C 語言函數指針棧幀劫持：手動修改返回地址導致訪問衝突

代碼嘗試在可變參數函數中覆蓋棧上返回地址為 userret，導致函數返回時跳轉至錯誤地址 0x14（第一個參數值 20）。

根因

• *(a-1) = userret 假設返回地址緊鄰第一個參數，實際棧幀佈局包含保存的 EBP、返回地址、參數等，偏移計算錯誤。
• 修改後返回至 userret 執行完，再次 ret 時彈出的地址已被破壞，導致跳轉至參數值處。

修正方向

若必須實現此類控制流轉移，需精確計算棧幀偏移（通常需反汇編確認），並確保 userret 結束後能正確返回原調用點（需手動保存原返回地址）。強烈不建議在生產代碼中嘗試，屬於未定義行為且極難移植。