windbg命令学习4

4.查看调用栈

k命令：显示的是一定数量的栈帧, 其中帧的数量是由.kframes命令来控制的, 默认值是256。

　　我们如何来判断函数的栈指针,参数地址和局部变量地址呢? 举一个简单的windbg的kv命令输出:
ChildEBP RetAddr  Args to Child              
03b1f9c4 0032549e 00e1b5f0 00e259f8 7c900059
　　如上所示,ebp是栈的指针,其中ebp+4保存的是函数返回地址,因此ebp+8(00e1b5f0 )开始就是函数的参数. 结合上面的栈地址图,由于栈是从高到低压栈,所以不可能往高位扩展(那样会破坏上层堆栈),因此局部变量只能是向低位扩展,所以通常ebp-4就是低一个局部变量地址. 由于是在往低位扩展,所以当局部变量过多或者函数层数过多时,会出现堆栈溢出.

堆栈溢出
     首先说下windows默认的堆栈大小,在用户层一个线程默认堆栈大小是1M,程序可以设置. 驱动中默认是13K左右,具体记不清了.那么如何判断堆栈溢出呢? windbg有一个非常有用的命令kf -n ,其中n是要显示的frame数.

注释：堆栈桢基址，函数返回地址，第一个参数，第二个参数

kp 5

显示调用栈中前5个函数以及他们的参数.

kb 5

显示调用栈中前五个函数以及他们的前三个参数.

kf 5

显示在调用栈中五个函数所使用的栈的大小.

每个栈帧所占的空间使用量的计算方法是: 将当前函数的栈基指针与在函数中调用的任何一个函数栈基指针相减.

举例:

手动构造栈的实践- 如何手工构造调用栈

栈基本概念

    首先说一下栈的结构,栈是从高地址开始压栈的. 如下图,函数中存在函数调用,首先是Frame1压栈,然后是Frame2压栈.其调用关系是Frame1调用Frame2. 对于参数的压栈windows默认的stdcall,cdell都是从右边参数开始压栈.而delph所试用的passcall是从左开始压栈. 因此,加入存在一个函数fun(int p1, int p2);

首先用几幅图说明一下栈的特点, 帮助大家理解.

1. 栈向低地址增长.

2. 向栈中压入数据, 栈中的情况如图.

3. 有函数调用的栈中的情况.

注意, 手工构造栈的时候, 我们需要利用的是上面图中显示的一个模式:

在内存中的一系列的值是可以被识别出来的, 这些值表示当前站中的某个地址, 并且在这些值之后是一个可执行的地址.