EEPW论坛

大家都知道函数调用是通过栈来实现的，而且知道在栈中存放着该函数的局部变量。但是对于栈的实现细节可能不一定清楚。本文将介绍一下在Linux平台下函数栈是如何实现的。有些同学可能觉得没必要了解这么深入，其实非也。根据本号多年的经验，了解系统深层次的原理对分析疑难问题有很好的帮助。

就像熟悉抓包是解决网络通信问题的高级武器一样，熟悉函数调用栈则是分析程序内存问题的高级武器。本文以Linux 64位操作系统下C语言开发为例，介绍应用程序调用栈的实现原理，并通过一个实例和GDB工具具体分析一下某个程序的调用栈内容。在介绍具体的调用栈之前，我们先介绍一些基础知识，这些知识是理解后续函数调用栈的基础。

我们知道Intel的CPU在设计的时候都是向前兼容的，也就是在新一代的CPU上可以运行老一代CPU上的编译的程序。为了保证兼容性，新一代CPU保留了老一代寄存器的别名。以16位寄存器AX为例，AL表示低8位，AH表示高8位。而32位CPU问世之后，通过名为EAX的寄存器表示32位寄存器，AX仍然保留。以此类推，RAX表示一个64位寄存器。

为了理解函数调用栈的细节，有必要了解一下汇编程序中函数调用的实现。函数的调用主要分为2部分，一个是调用，另外一个是返回。在汇编语言中函数调用是通过call指令完成的，返回则是通过ret指令。

汇编语言的call指令相当于执行了2步操作，分别是，1）将当前的IP或CS和IP压入栈中； 2）跳转，类似与jmp指令。同样，ret指令也分2步，分别是，1）将栈中的地址弹出到IP寄存器；2）跳转执行后续指令。这个基本上就是函数调用的原理。

除了在代码间的跳动外，函数的调用往往还需要传递一个参数，而处理完成后还可能有返回值。这些数据的传递都是通过寄存器进行的。在函数调用之前通过上文介绍的寄存器存储参数，函数返回之前通过RAX寄存器（32位系统为EAX）存储返回结果。

另外一个比较重要的知识点是函数调用过程中与堆栈相关的寄存器RSP和RBP，两个寄存器主要实现对栈位置的记录，具体作用如下：RSP：栈指针寄存器(reextended stack pointer)，其内存放着一个指针，该指针永远指向系统栈最上面一个栈帧的栈顶。RBP：基址指针寄存器(reextended base pointer)，其内存放着一个指针，该指针永远指向系统栈最上面一个栈帧的底部。

寄存器的名称跟体系结构是相关的，本文是64位系统，因此寄存器是RSP和RBP。如果是32位系统则寄存器的名称为ESP和EBP。

我们先从整体上来看一下函数调用栈的主要内容，如图4所示。在函数栈中主要包括函数参数表、局部变量表、栈的基址和函数返回地址。这里栈的基址是上一个栈帧的基址，因为在本函数中需要使用该基址访问栈中的内容，因此需要首先将上一个栈帧中的基址压栈。

为了便于理解，我们以一个具体的程序作为示例。本程序非常简单，主要是模拟了多个函数的函数调用关系和参数传递。另外，在函数func_2中定义了2个形参，以模拟多参数传递的过程。

在本示例中，main函数调用func_1函数。我们从main函数开始分析，可以先看一下右侧的C语言代码。首先是函数参数的准备过程。在main函数调用func_1时依次传入的参数为1、2、3和4+g，其中最后一个参数是需要计算的。按照红色方框的虚线，我们可以看到对应的汇编程序，在汇编程序中首先处理最后一个参数，然后是倒数第二个，以此类推（函数参数的处理顺序在日常开发中是需要注意的内容重点）。同时，我们看到存储参数的寄存器名称与前文是一致。

当准备完参数之后，就是调用func_1函数，这个在汇编语言中就是call func_1这一行。虽然只是一行汇编指令，但其实内部做了一些事情，这个我们在前文介绍call指令的时候有所介绍，大家可以参考一下前文。

之后就进入func_1函数的处理逻辑。最一开始是pushq %rbp汇编程序，这句指令的作用是将RBP压入函数栈中。这句压栈及后面的更新RBP的值（moveq %rsp, %rbp）是构建本函数的栈帧头，后续对本栈帧的内容的访问都是通过帧头（RBP）进行的。接下来是对参数压栈的过程和局部变量初始化的过程，具体分布参考图5中的绿色方框和红色方框。

这样，函数返回后寄存器RBP和RSP从被调用者的栈帧切换到了调用者的栈帧。