理解调用栈最重要的两点是：栈的结构，EBP寄存器的作用。
首先要认识到这样两个事实：
1、一个函数调用动作可分解为：零到多个PUSH指令（用于参数入栈），一个CALL指令。CALL指令内部其实还暗含了一个将返回地址（即CALL指令下一条指令的地址）压栈的动作。
2、几乎所有本地编译器都会在每个函数体之前插入类似如下指令：PUSH EBP; MOV ESP EBP;
即，在程序执行到一个函数的真正函数体时，已经有以下数据顺序入栈：参数，返回地址，EBP。
由此得到类似如下的栈结构（参数入栈顺序跟调用方式有关，这里以C语言默认的CDECL为例）：
+| (栈底方向，高位地址) |
| .................... |
| .................... |
| 参数3 |
| 参数2 |
| 参数1 |
| 返回地址 |
-| 上一层[EBP] | <-------- [EBP]
“PUSH EBP”“MOV EBP ESP”这两条指令实在大有深意：首先将EBP入栈，然后将栈顶指针ESP赋值给EBP。“MOV EBP ESP”这条指令表面上看是用ESP把EBP原来的值覆盖了，其实不然——因为给EBP赋值之前，原EBP值已经被压栈（位于栈顶），而新的EBP又恰恰指向栈顶。
此时EBP寄存器就已经处于一个非常重要的地位，该寄存器中存储着栈中的一个地址（原EBP入栈后的栈顶），从该地址为基准，向上（栈底方向）能获取返回地址、参数值，向下（栈顶方向）能获取函数局部变量值，而该地址处又存储着上一层函数调用时的EBP值！
一般而言，ss:[ebp+4]处为返回地址，ss:[ebp+8]处为第一个参数值（最后一个入栈的参数值，此处假设其占用4字节内存），ss:[ebp-4]处为第一个局部变量，ss:[ebp]处为上一层EBP值。
由于EBP中的地址处总是“上一层函数调用时的EBP值”，而在每一层函数调用中，都能通过当时的EBP值“向上（栈底方向）能获取返回地址、参数值，向下（栈顶方向）能获取函数局部变量值”。
如此形成递归，直至到达栈底。这就是函数调用栈。
编译器对EBP的使用实在太精妙了。
从当前EBP出发，逐层向上找到所有的EBP是非常容易的：
unsigned int _ebp;
__asm _ebp, ebp;
while (not stack bottom)
{
//...
_ebp = *(unsigned int*)_ebp;
}
如果要写一个简单的调试器的话，注意需在被调试进程（而非当前进程——调试器进程）中读取内存数据。
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
C代码：
int fun(int para)
{
int a=0;
return 0;
}
void main()
{
fun(1);
}
汇编代码：
1:
2:
3: int fun(int para)
4: {
0040B810 push ebp ；保护寄存器ebp
0040B811 mov ebp,esp；此时ebp=esp；此后ebp一般不变
0040B813 sub esp,44h；44即为40Bytes间隔空间+fun内部变量占有空间，此时fun仅定义一int型变量a，故为4Bytes
0040B816 push ebx ；保护ebx
0040B817 push esi；保护esi
0040B818 push edi ；保护edi
0040B819 lea edi,[ebp-44h] ；以下四条代码将44Bytes空间置为0CCCCCCCCh
0040B81C mov ecx,11h
0040B821 mov eax,0CCCCCCCCh
0040B826 rep stos dword ptr [edi]
；以下为自己写的代码
5: int a=0;
0040B828 mov dword ptr [ebp-4],0
6:
7:
8: return 1;
0040B82F mov eax,1 ；返回值被放入eax
9: }
0040B831 pop edi
0040B832 pop esi
0040B833 pop ebx
0040B834 mov esp,ebp
0040B836 pop ebp
0040B837 ret
10:
11: void main()
12: {
0040B790 push ebp
0040B791 mov ebp,esp
0040B793 sub esp,40h
0040B796 push ebx
0040B797 push esi
0040B798 push edi
0040B799 lea edi,[ebp-40h]
0040B79C mov ecx,10h
0040B7A1 mov eax,0CCCCCCCCh
0040B7A6 rep stos dword ptr [edi]
13:
14: fun(1);
0040B7A8 push 1 ；参数入栈
0040B7AA call @ILT+25(fun) (0040101e)
0040B7AF add esp,4；等效于参数出栈，恢复esp。(此时参数为1 个int型数据，占4Bytes)
15:
16:
17: }
0040B7B2 pop edi
0040B7B3 pop esi
0040B7B4 pop ebx
0040B7B5 add esp,40h
0040B7B8 cmp ebp,esp
0040B7BA call __chkesp (004010a0)
0040B7BF mov esp,ebp
0040B7C1 pop ebp
0040B7C2 ret
归纳调用fun的过程为：
(1)参数入栈
(2)调用fun，保护断点，EIP入栈(内部完成，无汇编代码)
(3)保护寄存器ebp
(4)定位新的ebp，此后ebp一般不变
(5)保护ebx，esi，edi
(6)初始化40Bytes间隔空间和fun内部变量
此过程，数据空间变化如下：
(1)参数入栈
|低地址|...|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(2)调用fun，保护断点，EIP入栈(内部完成，无汇编代码)
|低地址|...|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(3)保护寄存器ebp
|低地址|...|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向某一位置
(4)定位新的ebp，此后ebp一般不变
|低地址|...|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp和ebp指向此
(5)保护ebx，esi，edi
|低地址|...|edi入栈值|esi入栈值|ebx入栈值|40Bytes间隔空间|fun内部变量值|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^esp指向此 ^ebp指向(ebp入栈值)
(6)初始化40Bytes间隔空间和fun内部变量
----------------------------------------------------------------------------------------------
曾看到一程序：
#include "stdio.h"
int fun()
{
int a=0;
int* p=&a;
p=p+2;
*p=*p+3;
return 0;
}
int main(int argc, char* argv[])
{
int i=1;
fun();
i++;
printf("%d",i);
return 0;
}
下面是其中两段汇编代码：
...
15: int i=1;
0040B558 mov dword ptr [ebp-4],1
16:
17: fun();
0040B55F call @ILT+10(fun) (0040100f)
18: i++;
0040B564 mov eax,dword ptr [ebp-4]
0040B567 add eax,1
0040B56A mov dword ptr [ebp-4],eax
...
5: int a=0;
0040B508 mov dword ptr [ebp-4],0
6: int* p=&a;
0040B50F lea eax,[ebp-4]
0040B512 mov dword ptr [ebp-8],eax
7: p=p+2;
0040B515 mov ecx,dword ptr [ebp-8]
0040B518 add ecx,8
0040B51B mov dword ptr [ebp-8],ecx
8: *p=*p+3;
0040B51E mov edx,dword ptr [ebp-8]
0040B521 mov eax,dword ptr [edx]
0040B523 add eax,3
0040B526 mov ecx,dword ptr [ebp-8]
0040B529 mov dword ptr [ecx],eax
9:
10: return 0;
0040B52B xor eax,eax
11: }
...
其数据空间为：
|低地址|...|40Bytes间隔空间|p的值|a的值|ebp入栈值|fun返回函数地址|参数值|...|高地址| ...
^ebp指向|ebp入栈值|
由于p=&a，p指向|a的值|，则执行p=p+2后，p指向|fun返回函数地址|
跟踪程序|fun返回函数地址|=0040B564，执行的*p=*p+3，|fun返回函数地址|=0040B567
即fun返回后程序从地址0040B567执行，跳过0040B564处的代码mov eax,dword ptr [ebp-4]，使得结果i=1，而不是i=2。
分享到：
相关推荐
函数调用时栈以及寄存器指针的变化 举了一个具体的例子来说明，配有图示
函数调用时栈的变化[收集].pdf
Ｃ＋＋中的类中函数调用，只是基于简单的函数调用的例子
Visual C/C++的编译器提供了几种函数调用约定，了解这些函数调用约定的含义及它们之间的区别可以帮助我们更好地调试程序。在这篇文章里，我就和大家共同探讨一些关于函数调用约定的内容。 Visual C/C++的编译器支持...
C#与JAVASCRIPT函数的相互调用 C#调用JAVASCRIPT函数的调用 JAVASCRIPT调用C#函数的调用
函数调用的过程实际上也就是一个中断的过程，那么C++中到底是怎样实现一个函数的调用的呢？参数入栈、函数跳转、保护现场、回复现场等又是怎样实现的呢？本文将对函数调用的过程进行深入的分析和详细解释，并在VC ...
remote-function是一个跨进程通讯库，它可以像调用本进程函数一样调用另外一个进程的函数。 remote-function支持调用普通函数，也支持调用类的成员函数。 remote-function底层使用命令管道进行通讯，内置的流程完成...
自己总结了一点C,C++的资料,主要讲空类中的默认函数, 以及函数调用时栈的调用关系.
自动生成c++函数调用关系图，里面包含了所有要用到的软件，一站式服务； 通过本人亲测的使用总结； 还有使用到的配置文件（c++的），实在不会配置可以直接使用； 改一改配置文件，应该还可以生成c,java,c#语言的调用...
详细介绍了main函数如何调用子函数的过程，非常的经典
函数调用方式决定了函数参数入栈的顺序，是由调用者函数还是被调用函数负责清除栈中的参数等问题，而函数名修饰规则决定了编译器使用何种名字修饰方式来区分不同的函数，如果函数之间的调用约定不匹配或者名字修饰不...
C++自动生成函数调用关系图.rar
C++ 获取函数调用堆栈的 高效实现代码
visual c++中函数调用方式浅探visual c++中函数调用方式浅探
函数调用过程通常使用堆栈实现，每个用户态进程对应一个调用栈结构(callstack)。编译器使用堆栈传递函数参数、保存返回地址、临时保存寄存器原有值(即函数调用的上下文)以备恢复以及存储本地局部变量。不同处理器和...
matlab子函数调用方法说明-子函数调用.pdf 今天看了一下matlab子函数的调用，发现这个资料比较好，说的比较清楚，和大家共享一下。 子函数调用.pdf 子函数调用方法
系统调用与系统函数调用表 系统调用与系统函数调用表
C语言函数调用栈实例分析.md
简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用简化函数调用
形参和实参只是名字相同，各自占有各自的内存空间和生存周期，因此他并不能改变主调函数中的变量。 3、地址参数 传址调用：传送的是变量的地址，尽管主函数和被调函数各自在自己的变量上操作，但他们的地址是