记得之前看过一篇文章说，最好查的bug是语法错误，因为编译器会告诉你，最不好查的bug是栈溢出，因为啥，因为不仅编译器不会告诉你，连你自己有可能都找不到原因出在哪。
经过了一段时间的摸索，算是基本搞清楚了栈溢出的原理，写下来以防日后出现问题无从下手。
开发过单片机的同学应该不陌生这个名词，一般我们也说堆栈，其实这里有两个意思：一般我们说堆栈其实指的就是帧本身，而说堆指的就是堆。这是两个不同的分区。便于理解给出一张典型的C语言在linux系统下的占区图:
可以看出，对于Linux系统下的，存储空间的分配有着较为层次清晰的分层。单片机大概也遵循这个分区架构。
二进制代码以及常量（CONST修饰）以及全局变量在最底层，存储空间最靠前的部分
然后是堆区,堆区向上增长，我们常用到的molloc()、free()等函数操作的就是这个区，这也是芯片系统中唯一可以让程序员通过代码操作的一片存储空间
再然后是动态链接库
在往上（高地址）便是栈区。 最高地址一般为操作系统内核，用户无法访问
了解了这个之后我们开始详解何为栈、栈为什么会溢出以及在代码级如何预防栈溢出，最后说一下栈溢出攻击的事情。
在计算机中，栈可以理解为一个特殊的容器，用户可以将数据依次放入栈中，然后再将数据按照相反的顺序从栈中取出。也就是说，先放入的数据最后才能取出，而最后放入的数据必须先取出。这称为先进后出（First In Last Out）原则。
放入数据常称为入栈或压栈（Push），取出数据常称为出栈或弹出（Pop）。
可以发现，栈底始终不动，出栈入栈只是在移动栈顶，当栈中没有数据时，栈顶和栈底重合。
这里需要注意标识栈顶和栈底的两个寄存器: ebp寄存器指向栈底，esp寄存器指向栈顶。从本质上来讲，栈是一段连续的内存，需要同时记录栈底和栈顶，才能对当前的栈进行定位。
了解了栈实际上也是一块内存后，栈溢出就好理解了。
当我们定义的数据所需要占用的内存超过了栈的大小时，就会发生栈溢出。编译器会报栈溢出错误。
如一块芯片的内存RAM大小为4k，当我们定义了一个大数组，如下:
int buf[1024*5] = {0};
很明显定义的数组超过了内存大小，这就导致了栈溢出。
预防栈溢出需要我们在编程时了解内存使用，尽可能不要定义特别大的数组，尽可能不要定义特别复杂的函数，如多个形参等。
定义的数组会占用栈空间，同样，定义的函数也会占用栈空间，一个简单的例子便是函数的入栈和出栈。
举个例子：
void func(int a, int b)
{
int p =12, q = 345;
}
int main()
{
func(90, 26);
return 0;
}
函数的进栈出栈过程如下图所示：
main() 是主函数，也需要进栈，如步骤①所示。
在步骤②中，执行语句func(90, 26);，先将实参 90、26 压入栈中，再将返回地址压入栈中，这些工作都由 main() 函数（调用方）完成。这个时候 ebp 的值并没有变，仅仅是改变 esp 的指向。
到了步骤③，就开始执行 func() 的函数体了。首先将原来 ebp 寄存器的值压入栈中（也即图中的 old ebp），并将 esp 的值赋给 ebp，这样 ebp 就从 main() 函数的栈底指向了 func() 函数的栈底，完成了函数栈的切换。由于此时 esp 和ebp 的值相等，所以它们也就指向了同一个位置。
为局部变量、返回值等预留足够的内存，如步骤④所示。由于栈内存在函数调用之前就已经分配好了，所以这里并不是真的分配内存，而是将 esp 的值减去一个整数，例如 esp - 0XC0，就是预留 0XC0 字节的内存。
将 ebp、esi、edi 寄存器的值依次压入栈中。
将局部变量的值放入预留好的内存中。
至此，func() 函数的活动记录就构造完成了。可以发现，在函数的实际调用过程中，形参是不存在的，不会占用内存空间，内存中只有实参，而且是在执行函数体代码之前、由调用方压入栈中的。
未初始化的局部变量的值为什么是垃圾值
为局部变量分配内存时，仅仅是将 esp 的值减去一个整数，预留出足够的空白内存，不同的编译器在不同的模式下会对这片空白内存进行不同的处理，可能会初始化为一个固定的值，也可能不进行初始化。
步骤⑦到⑨是函数 func() 出栈过程：
7) 函数 func() 执行完成后开始出栈，首先将 edi、esi、ebx 寄存器的值出栈。
将局部变量、返回值等数据出栈时，直接将 ebp 的值赋给 esp，这样 ebp 和 esp 就指向了同一个位置。
接下来将 old ebp 出栈，并赋值给现在的 ebp，此时 ebp 就指向了 func() 调用之前的位置，即 main() 活动记录的 old ebp 位置，如步骤⑨所示。
这一步很关键，保证了还原到函数调用之前的情况，这也是每次调用函数时都必须将 old ebp 压入栈中的原因。
最后根据返回地址找到下一条指令的位置，并将返回地址和实参都出栈，此时 esp 就指向了 main() 活动记录的栈顶， 这意味着 func() 完全出栈了，栈被还原到了 func() 被调用之前的情况。
经过上面的分析可以发现，函数出栈只是在增加 esp 寄存器的值，使它指向上一个数据，并没有销毁之前的数据。
栈上的数据只有在后续函数继续入栈时才能被覆盖掉，这就意味着，只要时机合适，在函数外部依然能够取得局部变量的值。请看下面的代码：
#include <stdio.h>
int *p;
void func(int m, int n)
{
int a = 18, b = 100;
p = &a;
}
int main()
{
int n;
func(10, 20);
n = *p;
printf("n = %d\n", n);
return 0;
}
运行结果：
n = 18
在 func() 中，将局部变量 a 的地址赋给 p，在 main() 函数中调用 func()，函数刚刚调用结束，还没有其他函数入栈，局部变量 a 所在的内存没有被覆盖掉，所以通过语句n = *p;能够取得它的值。
参考网址：C语言中文网
v v v v v v
本文为作者原创，请勿转载，转载请联系作者。
点击下方卡片，关注我的公众号，有最新的文章和项目动态。
v v v v v v