缓冲区溢出解密二

而如果esp被push到堆栈，这是堆栈的表示：
|_parametre_i___| ebp 12
|_parametre ii__| ebp 8
|_return adress_| ebp 4
|___saved_esp___| ebp esp
|_local var i __| ebp-4
|_local var ii__| ebp-8
在上面的图中，变量i 和ii是传递给函数的参数。在返回地址和保存esp之后，var i和ii是函数的局部变量。现在，如果我们总结所有我们所讲的，当调用一个函数的时候：
1.我们保存老的堆栈指针，push它到堆栈 2.我们保存下一个指令的地址(返回地址)，push它到堆栈。3.我们开始执行程序指令。
当我们调用一个函数时，上面3步都做了。
让我们在一个生动的例子中看堆栈的操作。
a.c :
void f(int a, int b, int c)
{
char z[4];
}
void main()
{
f(1, 2, 3);
} 用-g标志编译这个从而能够调试：
[murat@victim murat]$ gcc -g a.c -o a
让我们看看这里发生了什么：
[murat@victim murat]$ gdb -q ./a
(gdb) disas main
dump of assembler code for function main:
0x8048448 : pushl 雙
0x8048449 : movl %esp,雙
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
0x8048451 : call 0x8048440
0x8048456 : addl $0xc,%esp
0x8048459 : leave
0x804845a : ret
end of assembler dump.
(gdb)
以上可见，main()函数中第一个指令是：
0x8048448 : pushl 雙
它支持老的指针，并把它压入堆栈。接着，拷贝老的堆栈指针倒ebp寄存器：
0x8048449 : movl %esp,雙
因而，从那时起，在函数中，我们将用ebp引用函数的局部变量。这两个指令被称为”程序引入”。接着，我们反序push函数f()的参数到堆栈中。
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
我们调用这个函数：
0x8048451 : call 0x8048440
如我们已经通过call调用解释的那样，我们push指令addl $0xc,%esp的地址0x8048456到堆栈。函数ret调用后，我们加12或者十六进制中的0xc(因为我们推入3个参数到堆栈中，每一个分配了4个字节(整型))。 接着我们离开main()函数，并且返回：
0x8048459 : leave
0x804845a : ret
好，在函数f()内部发生了什么呢？
(gdb)
disas f
dump of assembler code for function f:
0x8048440 : pushl 雙
0x8048441 : movl %esp,雙
0x8048443 : subl $0x4,%esp
0x8048446 : leave
0x8048447 : ret
end of assembler dump.
(gdb)
开始两个指令都是一样的。它们是程序引入。接着我们看a：
0x8048443 : subl $0x4,%esp
从esp减去了4个字节。这是为局部变量z分配空间。记得我们定义它为char z[4]？它是一个4字节的字符数组。最后，在末尾，函数返回：
0x8048446 : leave
0x8048447 : ret