📚 课程目录第3章汇编基础与程序执行原理

汇编基础与程序执行原理：x86/x64核心指令、调用约定与栈帧结构

在CTF的Pwn与逆向工程中，汇编语言是连接机器码与高级语言逻辑的桥梁。无论是分析二进制漏洞、构造ROP链，还是理解程序崩溃时的寄存器状态，都离不开对x86/x64汇编指令、函数调用约定以及栈帧布局的深刻理解。本章将从程序加载的宏观视角切入，逐步深入到指令集、调用约定与栈帧的微观细节，帮助读者建立从“程序如何运行”到“漏洞如何利用”的完整认知链路。

一、程序加载与执行流程：从ELF到进程

在CTF逆向中，我们分析的对象通常是ELF（Executable and Linkable Format）文件。当操作系统加载一个ELF可执行文件时，并非简单地将整个文件复制到内存，而是按照程序头表（Program Header Table）的描述，将不同的段（Segment）映射到虚拟内存的特定区域。这一过程由内核的execve系统调用触发，经过动态链接器（如ld-linux.so）的辅助，最终将控制权交给程序的入口点（Entry Point）。

对于Pwn选手而言，理解加载过程的关键在于：ASLR（地址空间布局随机化）会随机化栈、堆、共享库的基址，但ELF文件本身的代码段（.text）在未开启PIE（Position Independent Executable）时，其加载基址是固定的（通常为0x400000）。这意味着，如果目标程序没有开启PIE，我们就能直接使用IDA或objdump中看到的静态地址作为ROP链的跳转目标。

段类型	权限	内容	CTF关注点
.text	R-X	程序机器码	反汇编、ROP gadget来源
.rodata	R--	只读常量、字符串	格式化字符串、flag提示
.data / .bss	RW-	全局变量、未初始化数据	覆盖全局变量、堆溢出目标
栈	RW-	局部变量、返回地址	栈溢出、栈迁移
堆	RW-	动态分配内存	堆溢出、UAF、Tcache攻击

程序执行的核心循环是：CPU从RIP（指令指针寄存器）指向的地址取出指令，译码后执行，然后RIP自动增加指令长度。当遇到call指令时，CPU会将下一条指令的地址（即返回地址）压入栈中，然后跳转到目标函数。这一“压栈返回地址”的动作，正是栈溢出漏洞的根源——如果函数在栈上写入的数据超过了局部变量区域，就会覆盖到返回地址，从而劫持控制流。

二、x86/x64核心指令集：逆向与利用的基石

虽然x86/x64指令集庞大，但CTF中高频出现的指令相对有限。掌握这些指令的语义、操作数类型以及标志位影响，是阅读汇编代码和编写Shellcode的基础。

数据传送：mov dst, src（拷贝）、lea dst, [mem]（计算有效地址，常用于指针运算）、push src（压栈）、pop dst（出栈）。
算术与逻辑：add/sub（加减）、xor（异或，常用于清零寄存器）、and/or/not（位运算）、shl/shr（移位）。
比较与跳转：cmp a, b（执行a-b但不保存结果，仅更新标志位）、test a, b（执行a&b更新标志位）、jmp（无条件跳转）、jz/jnz（零标志为1/0时跳转）、jg/jl（有符号大于/小于跳转）。
函数调用：call addr（压入返回地址并跳转）、ret（弹出返回地址并跳转）、leave（等价于mov rsp, rbp; pop rbp，用于恢复栈帧）。
系统调用：syscall（x64）/ int 0x80（x86），通过设置rax为系统调用号，rdi/rsi/rdx等为参数，触发内核服务（如execve、read、write）。

实战技巧：在逆向时，遇到xor eax, eax不要理解为“异或”，而应直接视为eax = 0。遇到lea rax, [rbp-0x20]，表示将栈上某个局部变量的地址加载到rax中，这通常是scanf或gets等函数的参数。

在构造ROP链时，我们常寻找以ret结尾的指令序列（Gadget），例如pop rdi; ret。通过将参数压栈并利用pop rdi将栈顶值弹入rdi，再执行ret跳转到下一个gadget，即可实现连续调用函数。理解ret的本质——弹出栈顶8字节到RIP——是理解ROP的基础。

三、函数调用约定与栈帧结构：C语言与汇编的映射

函数调用约定定义了参数如何传递、返回值如何保存、栈如何维护。在x64 Linux下，System V AMD64 ABI是最常用的约定。其核心规则如下：

参数传递：前6个整数或指针参数依次使用RDI, RSI, RDX, RCX, R8, R9寄存器；浮点参数使用XMM0-XMM7；第7个及之后的参数从右向左压入栈中。
返回值：整数或指针返回在RAX中，浮点返回在XMM0中。
栈对齐：在call指令执行前，栈指针RSP必须16字节对齐。由于call会压入8字节返回地址，因此进入被调函数后，RSP模16等于8。
被调用者保存：RBP, RBX, R12-R15由被调函数负责保存（若使用则需压栈并在返回前恢复）；RAX, RCX, RDX, RSI, RDI, R8-R11为调用者保存，被调函数可随意修改。

一个典型的函数序言（Prologue）和尾声（Epilogue）如下：

; 函数序言
push   rbp           ; 保存旧帧指针
mov    rbp, rsp      ; 设置新帧指针
sub    rsp, 0x20     ; 分配局部变量空间（0x20字节）

; 函数体
mov    DWORD PTR [rbp-0x4], edi   ; 将第一个参数存入局部变量
mov    eax, DWORD PTR [rbp-0x4]   ; 读取局部变量到eax
add    eax, 0x10                  ; 加16

; 函数尾声
leave               ; mov rsp, rbp; pop rbp
ret                 ; 弹出返回地址到RIP

栈帧结构从高地址到低地址依次为：调用者局部变量、第7个及以后的参数、返回地址、保存的RBP、被调函数局部变量。在Pwn题目中，溢出点通常发生在“局部变量区”向“保存的RBP”和“返回地址”方向写入。例如，一个char buf[16]如果使用gets(buf)输入，输入超过16字节就会覆盖RBP，超过24字节就会覆盖返回地址。

常见误区：初学者常混淆“栈增长方向”与“缓冲区写入方向”。栈是向下增长（从高地址到低地址），但gets、strcpy等函数是从低地址向高地址写入。因此，局部变量buf位于RBP-0x10，而返回地址位于RBP+0x8，两者之间隔着0x18字节（包括保存的RBP的8字节）。

四、案例拆解：从汇编视角分析栈溢出

假设我们拿到一个简单的CTF题目，目标是通过栈溢出劫持控制流，调用一个隐藏的win()函数。使用objdump -d反汇编后，关键信息如下：

0000000000401146 <vuln>:
  401146:  push   rbp
  401147:  mov    rbp,rsp
  40114a:  sub    rsp,0x30        ; 分配48字节局部变量
  40114e:  lea    rax,[rbp-0x30]  ; buf地址
  401152:  mov    rdi,rax
  401155:  call   401030 <gets@plt>  ; 危险函数
  40115a:  nop
  40115b:  leave
  40115c:  ret

000000000040115d <win>:
  40115d:  push   rbp
  40115e:  mov    rbp,rsp
  401161:  mov    edi,0x402004
  401166:  call   401040 <system@plt>  ; system("/bin/sh")
  40116b:  nop
  40116c:  leave
  40116d:  ret

分析过程：

确定偏移：buf位于rbp-0x30，返回地址位于rbp+0x8。因此，从buf到返回地址的偏移为0x30 + 0x8 = 0x38（56字节）。
构造Payload：填充56字节任意数据，然后填入win函数的地址0x40115d。注意x64小端序，地址字节序为\x5d\x11\x40\x00\x00\x00\x00\x00。
执行效果：gets读入超长输入，覆盖返回地址。当vuln执行ret时，CPU将栈顶的0x40115d弹出到RIP，跳转到win函数，执行system("/bin/sh")。

风险与代价：此利用方式依赖程序未开启PIE（地址固定）和栈可执行（NX未开启）或使用ret2libc等绕过技术。若开启PIE，则需要先泄露地址；若开启栈保护（Canary），则需先泄露Canary值。实际利用中，还需注意win函数内部的栈对齐问题——直接跳转可能导致system调用时RSP未16字节对齐而崩溃，此时需在Payload中额外添加一个ret gadget（如0x40101a）来调整栈指针。

五、常见误区与总结复盘

误区	正确理解
认为`push`是向高地址写入	`push`先将RSP减8，再写入数据，方向是向低地址。
混淆`mov`与`lea`	`mov eax, [rbp-0x10]`是取值；`lea eax, [rbp-0x10]`是取地址。
忽略栈对齐	x64下`call`前RSP需16字节对齐，否则`system`等库函数可能使用`movaps`指令导致段错误。
认为`ret`只是“返回”	`ret`本质是`pop rip`，是ROP链中最核心的跳板指令。

复盘要点：本章的核心在于建立“高级语言变量 ↔ 栈偏移 ↔ 寄存器”的映射关系。在逆向时，看到sub rsp, 0x30应立刻反应出局部变量区大小；看到mov rdi, rax应意识到这是函数第一个参数。在Pwn利用时，计算偏移是第一步，但更重要的是理解目标程序的防御机制（PIE、Canary、NX、RELRO），从而选择合适的利用策略。建议读者在本地使用gdb配合peda或pwndbg插件，单步跟踪call和ret时的栈变化，亲手验证栈帧的构建与销毁过程，这是内化汇编知识最有效的方式。