沒錯,我確信這已經隱含地回答了很多次,但我似乎無法完全理解它。ESP和EBP之間是什麼?
如果您有一個(x86)堆棧跟蹤(比如說,在WinDbg中查看它),並且您查看寄存器,那麼EBP和ESP值相距x字節意味着什麼?
鏈接:
- https://stackoverflow.com/a/3699916/321013
- https://stackoverflow.com/a/2466587/321013
- https://stackoverflow.com/a/5738940/321013
舉一個最近的堆棧跟蹤我有一個例子:
0:016> k
ChildEBP RetAddr
1ac5ee8c 76b831bb ntdll!NtDelayExecution+0x15
1ac5eef4 76b83a8b KERNELBASE!SleepEx+0x65
1ac5ef04 0060e848 KERNELBASE!Sleep+0xf
1ac5ef10 76859d77 MyApp!application_crash::CommonUnhandledExceptionFilter+0x48 [...\applicationcrash.inc.cpp @ 47]
1ac5ef98 775a0df7 kernel32!UnhandledExceptionFilter+0x127
1ac5efa0 775a0cd4 ntdll!__RtlUserThreadStart+0x62
1ac5efb4 775a0b71 ntdll!_EH4_CallFilterFunc+0x12
1ac5efdc 77576ac9 ntdll!_except_handler4+0x8e
1ac5f000 77576a9b ntdll!ExecuteHandler2+0x26
1ac5f0b0 7754010f ntdll!ExecuteHandler+0x24
1ac5f0b0 6e8858bb ntdll!KiUserExceptionDispatcher+0xf
1ac5f400 74e68ed7 mfc80u!ATL::CSimpleStringT<wchar_t,1>::GetString [f:\dd\vctools\vc7libs\ship\atlmfc\include\atlsimpstr.h @ 548]
1ac5fec0 6e8c818e msvcr80!_NLG_Return [F:\dd\vctools\crt_bld\SELF_X86\crt\prebuild\eh\i386\lowhelpr.asm @ 73]
1ac5ff48 74e429bb mfc80u!_AfxThreadEntry+0xf2 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\thrdcore.cpp @ 109]
1ac5ff80 74e42a47 msvcr80!_callthreadstartex+0x1b [f:\dd\vctools\crt_bld\self_x86\crt\src\threadex.c @ 348]
1ac5ff88 76833677 msvcr80!_threadstartex+0x66 [f:\dd\vctools\crt_bld\self_x86\crt\src\threadex.c @ 326]
1ac5ff94 77569f02 kernel32!BaseThreadInitThunk+0xe
1ac5ffd4 77569ed5 ntdll!__RtlUserThreadStart+0x70
1ac5ffec 00000000 ntdll!_RtlUserThreadStart+0x1b
0:016> r
eax=00000000 ebx=1ac5efc8 ecx=19850614 edx=00000000 esi=1ac5eed0 edi=00000000
eip=7754fd21 esp=1ac5ee8c ebp=1ac5eef4 iopl=0 nv up ei pl nz na pe nc
cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00010206
ESP 1ac5ee8c
的值 - EBP 1ac5eef4
= 104字節的差異。那裏有什麼?
Wrt。我的例子中,我在調試器中檢查了Sleep的調用:'SleepEx'和'NtDelayExecution'都沒有'push EBP',特別是'SleepEx'似乎不平凡。因此,在我的例子中,EBP仍然指向'Sleep'堆棧位置,所有來自兩個被調用函數的東西也在堆棧中。 – 2013-02-22 09:53:39
是的,大多數WinAPI函數都可以使用編譯器選項構建,這樣可以釋放EBP以供一般用途使用。也就是說,編譯器會跟蹤它在整個函數中修改ESP的程度,並根據需要使用不同的偏移量引用相對於ESP的局部變量。在這種情況下,無法知道EBP-ESP是否準確反映當前堆棧幀的大小。很可能它沒有。 – 2013-02-22 12:31:56
什麼是'some_number'?不總是0? – zoujyjs 2017-08-29 10:58:30