小览CallStack(调用栈)(三)-用调试器脚本查看调用栈信息

在这一系列之前的两篇文章中，我介绍了如何在windbg中查看调用栈的相关信息（详见小览call stack(调用栈)(一)），以及调用约定（详见小览call stack(调用栈) (二)——调用约定）。今天的这篇博客在二者的基础之上，介绍如何使用调式器脚本程序来观察调用栈。对CallStack感兴趣的朋友可以在此基础上开发更加详尽的脚本来观察CallStack的信息；对调试感兴趣的朋友则可以看一下DScript的用处。

我们先来看一个例子，下面的程序并不是一个优美的程序片段，但是它能够帮助我们说明问题。程序使用了一个简单的递归，把1到参数d的和累加到sum之上。在main中，我们把d设为10，这样，在断点处，我们就能获得一个深度为11的调用栈。

#include <stdio.h>

int SumToOne(int d, int sum)
{
    sum += d;
    if (d != 1)
        sum = SumToOne(d-1, sum);
    else
        sum = sum; // 这条语句方便设置断点
    return sum;
}

void main()
{
    int sum = SumToOne(10, 0);
    printf("sum=%d", sum);
}

然后，在当前文件夹下，编辑调试器脚本文件DumpStack.txt，内容如下

.printf "Dump %d frames\n", ${$arg1}
r $t1=@ebp;
.for (r $t0=1; $t0<=${$arg1}; r $t0=$t0+1)
{
    .printf "frame %d, d=%d sum=%d\n", $t0, poi($t1+8), poi($t1+c)
    r $t1=poi($t1)
}

在windbg中，运行程序，当程序停止在断点处时，执行脚本

$$>a< “dumpStack.txt”a

如下图所示

我们看到了10个frame以及它的参数信息。

现在，对这个调试脚本稍加解释，稍显来看看脚本的语法：

1. 调试脚本的调用方法，windbg的语法是$$>a< “脚本文件名”参数。其中$$>a<中的a示意运行脚本的时候传入参数(argument)
2. 调试脚本的参数：在调试脚本中，用${$argi}来引用第i个参数。由于windbg默认16进制数，所以我们在调用这个参数的时候，用了a($$>a< "dumpStack.txt" a)
3. 脚本变量的赋值和引用：这里使用了windbg别名(alias)的语法，大家可以把别名类比成c中的宏。在赋值的时候，用r $别名= 的格式，引用的时候，使用$别名
4. 取值操作：c中的*p操作在windbg中，要用poi(p)，原因是因为windbg默认支持MSAM语法。
5. 控制语句：.for语句的使用和任何一种语言的for语句思想一样，不再多述
6. 输出语句：.printf和c中的printf也基本相似，这里也不多述

了解了语法之后，来看看算法：

1. 脚本通过poi($t1+8), poi($t1+c)来显示每个frame中d和sum的值，这里$t1代表了每个frame中ebp的值，所以简单的说，就是把每个frame中ebp+8，ebp+c的值输出。在介绍调用约定的博客中，我讲述了这个偏移量的由来，在这里重温一下。由于函数SumToOne是stdcall，压栈顺序从右往左，如下表所示

   前一个ebp

   eip

   d

   sum

   ebp指向存储前一个ebo的位置，所以d的位置在ebp+8,sum在ebp+c
2. 前往下一个frame，只需要把栈上ebp位置的值取出，作为新的ebp就可以了。因为基本上每一个程序在进行栈操作之前都会备份老的ebp(push ebp)，然后把当前的esp作为新的ebp(mov ebp, esp)

总结一下，今天这篇博文作为这个系列的结束，通过一个调式器脚本，复习了之前讲述的调用栈的相关概念。同时也展示了调试器脚本的相关语法。