首先寄存器使用慣例:
eip ：指令地址寄存器，保存程序計數(shù)器的值，當前執(zhí)行的指令的下一條指令的地址值，16位中為ip，32位為eip。eip不可以直接賦值，一般都是cpu自動加1來更新，指令call和ret以及jmp可以改變eip的值。
另外匯編代碼格式有ATT和intel格式，gcc和objdump的默認格式就是ATT。幾個小區(qū)別，1首先是指令ATT匯編指令后面有一個l，比如intel格式為mov，ATT格式為movl
2寄存器，ATT格式有%，比如intel格式為ebp，ATT格式為%ebp
3還有一個最主要的區(qū)別就是操作指令的，操作數(shù)的順序是相反的，源操作數(shù)和目的操作數(shù)的順序相反。
關于棧中的寄存器：
esp ：棧指針，又叫棧頂寄存器，總是指向棧頂元素，已經(jīng)壓入棧的最頂上的那個元素，而不是待壓入的。棧指針可以移動，通過上下移動實現(xiàn)棧的開辟和釋放。棧是向小地址方向生長的。esp寄存器中保存的是當前棧的棧頂元素的地址。
ebp ：幀指針，又叫棧基址寄存器，總是指向當前棧的棧底元素。保存的是當前棧的棧底元素的地址。幀指針不可以移動，用來作為當前棧的基址，通過對基址ebp的偏移來尋址訪問棧中的其他元素的值。比如：0x8（%ebp）ebp所指向的地址值在加上0x8的地址。
ebp永遠都是針對當前棧的，所以當一個函數(shù)調用了另外一個函數(shù)的時候，就需要先將調用函數(shù)的棧的ebp給入棧保存，這樣避免了與被調用函數(shù)的棧ebp沖突，然后在被調用函數(shù)的棧結束調用釋放的時候，恢復現(xiàn)場的時候，在將調用函數(shù)的ebp彈出來，這樣又可以回到調用函數(shù)的棧了。
棧通過棧指針棧頂esp和幀指針棧底ebp來固定?？颉?br>
eax ：保存函數(shù)的返回值的慣用寄存器
% ：直接尋址寄存器
( ) ：內存間接尋址
$ ：立即數(shù)
例如：movl $8, %eax #把立即數(shù)8存到寄存器eax中
movl $8, (%esp) #把立即數(shù)8存到內存esp所指的內存地址中。
這里主要來通過函數(shù)調用來徹底弄清楚棧的過程，這里直接利用bufbomb中的一段簡單的c代碼，通過反匯編來分析一下其匯編代碼。這個c代碼很簡單，就是test函數(shù)中調用了getbuf函數(shù)。
其反匯編代碼為：
這里的匯編代碼比較長我們來截取一下只看關于棧和函數(shù)調用的部分：
來看一下不管是test還是getbuf都有的幾句匯編語言：
函數(shù)的實現(xiàn)過程都是通過棧過程，一開始我們已經(jīng)講過了棧有兩個指針用來固定?？虻?，ebp棧底指針和而esp棧頂指針。
push %ebp #保存舊的ebp的值，也就是保存當前函數(shù)的調用者的棧的棧基址。（因為每一個棧都有一個ebp是不可以移動的，但是名字又一樣，怎么區(qū)分呢，那就是開始時先把原來的ebp保存起來，然后生成自己的，調用結束后，在把原來的恢復，彈出來，自己的釋放掉，這樣人家原來的ebp又可以繼續(xù)在自己的棧中作為基址了。不然就覆蓋了回不去了）相對于test來說可能就是main之類的調用test的函數(shù)的棧的ebp，對于getbuf來說就是test的ebp。將ebp壓入棧中，這個時候esp自動-4，指向新壓入的ebp元素的位置處。
mov %esp,%ebp #使幀指針ebp指向當前的esp處，也就是初始化生成一個當前棧的基址幀指針ebp，也就是當前棧的棧底表示出來固定住。對于test來說就是test的棧底，對于getbuf來說就是getbuf的棧的棧底。
sub $0x38,%esp #通過棧指針esp向下移動為當前函數(shù)開辟自己的棧，esp指向了棧頂，從ebp到esp為當前函數(shù)的?？臻g。
以上三條指令就是所有棧都有的棧開辟匯編指令。
接下來來看棧釋放的匯編指令：
這里是兩個函數(shù)中不同的棧釋放恢復指令，有點不一樣但是原理是一樣的。
add $0x24,%esp #釋放當前棧開辟的空間，在test函數(shù)開始的時候通過棧指針esp減0x24移動來開辟了當前test函數(shù)自己的棧空間?，F(xiàn)在將esp加上0x24也就是使esp從新移動到了棧底ebp處，就將原來開辟的?？臻g釋放掉了。另外一條常用的匯編指令是：
mov %ebp,%esp #將ebp的值給esp，也就是把esp指向當前的棧底
pop %ebx #把之前保存的寄存器ebx恢復
pop %ebp #彈出舊的ebp，也就是把調用test函數(shù)的函數(shù)的棧的ebp彈出恢復。
ret # 彈出返回地址。這一條指令相當于
pop %eip 將指令寄存器恢復，也就是讓調用test函數(shù)的函數(shù)的棧知道接下來應該繼續(xù)執(zhí)行的哪一條指令。
leave # 是將當前棧的空間釋放掉，彈出舊的ebp，相當于下面兩條匯編指令：
mov %ebp,%esp
pop %ebp
由此可見棧的釋放就是三個過程：
釋放當前棧的空間
彈出舊的ebp
彈出返回地址
過程與esp的移動結合：（有很多人不明白，我這里已經(jīng)用自己的話寫的非常白話了，我覺得最后的理解方式是通過gdb調試一下，那里不明白就調試出來里面到底是什么就會自己豁然開朗）
棧釋放主要包括：1將當前開放的?？臻g釋放掉，通過esp的向上移動，移動到自己的棧底ebp處（保存的舊的調用者的ebp的位置處），2恢復原來的現(xiàn)場，主要包括兩部分，一部分是將原來的棧基址幀指針ebp復原，也就是在自己棧中保存的ebp彈出來，這個時候esp自動加4，變到原來保存舊ebp處位置上上面一個位置（一般為調用者的棧中保存的返回地址的地方，返回地址是調用當前函數(shù)時，結束后回來繼續(xù)應該執(zhí)行的下一條指令的eip的地址。比如call指令的下一條指令的eip的地址
比如說上面test中call getbuf這條eip的下一條eip的地址為0x8048e50
在執(zhí)行call指令的時候相當于：
push eip(0x8048e50) (系統(tǒng)自動將返回地址壓入棧，輸入調用者的一部分，比如這里在test的棧中，而getbuf的棧是從getbuf壓入test的ebp開始，也就是getbuf的棧底元素是test的ebp)
jmp getbuf(0x8049262)
），這個時候保存的舊的ebp已經(jīng)彈出，之前為當前棧生成的棧基址幀指針ebp也就沒有了已經(jīng)。也就是被調用函數(shù)開辟的棧已經(jīng)完全復原了，像什么沒有發(fā)生一樣。第二個部分也是最后一個部分，就是調用者需要知道我應該繼續(xù)執(zhí)行那一條指令（不然回來了找不到原來的指令執(zhí)行到哪里了），也就是把返回地址eip的地址彈出來，esp自動加4指向原來保存返回地址的位置上面一個位置。這樣調用函數(shù)又繼續(xù)正常執(zhí)行了。
圖解函數(shù)調用過程：
1首先是test函數(shù)的棧結構，其中黃色是test函數(shù)的棧，綠色是調用test函數(shù)的函數(shù)的棧，比如main函數(shù)之類的。
2 test執(zhí)行到call指令：
call 8049262 <getbuf>
首先 系統(tǒng)自動壓入返回地址 push eip 這里call的下一條eip的地址是0x8048e50
然后 Jmp到jmp getbuf(0x8049262)
隨著返回地址的入棧，esp自動下移，esp-4：這個時候仍是黃色的，因為我們在前面已經(jīng)分析過，返回地址是屬于調用者的棧結構的。
3跳到getbuf的函數(shù)的入口地址以后開始getbuf的棧，藍色的代表getbuf的棧
push %ebp #保存舊的ebp的值，也就是保存當前函數(shù)的調用者的棧的?；贰τ趃etbuf來說就是test的ebp。將ebp壓入棧中，這個時候esp自動-4，指向新壓入的ebp元素的位置處。
mov %esp,%ebp #使幀指針ebp指向當前的esp處，也就是初始化生成一個當前棧getbuf棧的基址幀指針ebp，也就是當前棧的棧底表示出來固定住。對于getbuf來說就是getbuf的棧的棧底。
4 getbuf繼續(xù)棧開辟
sub $0x38,%esp 通過esp移動開辟一個getbuf的?？臻g，esp此時指向getb這個棧的棧頂，此時getbuf的?？蛞呀?jīng)固定住。
接下來再來看函數(shù)調用完以后返回到test函數(shù)，現(xiàn)場恢復：
1leave的第一步：
mov %ebp,%esp #將ebp的值給esp，也就是把esp指向當前的棧底，把開辟的藍色空間收回
2 leave的第二步：
pop %ebp #彈出舊的ebp，也就是把調用test函數(shù)的函數(shù)的棧的ebp彈出恢復。此時藍色框已經(jīng)完全沒有了，ebp也沒有了，為了getbuf開的空間也已經(jīng)完全釋放了。
3 ret 彈出返回地址以后：
這里以上僅是簡單的函數(shù)調用，調用的函數(shù)不需要傳入?yún)?shù)，還有調用的函數(shù)需要傳入?yún)?shù)的時候等，在bufbomb中我們會具體遇到。再具體分析。
