在
C/C++
语言中，函数是如何被调用的呢？本文就实际的例子，走进汇编代码来看下函数调用的过程。
首先看一个简单的代码例子：
void
test(int i)
{
int j = i;
}
void
test1()
{
}
int
test2()
{
return 1;
}
void
test3(int a,int b,int c)
{
}
void
test4()
{
int i,j;
}
void
test5()
{
int i,j,k,l;
}
int
main()
{
int i =0;
test1();
test(10);
test3(1,2,3);
i=test2();
test4();
test5();
return 0;
}
这段代码很简单，
mian
函数调用几个被测试的函数，分别是：
1．
没有参数
2．
有一个参数
3．
有
3
个参数
4．
有返回值
5．
有两个临时变量
6．
有多个临时变量
在
VC7
中，我们将断点设置到
main
函数入口的地方；然后
F5
运行程序。再按
ALT+8
反汇编，我们看到下面的代码：
Main
函数变成这样了：
int main()
{
00401120 push ebp
00401121 mov ebp,esp
00401123 sub esp,0CCh
00401129 push ebx
0040112A
push esi
0040112B push edi
0040112C
lea edi,[ebp-0CCh]
00401132 mov ecx,33h
00401137 mov eax,0CCCCCCCCh
0040113C
rep stos dword ptr [edi]
int i =0;
0040113E mov dword ptr [i],0 //
直接将数据
0
放到指定地址中
test1();
00401145 call test1 (401030h)
test(10);
0040114A
push 0Ah
0040114C
call test (401000h)
00401151 add esp,4
test3(1,2,3);
00401154 push 3
00401156 push 2
00401158 push 1
0040115A
call test3 (401090h)
0040115F
add esp,0Ch
i=test2();
00401162 call test2 (401060h)
00401167 mov dword ptr [i],eax
test4();
0040116A
call test4 (4010C0h)
test5();
0040116F
call test5 (4010F0h)
return 0;
00401174 xor eax,eax
}
00401176 pop edi
00401177 pop esi
00401178 pop ebx
00401179 add esp,0CCh
0040117F
cmp ebp,esp
00401181 call _RTC_CheckEsp (4011E0h)
00401186 mov esp,ebp
00401188 pop ebp
00401189 ret
函数入口部分：
00401120 push ebp //
保存
ebp
的值
00401121 mov ebp,esp //
将当前栈顶指针送到
ebp
00401123 sub esp,0CCh //
将栈顶指针下移
0XCC
个字节，为临时变量留出空间
00401129 push ebx //
保存
ebx
0040112A
push esi //
保存
esi
0040112B push edi //
保存
edi
0040112C
lea edi,[ebp-0CCh] //
将
edp-0CC
地址送
EAX
00401132 mov ecx,33h //CC/4
得到的
00401137 mov eax,0CCCCCCCCh //
初始化为
0XCCCCCCCCH
0040113C
rep stos dword ptr [edi]//
复制
这写汇编是编译器为我们生成的函数入口部分，基本的含义是为临时变量分配空间，并且初始化临时变量。
这里需要说明几点：
1．
函数调用是通过堆栈来完成的。
2．
函数入口的地方必须为临时变量分配一定空间；实际上如果没有临时变量，也要留出
C0
个字节。
3．
堆栈栈顶指针随数据的进入逐渐减小。因此
sub esp
，
0CCh
实际上是留出了
CC
个自己的堆栈空间。
我们看到实现将栈顶指针保存在
ebp
中，然后对该段空间设置初始值。而
0XCCCCCCH
是由堆栈的性质决定，可以看
MSDN
。
如果开始的时候假设
ESP
等于
0X12FEE0
，那么在保存
EBP
之后，
ESP
变成
0X12FEDC
，那么后来
EBP
中的值就是这个值，在保存的空间（从
0X12FE10
到
0X12FEDC
）上将所有的内存都初始化为
0XCC
。而
i
被分配在
0X12FED4
处，也就是第一个预留的位置）。
call test1 (401030h)
由于已经知道
i
的地址了，对
i
的赋值就很简单了。这里看调用第一个没有参数没有返回值的
test1
函数；仅仅一条语句，将
test1
的函数地址给
call
指令。
EAX = CCCCCCCC EBX = 7FFDE000 ECX = 00000000 EDX = 00000001
ESI = 00000040 EDI = 0012FEDC EIP = 00401145 ESP = 0012FE04
EBP = 0012FEDC EFL = 00000202
上面是
Call
指令调用前各寄存器的值；下面是调用后的值：
EAX = CCCCCCCC EBX = 7FFD7000 ECX = 00000000 EDX = 00000001
ESI = 00000040 EDI = 0012FEDC EIP = 00401030 ESP = 0012FE00
EBP = 0012FEDC EFL = 00000202
主要变化在于
EIP
和
ESP
；前者是指令指针寄存器，而后者是堆栈指针寄存器。调用前指令的位置在
00401145
位置，而
call
指定将
EIP
改为
test1
的地址；同时将返回地址入栈；可以看到当前栈顶的值是
0040114A
，实际上是
test1
的下条指令。
因此我们说
Call
指定做了两件事情：
1．
将
EIP
从当前值改为被调用函数的值。
2．
将返回地址，也就是当前地址的下条指令放入堆栈。
现在进入
test1
中看个究竟。
void test1()
{
00401030 push ebp
00401031 mov ebp,esp
00401033 sub esp,0C0h
00401039 push ebx
0040103A
push esi
0040103B push edi
0040103C
lea edi,[ebp-0C0h]
00401042 mov ecx,30h
00401047 mov eax,0CCCCCCCCh
0040104C
rep stos dword ptr [edi]
}
0040104E pop edi
0040104F
pop esi
00401050 pop ebx
00401051 mov esp,ebp
00401053 pop ebp
00401054 ret
上面的命令基本相同，主要区别在于
test1
内部没有临时变量，因此这里只保留了
C0
个自己的空间。
继续回到主程序：
test(10);
0040114A
push 0Ah
0040114C
call test (401000h)
00401151 add esp,4
由于
test
函数有一个参数，因此需要首先将参数压入堆栈中，然后执行与前面相似的操作。
这里有一点需要注意：函数返回之后需要将压入的参数弹出；可以使用
pop
命令，也可以使用
add
命令来执行。
对于
test3
的调用：
test3(1,2,3);
00401154 push 3
00401156 push 2
00401158 push 1
0040115A
call test3 (401090h)
0040115F
add esp,0Ch
由于它需要三个参数，因此都必须压入栈，返回的时候一次性弹出。
下面看如何调用带有返回值的参数：
i=test2();
00401162 call test2 (401060h)
00401167 mov dword ptr [i],eax
其他的相同，但重要的一点是函数的返回值是通过
eax
寄存器来返回的。
其他几个函数的调用不同的是临时变量数目的不同，仅仅在初始化预留空间的时候不同，基本上是每增加一个变量多出
12
个字节的堆栈空间。
而
mian
函数的返回值，有点特别：
return 0;
00401174 xor eax,eax
特别的不在于通过
eax
返回，而是自己和自己异或，大部分返回
0
的函数都这么做。
在
mian
函数退出的时候有这段代码：
00401176 pop edi
00401177 pop esi
00401178 pop ebx
00401179 add esp,0CCh
0040117F
cmp ebp,esp
00401181 call _RTC_CheckEsp (4011E0h)
00401186 mov esp,ebp
00401188 pop ebp
00401189 ret
前面几行是将寄存器的值恢复，而
add esp
，
0CCh
是将保留的堆栈空间释放，同时比较
ebp
是否与
esp
相等，如果不相等就提示相应的错误，说明有内存泄露等。最后将
ebp
弹出然后返回。
从上面的分析我们可以看到编译器为我们做了很多事情，包括：堆栈空间分配和释放、寄存器状态保存、参数传递等。当然这些事情也可以完全由我们自己来完成，那么需要做的是使用关键字
naked
来声明函数。