更为复杂C程序的运行时结构

运行环境 win 10 企业版 1809 17763.194，MinGW V3.14 32位，Bundled V3.13.2，Bundled GDB V8.2。

在C语言中，栈的方向是从高地址向低地址延伸，而数组中数据在栈中的存储方向与此正好相反。字符串拷贝等数组操做是不对数据长度作审核的，若是实际的数据长度超过了栈中预留的空间，就会将栈中其余数据覆盖，这种现象被称为“栈溢出”。栈溢出可能致使一个不可预期的错误，也可能致使一个精心策划的执行流程发生改变。可见，是否可以对本身所写程序的运行时状态作到心中有数，是可否写出高质量、安全代码的前提保证。

以上两节介绍的运行时结构都是由C程序所对应的指令，在内存中执行，驱动数据变化而产生的。C程序只有通过编译，才能生成目标代码。目标代码将与指令和全局数据一一对应。编译的最终目标就是能让C程序的设计意图体如今运行时结构中，这也使得编译的每一个阶段的中心任务都要为造成运行时结构着想。下一节咱们将概述编译的过程。

1.2　更为复杂C程序的运行时结构（1）

在实际编程过程当中会遇到更为复杂的问题。要解决这样的问题，更加依赖对运行时结构的了解。下面咱们来看一个比较复杂的案例，案例的两个程序分别以下：

#include <stdio.h>
#include <string.h>

void fun1() {
    int m = 10;
    char num[4];
    strcpy(num, "bbbb");
}

void fun2() {
    printf("You were attacked!!!\n");
}

int main() {
    fun1();
    printf("over");
    return 0;
}

#include <stdio.h>
#include <string.h>

void fun1() {
    int m = 10;
    char num[4];
    strcpy(num, "bbbbbbbbbbbb\x12\x13\x40\x00");
}

void fun2() {
    printf("You were attacked!!!\n");
}

int main() {
    int address = (int) fun2;
    printf("%08x\n", address);

    fun1();

    return 0;
}

 

这个案例中的两个程序在代码上只有微小的差异，但执行结果却不一样，尤为是左边的程序，执行结果以下所示：

这些字符显然是fun2函数被调用时才会输出的，但fun2这个函数在本程序中没有被调用过，这样的输出结果显得有些难以想象了，程序执行时到底发生了什么呢？下面咱们一步一步地对比分析这个案例。咱们先来看main函数调用fun1函数时的情景，fun1函数执行后的返回地址被压入栈中，跳转到fun1函数执行，此时两边程序的执行没有差别，情景如图1-29所示。

以后保存了main函数栈底的地址值，ebp被腾出来，指向fun1函数的栈底，此时两边也没有差别。情景如图1-30所示。

m入栈，初始化为10，为num数组开辟了栈空间，此时仍然没有差别，情景如图1-31所示。

下面差别产生了。调用strcpy函数，执行的目的是把指定的字符串拷贝到num数组中，指定多少，拷贝多少。咱们先来看右边的程序。该程序会把指定的字符串拷贝给num数组，其长度恰好填满num数组，情景如图1-32所示。

再看左边程序，指定的字符串长度已经超出了num数组的长度，因此在拷贝的时候，会把栈中前面的数据覆盖掉，包括num的数组、main函数栈底地址值直至fun1函数执行后的返回地址，所有被覆盖，情景如图1-33所示。

覆盖的结果使得fun1函数在返回并恢复现场时出现了问题。

咱们先来看右边的程序，跳转回main函数，正常恢复，情景如图1-34所示。

再看左边的程序，栈底地址值被覆盖了，ebp会获得一个乱值，再也不指向main函数的栈底，另外，因为fun1函数执行后返回地址已经被覆盖，并且覆盖的数值正好是fun2函数的起始地址，将这个数据传递给eip，那么eip天然跳转到fun2函数执行，至关于调用了fun2函数，也就输出了fun2函数的打印信息。同时，ebp成了乱值，程序最终将产生段错误，情景如图1-35所示。