EIP/EBP/ESP 三大暫存器在函數呼叫堆疊幀中的角色解析

x86 函數呼叫慣例：三大指標暫存器的協作機制

在 x86 架構下，`EIP` (指令指標)、`EBP` (基底指標)、`ESP` (堆疊指標) 三大暫存器共同維護函數呼叫的堆疊幀結構，實現區域變數儲存、參數傳遞、返回位址保存與呼叫鏈追蹤。

暂存器核心職責

函數呼叫完整流程示例

void fun(void) {
    printf("hello world");
}

void main(void) {
    fun();
    printf("函數調用結束");
}

階段 1：呼叫前 (main 執行到 `call fun`)

EIP: 指向 `call fun` 指令
ESP: 指向 main 的堆疊頂
EBP: 指向 main 的堆疊幀基址

階段 2：`call fun` 執行 (硬體自動完成)

1. 將返回位址 (`call` 後下一條指令位址) 壓入堆疊 → `ESP -= 4; [ESP] = 返回位址`
2. `EIP` 更新為 `fun` 入口位址

階段 3：fun 序言 (Prologue，編譯器插入)

push ebp        ; 保存呼叫者 EBP
mov  ebp, esp   ; 建立新堆疊幀基址
sub  esp, N     ; 配置區域變數空間 (N bytes)

EBP: 新堆疊幀基址 (指向保存的舊 EBP)
ESP: 配置區域變數後的堆疊頂
堆疊佈局 (高位址 → 低位址):
[呼叫者 EBP] ← EBP
[返回位址]
[區域變數...] ← ESP

階段 4：fun 執行體

• 區域變數存取：`[EBP - offset]`
• 參數存取：`[EBP + offset]` (返回位址在 EBP+4，第一參數在 EBP+8)
• 可呼叫其他函數 (遞迴相同流程)

階段 5：fun 結語 (Epilogue)

mov  esp, ebp   ; 恢復堆疊指標 (釋放區域變數)
pop  ebp        ; 恢復呼叫者 EBP
ret             ; 彈出返回位址到 EIP，ESP += 4

階段 6：返回 main 繼續執行

EIP: 指向 main 中 `call fun` 後的 `printf("函數調用結束")`
ESP: 還原為呼叫前狀態
EBP: 還原為 main 的堆疊幀基址

關鍵洞見

1. EBP 是堆疊幀的「錨點」：函數執行期間固定不變，提供穩定基址存取區域變數與參數
2. ESP 隨時變動：`push`/`pop`/`call`/`ret`/區域配置皆修改 ESP
3. EIP 由硬體/控制轉移指令更新：`call`/`ret`/`jmp`/中斷/異常
4. 堆疊幀鏈結：`[EBP]` 儲存呼叫者 EBP，形成鏈結，除錯器可回溯呼叫堆疊

優化與省略幀指標

編譯器最佳化 (`-O2` `/O2`) 可能啟用 FPO (Frame Pointer Omission)：

• 不保存/恢復 EBP，直接用 `ESP + offset` 存取區域變數
• EBP 釋放為通用暫存器 (第 8 個通用暫存器)
• 副作用：除錯器難以回溯呼叫堆疊，需 PDB/DWARF 除錯資訊輔助

實務應用場景

• 緩衝區溢位攻擊/防禦：覆寫返回位址 (EBP+4) 劫持 EIP
• 除錯器堆疊回溯：沿 EBP 鏈結追蹤呼叫鏈
• 異常處理/SetUnhandledExceptionFilter：走堆疊幀尋找處理器
• 效能分析取樣：定期採樣 EIP 統計熱點函數
• 協程/綠色執行緒實現：手動切換 ESP/EBP/EIP 實現用戶態排程

理解 EIP/EBP/ESP 協作機制，是掌握 x86 程式執行模型、撰寫系統級程式碼、進行深度除錯與安全分析的基石。