EBP、ESP作用——esp始终指向栈顶,ebp是在堆栈中寻址用的(就是临时变量嘛)

基本概念:

(1)ESP:栈指针寄存器(extended stack pointer),其内存放着一个指针,该指针永远指向系统栈最上面一个栈帧的栈顶。

(2)EBP:基址指针寄存器(extended base pointer),其内存放着一个指针,该指针永远指向系统栈最上面一个栈帧的底部。


————————————————————— 

以下摘自网上一篇文章: 

push       ebp            ;ebp入栈 
mov     ebp, esp          ;因为esp是堆栈指针,无法暂借使用,所以得用ebp来存取堆栈 
sub      esp, 4*5         ;下面的wsprintf一共使用了5个参数,每个参数占用4个字节,所以要入栈4*5个字节 
push    1111 
push    2222 
push    3333 
push    offset szFormat 
push    offset szOut 
call      wsprintf          ;调用wsprintf 
add     esp, 4*5        ;堆栈使用完毕,“还”回4*5个字节给系统 
… 
mov    esp, ebp        ;恢复esp的值 
pop    ebp           ;ebp出栈 
ret 

明白了吗?主要是用来保存/恢复堆栈,以便传递参数给函数。 
在MASM里面,有一条更方便的语句,就是invoke 
使用它后,你就不用自己做这些事情了。 

————————————————————— 

esp始终指向栈顶,ebp是在堆栈中寻址用的


我的理解:

调用一个函数时,先将堆栈原先的基址(EBP)入栈,以保存之前任务的信息。然后将栈顶指针的值赋给EBP,将之前的栈顶作为新的基址(栈底),然后再这个基址上开辟相应的空间用作被调用函数的堆栈。函数返回后,从EBP中可取出之前的ESP值,使栈顶恢复函数调用前的位置;再从恢复后的栈顶可弹出之前的EBP值,因为这个值在函数调用前一步被压入堆栈。这样,EBP和ESP就都恢复了调用前的位置,堆栈恢复函数调用前的状态。

二.通过ollydbg跟踪esp和ebp

这里写图片描述

可以看到,初始情况下,ebp此时值为0012FEDC,也就是栈帧的地址,而栈顶地址esp值为0012FDFC。可以看到两个值有一定的关系。而帧指针的地址较高。

 

然后我们让它执行前两句,push ebp,mov ebp,esp
这里写图片描述

可以看到前两句已经执行了,那么ebp跟esp的值也发生了变化。esp=0012FDF8,ebp=0012FDF8。为神马?一句句解读,push ebp,向栈里面压入了一个东西,那么栈顶此时应该发生变化了,也就是地址-4字节。为什吗是减法呢?因为是向低地址增长的,这点一定得注意。所以此时esp变化成了0012FDFC-4=OO12FDF8.至于ebp也等于0012FDF8就不解释了。

 

接着上图不解释:
这里写图片描述

此时呢,观察现在的值。栈顶esp=0012FDF4,而ebp=0012FDF8;没啥好说的,此时的栈顶已经又跑上去了,说明又有元素压栈了。那么执行这句mov esp,ebp之后,不用说,esp跟ebp都会变成0012FDF8.

我们重点看下一幅,执行完pop,让ebp出栈,后会发生神马。

这里写图片描述
此时ebp已经出栈了,来看看那他们的值,esp=0012FDFC,ebp=0012FEDC.首先,ebp出栈了,这个时候栈空了,所以栈顶会变成初始时的值001212FDFC。相当于上图中的esp=0012FDF8+4=0012FDFC.注意出栈,则栈顶+4,然后呢。ebp为啥变成了0012FEDC初始的值?ebp不是一直保存着esp的初始地址么?
所以重点就在pop这个语句了。pop ebp究竟表达神马意思?ebp的值起初存在了栈中,出栈以后,它的值就恢复了原样。所一句灰常重要啊。pop的意思也许就是把弹出的值赋给我们的变量,pop ebp,也就是把存在栈中的值弹出来赋给ebp。
所以我在这里总结几句:
1、两句的mov ebp,esp实际上是把ebp进栈后的栈顶地址给了ebp。
2、在ebp没有出栈钱,它会一直保存ebp进栈以后的栈顶值,也就是1的值。
3、在ebp出栈前,需要把esp恢复到只有ebp在栈中时的值。
4、出栈后,esp自然恢复到ebp进栈以前的初始值,而pop ebp则恢复了ebp的初始值。
5、pop的语义很重要,pop ebp的意思是把当前栈顶的元素出栈,送入ebp中,而不是让ebp出栈,这点必须明确!

posted @ 2020-09-13 21:44  bonelee  阅读(2776)  评论(0编辑  收藏  举报