数B来进行入栈？

　　4、实参的入栈顺序是怎样的？

　　5、执行调用函数B的过程中，函数A的栈又是怎样的，B的呢？

　　6、函数B执行完之后，发生了什么事情，怎样把结果传给了函数A中的调用语句处的参数(比如：A中int c = B_fun(...)这样的语句)？

　　7、调用函数的语句结束后，怎样继续执行A中之后的语句?

　　大概的问题也就这些，其实也就是整个过程中一些自己认为比较重要的步骤。接下来详细描述这个过程，以下先给出自己的C测试代码，和对应的反汇编代码。

2　测试代码

　　2.1 C测试代码

　　C测试代码如下：(代码中自己关注的几个地方是L14 15 16 17)

1 int
2 fun(int *x, int *y)
3 {
4     int temp = *x;
5     *x = *y;
6     *y = temp;
7
8     return *x + *y;
9 }
10
11 int
12 main(void)
13 {
14     int a = 5;
15     int b = 9;
16     int c = 3;
17     c = fun(&a, &b);
18     a = 7;
19     b = 17;
20     return 0;
21 }

　　主要关注的地方是：

　　1、main中定义int变量 a b c 时，是怎样的定义顺序？

　　2、L17 的过程。

　　3、进入fun之后，的整个栈的结构。

　　2.2 汇编测试代码

1 080483b4 <fun>:
2  80483b4:    55                       push   %ebp
3  80483b5:    89 e5                    mov    %esp,%ebp
4  80483b7:    83 ec 10                 sub    $0x10,%esp
5  80483ba:    8b 45 08                 mov    0x8(%ebp),%eax
6  80483bd:    8b 00                    mov    (%eax),%eax
7  80483bf:    89 45 fc                 mov    %eax,-0x4(%ebp)
8  80483c2:    8b 45 0c                 mov    0xc(%ebp),%eax
9  80483c5:    8b 10                    mov    (%eax),%edx
10  80483c7:    8b 45 08                 mov    0x8(%ebp),%eax
11  80483ca:    89 10                    mov    %edx,(%eax)
12  80483cc:    8b 45 0c                 mov    0xc(%ebp),%eax
13  80483cf:    8b 55 fc                 mov    -0x4(%ebp),%edx
14  80483d2:    89 10                    mov    %edx,(%eax)
15  80483d4:    8b 45 08                 mov    0x8(%ebp),%eax
16  80483d7:    8b 10                    mov    (%eax),%edx
17  80483d9:    8b 45 0c                 mov    0xc(%ebp),%eax
18  80483dc:    8b 00                    mov    (%eax),%eax
19  80483de:    01 d0                    add    %edx,%eax
20  80483e0:    c9                       leave
21  80483e1:    c3                       ret
22
23 080483e2 <main>:
24  80483e2:    55                       push   %ebp
25  80483e3:    89 e5                    mov    %esp,%ebp
26  80483e5:    83 ec 18                 sub    $0x18,%esp
27  80483e8:    c7 45 f4 05 00 00 00     movl   $0x5,-0xc(%ebp)
28  80483ef:    c7 45 f8 09 00 00 00     movl   $0x9,-0x8(%ebp)
29  80483f6:    c7 45 fc 03 00 00 00     movl   $0x3,-0x4(%ebp)
30  80483fd:    8d 45 f8                 lea    -0x8(%ebp),%eax
31  8048400:    89 44 24 04              mov    %eax,0x4(%esp)
32  8048404:    8d 45 f4                 lea    -0xc(%ebp),%eax
33  8048407:    89 04 24                 mov    %eax,(%esp)
34  804840a:    e8 a5 ff ff ff           call   80483b4 <fun>
35  804840f:    89 45 fc                 mov    %eax,-0x4(%ebp)
36  8048412:    c7 45 f4 07 00 00 00     movl   $0x7,-0xc(%ebp)
37  8048419:    c7 45 f8 11 00 00 00     movl   $0x11,-0x8(%ebp)
38  8048420:    b8 00 00 00 00           mov    $0x0,%eax
39  8048425:    c9                       leave
40  8048426:    c3                       ret

3 分析过程

　　3.1 main栈

　　1、L24 执行push %ebp：main函数先保存之前函数(在执行到main之前的初始化函数，具体的细节可以参考程序员的自我修养这本书有讲整个程序执行的流程)的帧指针%ebp。此时，即进入了main函数的栈，图标描述如下

描述	内容	注释
main:%esp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp

　　2、L25 执行mov %esp,%ebp：步骤1已经保存了之前函数的%ebp，接下来需要修改函数main的栈帧指针，指示main栈的开始，即修改%ebp，使其内容为寄存器%esp的内容(C描述为:%ebp = %esp)，此时栈结构如下：

描述	内容	注释
main:%esp(%ebp)	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp

　　3、L26 执行sub $0x18,%esp：此处即修改main函数栈的大小。由于linux里，栈增长的方向是从大到小，所以这里是%esp = %esp - $0x18;关于为什么减去$0x18，即十进制的24，深入理解计算机系统一书P154这样描述：“GCC坚持一个x86编程指导方针，也就是一个函数使用的所有栈空间必须是16字节的整数倍。包括保存%ebp值的4个字节和返回值的4个字节，采用这个规则是为了保证访问数据的严格对齐。”，所以这里main函数栈的大小
= 24 + 4 + 4 = 32(分配的24，保存%ebp的4，保存返回值的4)。此时栈结构如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%esp

　　4、 L27 movl $0x5,-0xc(%ebp)；L28
movl $0x9,-0x8(%ebp)；L29 movl $0x3,-0x4(%ebp)这三行是定义的变量a b c。此时栈结构如下，可以看出来，变量的定义顺序不是按照在main里面声明的顺序定义的，这个我不是很懂，求指导。

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%ebp - 0x4	3	c = 3
%ebp - 0x8	9	b = 9
%ebp - 0xc	5	a = 5
%esp

　　5、L30 lea -0x8(%ebp),%eax； L31 mov %eax,0x4(%esp)这两行是把变量b的地址赋值到%esp + 4，栈结构如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%ebp - 0x4	3	c = 3
%ebp - 0x8	9	b = 9
%ebp - 0xc	5	a = 5
%esp + 0x4	&b	变量b的地址
%esp

　　6、L32 lea -0xc(%ebp),%eax； L33 mov%eax,(%esp)这两行是把变量a的地址赋值到%esp，栈结构如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%ebp - 0x4	3	c = 3
%ebp - 0x8	9	b = 9
%ebp - 0xc	5	a = 5
%esp + 0x4	&b	变量b的地址
%esp	&a	变量a的地址

　　7、L34 call
80483b4 <fun>；可以看出这一行，即调用的是fun(int *, int *)函数，而且也从第6步知道实参是调用函数传入栈，且是逆序传入。这里call指令会把之后指令的地址压入栈，即L35的指令地址804840f。(从汇编代码看不出来这一步压栈的过程，但根据后续分析，这样是正确的，书上也是这么描述call指令的，怎样能直观的看到栈的变化，我不懂，哪位知道可以留言告诉我)此时栈的结构如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%ebp - 0x4	3	c = 3
%ebp - 0x8	9	b = 9
%ebp - 0xc	5	a = 5
	&b	变量b的地址
	&a	变量a的地址
%esp	804840f	返回地址

　　到这一步，关于main函数栈的情况分析就到这里，接下来进入fun函数进行分析。

　　3.2 fun函数栈

　　1、L2
push%ebp：同main函数第一步一样，先保存之前函数的栈帧，即保存main函数的帧指针%ebp，此时栈情况如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
%ebp - 0x4	3	c = 3
%ebp - 0x8	9	b = 9
%ebp - 0xc	5	a = 5
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun栈开始	被保存的main函数的%ebp

　　2、L3
mov %esp,%ebp：同上述main描述里面步骤2，修改寄存器%ebp。栈如下：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	9	b = 9
	5	a = 5
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun栈开始(%esp与%ebp)	被保存的main函数的%ebp

　　3、L4
sub $0x10,%esp：同上述main描述步骤3，修改函数fun的栈大小，(不明白的是这里怎么修改的大小为十进制16，这样加上其他的最后不是16的整数倍？)此时栈如下：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	9	b = 9
	5	a = 5
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun栈开始(%ebp)	被保存的main函数的%ebp
%esp

　　4、L5
mov 0x8(%ebp),%eax；L6
mov (%eax),%eax ；L7
mov%eax,-0x4(%ebp)：这三行功能分别是把%eax = &a; %eax = a; %ebp - 0x4 = a;对应的是fun函数语句int temp = *a;其中，L7会改变栈的情况，此时栈如下：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	9	b = 9
	5	a = 5
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun：%ebp	被保存的main函数的%ebp
%ebp - 0x4	5	a = 5
%esp

　　5、L8
mov 0xc(%ebp),%eax；L9
mov (%eax),%edx；L10
mov 0x8(%ebp),%eax； L11
mov %edx,(%eax)对应功能分别是：get &b; get b; get &a; a = b。其中，只有L11会修改栈内容，栈内容如下：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	9	b = 9
	9	a = 9(修改了a的值)
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun：%ebp	被保存的main函数的%ebp
%ebp - 0x4	5	a = 5
%esp

　　6、L12
mov 0xc(%ebp),%eax；
L13 mov-0x4(%ebp),%edx；L14 mov %edx, (%eax)：功能分别对应get &b; %edx = temp;b = a。其中L13会修改栈内容，具体栈情况更改如下：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	5	b = 5(修改了b的值)
	9	a = 9(修改了a的值)
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
fun：%ebp	被保存的main函数的%ebp
%ebp - 0x4	5	a = 5
%esp

　　7、然后就是L15，L16，L17，L18这4行分别得到&a, a, &b, b。这些都不会造成栈内容的变化。

　　L19 add %edx, %eax会计算出a + b的值，并把结果保存在寄存器%eax，也即返回值在%eax(这里大家都清楚，函数如果有返回值，一般都是保存在%eax)

　　8、L10 leave：深入理解计算机系统一书P151这样描述leave指令：

　　　　movl %ebp, %esp

　　　　popl %ebp
　　　　以下分两步来描述：
　　　　　　即先把寄存器%ebp赋值给%esp，其中%ebp保存的是之前main函数的%ebp，这一步修改了%esp的内容，即栈情况会发生变化。这一步之后栈情况为：

描述	内容	注释
main:	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	5	b = 5
	9	a = 9
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
%esp	被保存的main函数的%ebp

　　　　　　然后是popl %ebp，即把%ebp的内容恢复为之前main函数的帧指针，经过这一步之后%ebp指向了main栈的开始处：如下表示

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	5	b = 5
	9	a = 9
	&b	变量b的地址
	&a	变量a的地址
	804840f	返回地址
%esp(%ebp)	被保存的main函数的%ebp

　　9、L21 ret：从栈中弹出地址，并跳转到这个位置。栈即如下：

描述	内容	注释
main:%ebp	被保存的start函数的%ebp	每个函数开始前，先保存之前函数的帧指针%ebp
	3	c = 3
	5	b = 5
	9	a = 9
	&b	变量b的地址
%esp	&a	变量a的地址

　　到这里fun函数即执行完，然后又跳转到main函数开始执行后续指令。后续L35行用到的%eax即之前fun函数的返回值，L35 L36 L37都用到了%ebp，此时%ebp已经指向了main函数的帧指针，后面已经没有什么可以描述的了，最后还会修改变量a b c 的值，只需要相应的修改栈中内容即可，没有什么可说的了。

　　到这里全部分析过程就结束了。希望能够帮助到跟我一样对过程调用不熟悉的朋友。

Reference

Randal E.Bryant(作者)
. 龚奕利(译者).深入理解计算机系统(第二版). 机械工业出版社. 2010.