C 語言函數調用棧深度解析（一）：棧幀結構、寄存器約定與調用流程

引言：程式執行的本質是函數調用鏈

每個用戶態進程擁有一個調用棧，支撐函數參數傳遞、返回地址保存、上下文保護、局部變數存儲。理解棧幀機制是掌握 C 語言運行時行為、除錯優化、逆向分析的基石。

1. IA32 寄存器架構與角色分工

Caller-saved：主調函數若需保留值，調用前必須自行入棧。
Callee-saved：被調函數若使用，必須在序言保存、結語恢復。

2. 棧幀結構詳解

棧幀 = 單次函數調用在棧上佔用的連續區域。邊界由 %ebp (棧底/高地址) 和 %esp (棧頂/低地址) 界定。

典型棧幀佈局 (高地址 → 低地址)

[主調函數棧幀]
...
[參數 N]          ← 最後壓入 (最右參數)
...
[參數 2]
[參數 1]          ← 最先壓入 (最左參數)
[返回地址]        ← call 指令隱含壓入 (下一條指令地址)
[舊 %ebp]         ← 序言壓入 (主調函數的幀基指針)
[局部變數 1]      ← 被調函數分配
[局部變數 2]
...
[暫存/寄存器保存區] (可選)
[被調函數棧幀]

關鍵特性

• 棧向低地址增長：push 使 %esp 減小，pop 使其增大
• 參數壓棧順序：C 語言 從右向左 (最右參數最先入棧)，便於支援可變參數 (printf 首參數固定位置)
• 返回值：標量放 %eax，結構體/聯合體另行約定 (通常由主調分配空間傳隱含指針)
• 遞歸隔離：每次調用分配新棧幀，天然隔離層級變數

3. 函數調用完整流程 (Cdecl 約定)

主調函數

1. 將參數從右至左壓棧 (或預留空間 mov 存入)
2. call callee：壓入返回地址 (%eip)，跳轉入口

被調函數序言

push %ebp           ; 保存舊幀基指針
mov  %esp, %ebp     ; 建立新幀基指針 (指向舊 %ebp 位置)
sub  $N, %esp       ; 分配局部變數空間 (N 通常為 16 的倍數，對齊優化)
push %ebx/%esi/%edi ; 可選：保存 Callee-saved 寄存器

函數體執行

• 訪問參數：8(%ebp) 為第 1 參數，12(%ebp) 為第 2 參數... (正偏移)
• 訪問局部變數：-4(%ebp), -8(%ebp)... (負偏移)
• 返回值置 %eax

被調函數結語

pop  %edi/%esi/%ebx ; 恢復 Callee-saved 寄存器
mov  %ebp, %esp     ; 釋放局部變數空間 (等價 leave)
pop  %ebp           ; 恢復主調函數幀基指針
ret                 ; 彈出返回地址至 %eip，跳轉繼續執行

主調函數清理

add $N, %esp 彈出參數 (Cdecl 由主調清理)。

4. 關鍵指令語義

5. 參數傳遞優化：預留空間法

GCC 3.4+ 採用 subl $16, %esp 一次性預留最大參數空間，後續調用直接 mov 存入對應偏移，避免重複 push/pop 修改 %esp，效率更高。

6. 實戰驗證：StackFrame 示例分析

文章提供完整 C 代碼、編譯輸出、棧內存佈局圖解，展示：

• 結構體成員入棧順序與聲明順序相反 (低地址優先)
• 值傳遞無法修改實參 (形參是副本)
• memset 清零鄰近變數風險 (按地址連續操作)
• 局部變數佈局受優化等級影響，不可依賴相對位置

7. 多線程與棧切換

每個線程擁有獨立棧區。線程切換核心動作：保存當前 %esp，載入目標線程 %esp，即切換棧上下文。

總結

函數調用棚是編譯器、ABI、CPU 協作的精密機制。掌握棧幀佈局、寄存器約定、序言結語模式，能讓你：

• 閱讀彙編碼定位 Bug (參數錯亂、棧溢出、返回地址損壞)
• 編寫高效內聯彙編與裸機代碼
• 理解緩衝區溢出攻擊原理與棧保護機制 (Canary, ASLR, NX)
• 進行逆向工程與二進制分析

下一篇將深入探討參數傳遞細節、可變參數實現、結構體返回值約定及 x86_64 架構差異。