深入解析8086函数调用栈变化机制与调试实践

1次阅读

没有评论

共计 1173 个字符，预计需要花费 3 分钟才能阅读完成。

在 8086 架构中，SP（栈指针）和BP（基址指针）是管理函数调用栈的两个关键寄存器：

SP 寄存器：始终指向栈顶位置，PUSH/POP/CALL/RET 指令会实时修改其值
BP 寄存器：作为栈帧的锚点，用于定位参数和局部变量

当执行 CALL func 指令时，处理器自动完成以下操作：

将下条指令地址（返回地址）压入栈
跳转到目标函数地址

此时栈状态变化示意图：

调用前      调用后
|        |   | ret addr |
|        |   | old BP   | ← SP
|--------|   |--------|

; 调用方代码
push arg2      ; 参数从右向左压栈
push arg1
call func
add sp, 4      ; 调用方负责清理栈

; 被调用方
func proc
    push bp
    mov bp, sp
    sub sp, 8   ; 分配局部变量空间
    ...
    mov sp, bp  ; 清理局部变量
    pop bp
    ret         ; 被调用方不清理参数
func endp

; 调用方
push arg1
push arg2
call func      ; 无需调整 SP

func proc
    push bp
    mov bp, sp
    ...
    pop bp
    ret 4       ; 被调用方清理 4 字节参数
func endp

使用 GDB 观察栈状态的典型命令流程：

设置断点：b *func+10
查看栈内存：x/10x $sp

跟踪 EBP 链：

(gdb) x/w $ebp
0xffffd020: 0xffffd03c  ← 上一帧 EBP
(gdb) x/w 0xffffd03c
0xffffd03c: 0xffffd058  ← 更上一帧 EBP

PUSH/POP 不匹配

func proc
    push ax
    ; 忘记 pop ax
    ret   ; 错误返回!
func endp

局部变量越界

sub sp, 2   ; 分配 2 字节
mov [bp-4], ax  ; 越界写入!

BP 寄存器误用

mov bp, cx  ; 破坏栈帧基准
mov ax, [bp+4]  ; 错误访问参数

插入哨兵值检测栈溢出：

func proc
    push bp
    mov bp, sp
    sub sp, 16
    mov word ptr [bp-2], 0xDEAD  ; 哨兵值
    ...
    cmp word ptr [bp-2], 0xDEAD  ; 检查
    jne stack_corrupted
    mov sp, bp
    pop bp
    ret
func endp

通过观察栈帧中的返回地址是否指向合法代码区域，以及相邻栈帧的 EBP 值是否形成合理链式结构，可以识别缓冲区溢出攻击的常见特征——攻击者通常会覆盖返回地址指向注入的 shellcode 区域。