目录
- 什么是栈帧？
1、什么是函数栈帧？
函数栈帧（stack frame）就是函数调用过程中在程序的调用栈（call stack）所开辟的空间，这些空间是用来存放：
2、理解函数栈帧能解决什么问题？
理解函数栈帧有什么用呢？只要理解了函数栈帧的创建和销毁，以下问题就能够很好的额理解了：
3、函数栈帧的创建和销毁解析
3.1 什么是栈？
栈（ stack ）是现代计算机程序里最为重要的概念之一，几乎每一个程序都使用了栈， 没有栈就没有函数，没有局部变量，也就没有我们如今看到的所有的计算机语言。 在经典的计算机科学中，栈被定义为一种特殊的容器，用户可以将数据压入栈中（入栈，push ），也可以将已经压入栈中的数据弹出（出栈，pop ），但是栈这个容器必须遵守一条规则： 先入栈的数据后出栈（First In Last Out， FIFO） 。就像叠成一叠的术，先叠上去的书在最下面，因此要最后才能取出。 在计算机系统中，栈则是一个具有以上属性的动态内存区域。程序可以将数据压入栈中，也可以将数据从栈顶弹出。压栈操作使得栈增大，而弹出操作使得栈减小。 在经典的操作系统中， 栈总是向下增长（由高地址向低地址）的 。在我们常见的i386 或者 x86-64 下，栈顶由成为 esp 的寄存器进行定位的。
3.2 认识相关寄存器和汇编指令
相关寄存器：
1. eax ：通用寄存器，保留临时数据，常用于返回值2. ebx ：通用寄存器，保留临时数据3. ebp ：栈底寄存器4. esp ：栈顶寄存器5. eip ：指令寄存器，保存当前指令的下一条指令的地址相关汇编指令：1.mov ：数据转移指令2.push ：数据入栈，同时 esp 栈顶寄存器也要发生改变3.pop ：数据弹出至指定位置，同时 esp 栈顶寄存器也要发生改变4.sub ：减法命令5.add ：加法命令6.call ：函数调用， 1 . 压入返回地址 2. 转入目标函数7.jump ：通过修改 eip ，转入目标函数，进行调用8.ret ：恢复返回地址，压入 eip ，类似 pop eip 命令
3.3 解析函数栈帧的创建和销毁
3.3.1 预备知识
1. 每一次函数调用，都要为本次函数调用开辟空间，就是函数栈帧的空间。2. 这块空间的维护是使用了 2 个寄存器： esp 和 ebp ， ebp 记录的是栈底的地址， esp 记 录的是栈顶的地址
3. 函数栈帧的创建和销毁过程，在不同的编译器上实现的方法大同小异，本次演示以 VS2022 为例。
3.3.2 函数的调用堆栈
#include <stdio.h> int Add(int x, int y) { int z = 0; z = x + y; return z; } int main() { int a = 3; int b = 5; int ret = 0; ret = Add(a, b); printf("%d\n", ret); return 0; }这段代码，如果我们在 VS2022 编译器上调试，调试进入 Add 函数后，我们就可以观察到函数的调用堆栈 （右击勾选【显示外部代码】），如下图：
函数调用堆栈是反馈函数调用逻辑的，那我们可以清晰的观察到， main 函数调用之前，是由 invoke_main 函数来调用 main 函数。 在 invoke_main 函数之前的函数调用我们就暂时不考虑了。那我们可以确定， invoke_main 函数应该会有自己的栈帧， main 函数和 Add 函数也会维护自己的栈帧，每个函数栈帧都有自己的 ebp 和 esp 来维护栈帧空间。那接下来我们从 main 函数的栈帧创建开始讲解：
3.3.4 准备环境
为了让我们研究函数栈帧的过程足够清晰，不要太多干扰，我们可以关闭下面的选项，让汇编代码中排除一些编译器附加的代码：
3.3.5 转到反汇编
调试到 main 函数开始执行的第一行，右击鼠标转到反汇编。注： VS 编译器每次调试都会为程序重新分配内存，本文里面的反汇编代码是一次调试代码过程中数据，每次调试略有差异
【注】我们这里采用x86（32位环境）演示，ebp为32位环境，rbp为64位环境。
//x86环境演示 int main() { //函数栈帧的创建 00CC18B0 push ebp 00CC18B1 mov ebp,esp 00CC18B3 sub esp,0E4h 00CC18B9 push ebx 00CC18BA push esi 00CC18BB push edi 00CC18BC lea edi,[ebp-24h] 00CC18BF mov ecx,9 00CC18C4 mov eax,0CCCCCCCCh 00CC18C9 rep stos dword ptr es:[edi] 00CC18CB mov ecx,offset _4F5362E2_test@c (0CCC008h) 00CC18D0 call @__CheckForDebuggerJustMyCode@4 (0CC131Bh) //main函数核心代码 int a = 3; 00CC18D5 mov dword ptr [a],3 int b = 5; 00CC18DC mov dword ptr [b],5 int ret = 0; 00CC18E3 mov dword ptr [ret],0 ret = Add(a, b); 00CC18EA mov eax,dword ptr [b] 00CC18ED push eax 00CC18EE mov ecx,dword ptr [a] 00CC18F1 push ecx 00CC18F2 call _Add (0CC10B4h) 00CC18F7 add esp,8 00CC18FA mov dword ptr [ret],eax printf("%d\n", ret); 00CC18FD mov eax,dword ptr [ret] 00CC1900 push eax 00CC1901 push offset string "%d\n" (0CC7B30h) 00CC1906 call _printf (0CC10D2h) 00CC190B add esp,8 return 0; 00CC190E xor eax,eax } //x64环境 int main() { //函数栈帧的创建 00007FF76AF21880 push rbp 00007FF76AF21882 push rdi 00007FF76AF21883 sub rsp,148h 00007FF76AF2188A lea rbp,[rsp+20h] //main函数核心代码 int a = 3; 00007FF76AF2188F mov dword ptr [a],3 int b = 5; 00007FF76AF21896 mov dword ptr [b],5 int ret = 0; 00007FF76AF2189D mov dword ptr [ret],0 ret = Add(a, b); 00007FF76AF218A4 mov edx,dword ptr [b] 00007FF76AF218A7 mov ecx,dword ptr [a] 00007FF76AF218AA call Add (07FF76AF21339h) 00007FF76AF218AF mov dword ptr [ret],eax printf("%d\n", ret); 00007FF76AF218B2 mov edx,dword ptr [ret] 00007FF76AF218B5 lea rcx,[string "%d\n" (07FF76AF29C24h)] 00007FF76AF218BC call printf (07FF76AF2118Bh) return 0; 00007FF76AF218C1 xor eax,eax }
3.3.6 函数栈帧的创建
接下来我们就一行行拆解汇编代码 ：00CC18B0 push ebp /*把ebp寄存器中的值进行压栈，此时的ebp中存放的是 invoke_main函数栈帧的ebp，esp-4*/ 00CC18B1 mov ebp,esp /*move指令会把esp的值存放到ebp中，相当于产生了main函数的 ebp，这个值就是invoke_main函数栈帧的esp*/ 00CC18B3 sub esp,0E4h /*sub会让esp中的地址减去一个16进制数字0xe4,产生新的 esp，此时的esp是main函数栈帧的esp，此时结合上一条指令的ebp和当前的esp，ebp和esp之间维护了一 个块栈空间，这块栈空间就是为main函数开辟的，就是main函数的栈帧空间，这一段空间中将存储main函数 中的局部变量，临时数据已经调试信息等。*/ 00CC18B9 push ebx //将寄存器ebx的值压栈，esp-4 00CC18BA push esi //将寄存器esi的值压栈，esp-4 00CC18BB push edi //将寄存器edi的值压栈，esp-4 /*上面3条指令保存了3个寄存器的值在栈区，这3个寄存器的在函数随后执行中可能会被修改，所以先保存寄 存器原来的值，以便在退出函数时恢复。*/ //下面的代码是在初始化main函数的栈帧空间。 //1. 先把ebp-24h的地址，放在edi中 //2. 把9放在ecx中 //3. 把0xCCCCCCCC放在eax中 //4. 将从edp-0x2h到ebp这一段的内存的每个字节都初始化为0xCC 00CC18BC lea edi,[ebp-24h] //lea的意思是动态加载 00CC18BF mov ecx,9 00CC18C4 mov eax,0CCCCCCCCh 00CC18C9 rep stos dword ptr es:[edi]上面这段代码的最后四行，等价于以下的伪代码：
edi = ebp-0x24; ecx = 9; eax = 0xCCCCCCCC; for(; ecx = 0; --ecx,edi+=4) { *(int*)edi = eax; }
【小知识】：烫烫烫~
之所以上面的程序输出 “ 烫 ” 这么一个奇怪的字，是因为 main 函数调用时，在栈区开辟的空间的其中每一个字节都被初始化为0xCC ，而 arr 数组是一个未初始化的数组，恰好在这块空间上创建的， 0xCCCC （两个连续排列的0xCC ）的汉字编码就是 “ 烫 ” ，所以 0xCCCC 被当作文本就是 “ 烫 ” 。
接下来我们再分析main函数中的核心代码：
int a = 3; 00C518D5 mov dword ptr [a],3 int b = 5; 00C518DC mov dword ptr [b],5 int ret = 0; 00C518E3 mov dword ptr [ret],0 //以上汇编代码表示的变量a,b,ret的创建和初始化，这就是局部的变量的创建和初始化 //其实是局部变量的创建时在局部变量所在函数的栈帧空间中创建的 //调用Add函数 ret = Add(a, b); //调用Add函数时的传参 //其实传参就是把参数push到栈帧空间中 00C518EA mov eax,dword ptr [b] //传递b，将b处放的5放在eax寄存器中 00C518ED push eax //将eax的值压栈，esp-4 00C518EE mov ecx,dword ptr [a] //传递a，将a处放的3放在ecx寄存器中 00C518F1 push ecx //将ecx的值压栈，esp-4 //跳转调用函数 00C518F2 call _Add (0C513B6h) 00C518F7 add esp,8 00C518FA mov dword ptr [ret],eax
Add函数的传参
//调用Add函数 ret = Add(a, b); //调用Add函数时的传参 //其实传参就是把参数push到栈帧空间中，这里就是函数传参 000818EA mov eax,dword ptr [b] //传递b，将b处放的5放在eax寄存器中 000818ED push eax //将eax的值压栈，esp-4 000818EE mov ecx,dword ptr [a] //传递a，将a处放的3放在ecx寄存器中 000818F1 push ecx //将ecx的值压栈，esp-4 //跳转调用函数 000818F2 call _Add (0813B6h) 000818F7 add esp,8 000818FA mov dword ptr [ret],eax
函数调用过程
//跳转调用函数 000818F2 call _Add (0813B6h) 000818F7 add esp,8 000818FA mov dword ptr [ret],eaxcall 指令是要执行函数调用逻辑的，在执行 call指令之前先会把call 指令的下一条指令的地址进行压栈操作，这个操作是为了解决当函数调用结束后要回到call 指令的下一条指令的地方，继续往后执行。
当我们跳转到Add函数，就要开始观察Add函数的反汇编代码了。
int Add(int x, int y) { 00081830 push ebp //将main函数栈帧的ebp保存,esp-4 00081831 mov ebp,esp //将main函数的esp赋值给新的ebp，ebp现在是Add函数的ebp 00081833 sub esp,0CCh //给esp-0xCC，求出Add函数的esp 00081839 push ebx //将ebx的值压栈,esp-4 0008183A push esi //将esi的值压栈,esp-4 0008183B push edi //将edi的值压栈,esp-4 int z = 0; 00081855 mov dword ptr [z],0 //将0放在z的地址处，其实就是创建z z = x + y; //接下来计算的是x+y，结果保存到z中 0008185C mov eax,dword ptr [x] //将x地址处的数字存储到eax中 0008185F add eax,dword ptr [y] //将y地址处的数字加到eax寄存中 00081862 mov dword ptr [z],eax //将eax的结果保存到z的地址处，其实就是放到z中 return z; 00081865 mov eax,dword ptr [z] /*将z地址处的值放在eax中，其实就是把z的值存储到eax寄存器中，这里是想通过eax寄存器带回计算的结果，做函数的返回值。*/ } 00081868 pop edi 00081869 pop esi 0008186A pop ebx 00081878 mov esp,ebp 0008187A pop ebp 0008187B ret代码执行到 Add 函数的时候，就要开始创建 Add 函数的栈帧空间了。在 Add 函数中创建栈帧的方法和在 main 函数中是相似的，在栈帧空间的大小上略有差异而已。1. 将 main 函数的 ebp 压栈2. 计算新的 ebp 和 esp3. 将 ebx ， esi ， edi 寄存器的值保存4. 计算求和，在计算求和的时候，我们是通过 ebp 中的地址进行偏移访问到了函数调用 前压栈进去的参数，这就是形参访问。5. 将求出的和放在 eax 寄存器准备带回
图片中的 a' 和 b' 其实就是 Add 函数的形参 x , y 。这里的分析很好的说明了函数的传参过程，以及函数在进行值传递调用的时候，形参其实是实参的一份拷贝。对形参的修改不会影响实参。
3.3.7 函数栈帧的销毁
当函数调用要结束返回的时候，前面创建的函数栈帧也开始销毁。那具体是怎么销毁的呢？我们看一下反汇编代码。00081868 pop edi //在栈顶弹出一个值，存放到edi中，esp+4 00081869 pop esi //在栈顶弹出一个值，存放到esi中，esp+4 0008186A pop ebx //在栈顶弹出一个值，存放到ebx中，esp+4 00081878 mov esp,ebp /*再将Add函数的ebp的值赋值给esp，相当于回收了Add函数的栈 帧空间*/ 0008187A pop ebp /*弹出栈顶的值存放到ebp，栈顶此时的值恰好就是main函数的ebp， esp+4，此时恢复了main函数的栈帧维护，esp指向main函数栈帧的栈顶，ebp指向了main函数栈帧的栈 底。*/ 0008187B ret /*ret指令的执行，首先是从栈顶弹出一个值，此时栈顶的值就是call指 令下一条指令的地址，此时esp+4，然后直接跳转到call指令下一条指令的地址处，继续往下执行。*/回到了 call 指令的下一条指令的地方：
但调用完Add函数，回到main函数的时候，继续往下执行，可以看到：
000818F7 add esp,8 /*esp直接+8，相当于跳过了main函数中压栈的 a'和b'*/ 000818FA mov dword ptr [ret],eax /*将eax中值，存档到ret的地址处， 其实就是存储到main函数中ret变量中，而此时eax中就是Add函数中计算的x和y的和，可以看出来，本次函 数的返回值是由eax寄存器带回来的。程序是在函数调用返回之后，在eax中去读取返回值的。*/
【拓展了解】
其实返回对象时内置类型时，一般都是通过寄存器来带回返回值的，返回对象如果时较大的对象时，一般会在主调函数的栈帧中开辟一块空间，然后把这块空间的地址，隐式传递给被调函数，在被调函数中通过地址找到主调函数中预留的空间，将返回值直接保存到主调函数的。
到这里我们给大家完整的演示了 main 函数栈帧的创建， Add 函数站真的额创建和销毁的过程，相信大家已经能够基本理解函数的调用过程，函数传参的方式，也能够回答本文开始处的问题了。