【Linux内核分析】反汇编一个简单的C程序(at&t汇编)

实验者：江军

云课堂ID：fuchen1994

邮件：[email protected]

实验要求:

1）实验部分（以下命令为实验楼64位Linux虚拟机环境下适用，32位Linux环境可能会稍有不同） 使用

gcc–S –o main.s main.c -m32

命令编译成汇编代码

2）根据本周所学知识分析汇编代码的工作过程，撰写一篇署名博客，并在博客文章中注明“真实姓名（与最后申请证书的姓名务必一致） 

原创作品转载请注明出处 + 《Linux内核分析》MOOC课程http://mooc.study.163.com/course/USTC-1000029000 ”，博客内容的具体要求如下：

反汇编后的代码如下：

需要去除不相干部分

忘记改数据，故以系统时间为证

汇编代码分析：

1.ebp指向栈顶，esp指向栈底

1

2.从main开始，pushl %ebp 表示把ebp中的内容放入第一个栈空间。因为栈是从大到小，所以esp会向下移动4个字节。

2

3.movl %esp %ebp 是把ebp的内容变成esp，就是把ebp指向ESP的位置

3

4.subl $4 %esp 是把esp减去4个字节，就是把ESP指向下一个栈

4

5.movl $8 (%esp) 把8放入esp指向的当前位置

5

6.call f  分解为 pushl eip   movl f eip  意思就是在执行call命令时，将f放入eip中，这样执行的就是f,而不是eip偏移的下一个位置了。但是0x004中的eip保存的是原来指向的下一条指令.

6

7.开始执行f函数中的代码第一句：pushl  %ebp  因为ebp指向的是0x002

7

8.movl %esp %ebp

8

9.subl $4 %esp

9

10.movl 8(%ebp) %eax 变址寻址，所以eax = 8;

11.movl %eax (%esp) 就是将eax赋值给esp的值

11

12. call g 类似于上面的call f,就是先pushl eip ,然后movl g eip;

12

13.pushl %ebp

13

14.movl %esp %ebp

14

15.movl 8(%ebp) %eax  eax = 8;

16.addl $3 %eax  eax = 8 + 3 = 11;

17.popl %ebp  相当于把esp中的值赋给ebp,并将esp-4.这时，ebp指向的地址是0x005

17

18.ret 指的pop %eip 就是把esp的值赋给eip，并将esp-4，eip(0x007)指向的是f中的leave。

18

19.leave 是指movl %ebp %esp ,popl %ebp;

19

20.ret  popl %eip  这个eip指的是main中的addl $1 %eax ,所以eax = 11+1 = 12;

20

21.leave  movl %ebp %esp,popl %ebp

21

知识总结：

pushl :  1.subl $4 %esp     2. movl %ebp %esp

popl %ebp: 1.movl %esp %ebp 2.addl $4 %esp

leave :  movl %ebp %esp;  popl %ebp;

enter : pushl %ebp ; movl %esp %ebp;

ret: popl %eip;

总结：

从这个实验可以发现，存储式计算机中的运行过程离不开存储程序和程序控制。程序中的每一条语句都会编译成汇编代码，每一条指令都明确了计算机从哪里取值，进行什么操作，然后送到什么地址等等。

计算机是一步步地取出明确的指令，然后一步步执行，最后输出运行的结果。