一、預(yù)備知識(shí)—程序的內(nèi)存分配

一個(gè)由c/C++編譯的程序占用的內(nèi)存分為以下幾個(gè)部分

1、棧區(qū)（stack）— 由編譯器自動(dòng)分配釋放 ，存放函數(shù)的參數(shù)值，局部變量的值等。其操作方式類(lèi)似于數(shù)據(jù)結(jié)構(gòu)中的棧。

2、堆區(qū)（heap） — 一般由程序員分配釋放， 若程序員不釋放，程序結(jié)束時(shí)可能由OS回收 。注意它與數(shù)據(jù)結(jié)構(gòu)中的堆是兩回事，分配方式倒是類(lèi)似于鏈表。

3、全局區(qū)（靜態(tài)區(qū)）（static）—，全局變量和靜態(tài)變量的存儲(chǔ)是放在一塊的，初始化的全局變量和靜態(tài)變量在一塊區(qū)域， 未初始化的全局變量和未初始化的靜態(tài)變量在相鄰的另一塊區(qū)域。- 程序結(jié)束后有系統(tǒng)釋放

4、文字常量區(qū)—常量字符串就是放在這里的。程序結(jié)束后由系統(tǒng)釋放。

5、程序代碼區(qū)—存放函數(shù)體的二進(jìn)制代碼。

二、例子程序

這是一個(gè)前輩寫(xiě)的，非常詳細(xì)

//main.cpp

int a = 0; //全局初始化區(qū)

int a = 0; //全局初始化區(qū)

char *p1; //全局未初始化區(qū)

main（） {

int b; //棧

char s［］ = “abc”; //棧

char *p2; //棧

char *p3 = “123456”; //123456在常量區(qū)，p3在棧上。

static int c = 0; //全局（靜態(tài)）初始化區(qū)

p1 = （char *）malloc（10）;

p2 = （char *）malloc（20）;

//分配得來(lái)得10和20字節(jié)的區(qū)域就在堆區(qū)。

strcpy（p1， “123456”）; //123456放在常量區(qū)，編譯器可能會(huì)將它與p3所指向的“123456”優(yōu)化成一個(gè)地方。

}

二、堆和棧的理論知識(shí)

2.1申請(qǐng)方式

stack：

由系統(tǒng)自動(dòng)分配。例如，聲明在函數(shù)中一個(gè)局部變量 int b; 系統(tǒng)自動(dòng)在棧中為b開(kāi)辟空間

heap：

需要程序員自己申請(qǐng)，并指明大小，在c中malloc函數(shù)

如p1 = （char *）malloc（10）;

在C++中用new運(yùn)算符

如p2 = （char *）malloc（10）;

但是注意p1、p2本身是在棧中的。

2.2 申請(qǐng)后系統(tǒng)的響應(yīng)

棧：只要棧的剩余空間大于所申請(qǐng)空間，系統(tǒng)將為程序提供內(nèi)存，否則將報(bào)異常提示棧溢出。

堆：首先應(yīng)該知道操作系統(tǒng)有一個(gè)記錄空閑內(nèi)存地址的鏈表，當(dāng)系統(tǒng)收到程序的申請(qǐng)時(shí)，

會(huì)遍歷該鏈表，尋找第一個(gè)空間大于所申請(qǐng)空間的堆結(jié)點(diǎn)，然后將該結(jié)點(diǎn)從空閑結(jié)點(diǎn)鏈表中刪除，并將該結(jié)點(diǎn)的空間分配給程序，另外，對(duì)于大多數(shù)系統(tǒng)，會(huì)在這塊內(nèi)存空間中的首地址處記錄本次分配的大小，這樣，代碼中的delete語(yǔ)句才能正確的釋放本內(nèi)存空間。另外，由于找到的堆結(jié)點(diǎn)的大小不一定正好等于申請(qǐng)的大小，系統(tǒng)會(huì)自動(dòng)的將多余的那部分重新放入空閑鏈表中。

2.3 申請(qǐng)大小的限制

棧：在Windows下，棧是向低地址擴(kuò)展的數(shù)據(jù)結(jié)構(gòu)，是一塊連續(xù)的內(nèi)存的區(qū)域。這句話的意思是棧頂?shù)牡刂泛蜅５淖畲笕萘渴窍到y(tǒng)預(yù)先規(guī)定好的，在WINDOWS下，棧的大小是2M（也有的說(shuō)是1M，總之是一個(gè)編譯時(shí)就確定的常數(shù)），如果申請(qǐng)的空間超過(guò)棧的剩余空間時(shí)，將提示overflow。因此，能從棧獲得的空間較小。

堆：堆是向高地址擴(kuò)展的數(shù)據(jù)結(jié)構(gòu)，是不連續(xù)的內(nèi)存區(qū)域。這是由于系統(tǒng)是用鏈表來(lái)存儲(chǔ)的空閑內(nèi)存地址的，自然是不連續(xù)的，而鏈表的遍歷方向是由低地址向高地址。堆的大小受限于計(jì)算機(jī)系統(tǒng)中有效的虛擬內(nèi)存。由此可見(jiàn)，堆獲得的空間比較靈活，也比較大。

2.4 申請(qǐng)效率的比較：

棧由系統(tǒng)自動(dòng)分配，速度較快。但程序員是無(wú)法控制的。

堆是由new分配的內(nèi)存，一般速度比較慢，而且容易產(chǎn)生內(nèi)存碎片，不過(guò)用起來(lái)最方便。

另外，在WINDOWS下，最好的方式是用VirtualAlloc分配內(nèi)存，他不是在堆，也不是在棧是直接在進(jìn)程的地址空間中保留一快內(nèi)存，雖然用起來(lái)最不方便。但是速度快，也最靈活。

2.5 堆和棧中的存儲(chǔ)內(nèi)容

棧：在函數(shù)調(diào)用時(shí)，第一個(gè)進(jìn)棧的是主函數(shù)中后的下一條指令（函數(shù)調(diào)用語(yǔ)句的下一條可執(zhí)行語(yǔ)句）的地址，然后是函數(shù)的各個(gè)參數(shù)，在大多數(shù)的C編譯器中，參數(shù)是由右往左入棧的，然后是函數(shù)中的局部變量。注意靜態(tài)變量是不入棧的。

當(dāng)本次函數(shù)調(diào)用結(jié)束后，局部變量先出棧，然后是參數(shù)，最后棧頂指針指向最開(kāi)始存的地址，也就是主函數(shù)中的下一條指令，程序由該點(diǎn)繼續(xù)運(yùn)行。

堆：一般是在堆的頭部用一個(gè)字節(jié)存放堆的大小。堆中的具體內(nèi)容有程序員安排。

2.6 存取效率的比較

char s1［］ = “aaaaaaaaaaaaaaa”;

char *s2 = “bbbbbbbbbbbbbbbbb”;

aaaaaaaaaaa是在運(yùn)行時(shí)刻賦值的；

而bbbbbbbbbbb是在編譯時(shí)就確定的；

但是，在以后的存取中，在棧上的數(shù)組比指針?biāo)赶虻淖址ɡ缍眩┛臁?/p>

比如：

＃include

void main（） {

char a = 1;

char c［］ = “1234567890”;

char *p =“1234567890”;

a = c［1］;

a = p［1］;

return;

}

對(duì)應(yīng)的匯編代碼

10： a = c［1］;

00401067 8A 4D F1 mov cl，byte ptr ［ebp-0Fh］

0040106A 88 4D FC mov byte ptr ［ebp-4］，cl

11： a = p［1］;

0040106D 8B 55 EC mov edx，dword ptr ［ebp-14h］

00401070 8A 42 01 mov al，byte ptr ［edx+1］

00401073 88 45 FC mov byte ptr ［ebp-4］，al

第一種在讀取時(shí)直接就把字符串中的元素讀到寄存器cl中，而第二種則要先把指針值讀到edx中，在根據(jù)edx讀取字符，顯然慢了。

2.7小結(jié)：

堆和棧的區(qū)別可以用如下的比喻來(lái)看出：

使用棧就象我們?nèi)ワ堭^里吃飯，只管點(diǎn)菜（發(fā)出申請(qǐng)）、付錢(qián)、和吃（使用），吃飽了就走，不必理會(huì)切菜、洗菜等準(zhǔn)備工作和洗碗、刷鍋等掃尾工作，他的好處是快捷，但是自由度小。

使用堆就象是自己動(dòng)手做喜歡吃的菜肴，比較麻煩，但是比較符合自己的口味，而且自由度大。

三 、windows進(jìn)程中的內(nèi)存結(jié)構(gòu)

在閱讀本文之前，如果你連堆棧是什么多不知道的話，請(qǐng)先閱讀文章后面的基礎(chǔ)知識(shí)。

接觸過(guò)編程的人都知道，高級(jí)語(yǔ)言都能通過(guò)變量名來(lái)訪問(wèn)內(nèi)存中的數(shù)據(jù)。那么這些變量在內(nèi)存中是如何存放的呢？程序又是如何使用這些變量的呢？下面就會(huì)對(duì)此進(jìn)行深入的討論。下文中的C語(yǔ)言代碼如沒(méi)有特別聲明，默認(rèn)都使用VC編譯的release版。

首先，來(lái)了解一下 C 語(yǔ)言的變量是如何在內(nèi)存分部的。C 語(yǔ)言有全局變量（Global）、本地變量（Local），靜態(tài)變量（Static）、寄存器變量（Regeister）。每種變量都有不同的分配方式。先來(lái)看下面這段代碼：

＃include 《stdio.h》

int g1=0， g2=0， g3=0;

int main（）

{

static int s1=0， s2=0， s3=0;

int v1=0， v2=0， v3=0;

//打印出各個(gè)變量的內(nèi)存地址

printf（“0x%08x

”，&v1）; //打印各本地變量的內(nèi)存地址

printf（“0x%08x

”，&v2）;

printf（“0x%08x

”，&v3）;

printf（“0x%08x

”，&g1）; //打印各全局變量的內(nèi)存地址

printf（“0x%08x

”，&g2）;

printf（“0x%08x

”，&g3）;

printf（“0x%08x

”，&s1）; //打印各靜態(tài)變量的內(nèi)存地址

printf（“0x%08x

”，&s2）;

printf（“0x%08x

”，&s3）;

return 0;

}

編譯后的執(zhí)行結(jié)果是：

0x0012ff78

0x0012ff7c

0x0012ff80

0x004068d0

0x004068d4

0x004068d8

0x004068dc

0x004068e0

0x004068e4

輸出的結(jié)果就是變量的內(nèi)存地址。其中v1，v2，v3是本地變量，g1，g2，g3是全局變量，s1，s2，s3是靜態(tài)變量。你可以看到這些變量在內(nèi)存是連續(xù)分布的，但是本地變量和全局變量分配的內(nèi)存地址差了十萬(wàn)八千里，而全局變量和靜態(tài)變量分配的內(nèi)存是連續(xù)的。這是因?yàn)楸镜刈兞亢腿?靜態(tài)變量是分配在不同類(lèi)型的內(nèi)存區(qū)域中的結(jié)果。對(duì)于一個(gè)進(jìn)程的內(nèi)存空間而言，可以在邏輯上分成3個(gè)部份：代碼區(qū)，靜態(tài)數(shù)據(jù)區(qū)和動(dòng)態(tài)數(shù)據(jù)區(qū)。動(dòng)態(tài)數(shù)據(jù)區(qū)一般就是“堆?！薄！皸＃╯tack）”和“堆（heap）”是兩種不同的動(dòng)態(tài)數(shù)據(jù)區(qū)，棧是一種線性結(jié)構(gòu)，堆是一種鏈?zhǔn)浇Y(jié)構(gòu)。進(jìn)程的每個(gè)線程都有私有的“?！?，所以每個(gè)線程雖然代碼一樣，但本地變量的數(shù)據(jù)都是互不干擾。一個(gè)堆?？梢酝ㄟ^(guò)“基地址”和“棧頂”地址來(lái)描述。全局變量和靜態(tài)變量分配在靜態(tài)數(shù)據(jù)區(qū)，本地變量分配在動(dòng)態(tài)數(shù)據(jù)區(qū)，即堆棧中。程序通過(guò)堆棧的基地址和偏移量來(lái)訪問(wèn)本地變量。

├———————┤低端內(nèi)存區(qū)域

│ …… │

├———————┤

│ 動(dòng)態(tài)數(shù)據(jù)區(qū) │

├———————┤

│ …… │

├———————┤

│ 代碼區(qū) │

├———————┤

│ 靜態(tài)數(shù)據(jù)區(qū) │

├———————┤

│ …… │

├———————┤高端內(nèi)存區(qū)域

堆棧是一個(gè)先進(jìn)后出的數(shù)據(jù)結(jié)構(gòu)，棧頂?shù)刂房偸切∮诘扔跅５幕刂?。我們可以先了解一下函?shù)調(diào)用的過(guò)程，以便對(duì)堆棧在程序中的作用有更深入的了解。不同的語(yǔ)言有不同的函數(shù)調(diào)用規(guī)定，這些因素有參數(shù)的壓入規(guī)則和堆棧的平衡。windows API的調(diào)用規(guī)則和ANSI C的函數(shù)調(diào)用規(guī)則是不一樣的，前者由被調(diào)函數(shù)調(diào)整堆棧，后者由調(diào)用者調(diào)整堆棧。兩者通過(guò)“__stdcall”和“__cdecl”前綴區(qū)分。先看下面這段代碼：

＃include 《stdio.h》

void __stdcall func（int param1，int param2，int param3）

{

int var1=param1;

int var2=param2;

int var3=param3;

printf（“0x%08x

”，param1）; //打印出各個(gè)變量的內(nèi)存地址

printf（“0x%08x

”，param2）;

printf（“0x%08x

”，param3）;

printf（“0x%08x

”，&var1）;

printf（“0x%08x

”，&var2）;

printf（“0x%08x

”，&var3）;

return;

}

int main（） {

func（1，2，3）;

return 0;

}

編譯后的執(zhí)行結(jié)果是：

0x0012ff78

0x0012ff7c

0x0012ff80

0x0012ff68

0x0012ff6c

0x0012ff70

├———————┤《—函數(shù)執(zhí)行時(shí)的棧頂（ESP）、低端內(nèi)存區(qū)域

│ …… │

├———————┤

│ var 1 │

├———————┤

│ var 2 │

├———————┤

│ var 3 │

├———————┤

│ RET │

├———————┤《—“__cdecl”函數(shù)返回后的棧頂（ESP）

│ parameter 1 │

├———————┤

│ parameter 2 │

├———————┤

│ parameter 3 │

├———————┤《—“__stdcall”函數(shù)返回后的棧頂（ESP）

│ …… │

├———————┤《—棧底（基地址 EBP）、高端內(nèi)存區(qū)域

上圖就是函數(shù)調(diào)用過(guò)程中堆棧的樣子了。首先，三個(gè)參數(shù)以從右到左的次序壓入堆棧，先壓“param3”，再壓“param2”，最后壓入“param1”；然后壓入函數(shù)的返回地址（RET），接著跳轉(zhuǎn)到函數(shù)地址接著執(zhí)行（這里要補(bǔ)充一點(diǎn)，介紹UNIX下的緩沖溢出原理的文章中都提到在壓入RET后，繼續(xù)壓入當(dāng)前EBP，然后用當(dāng)前ESP代替EBP。然而，有一篇介紹windows下函數(shù)調(diào)用的文章中說(shuō)，在windows下的函數(shù)調(diào)用也有這一步驟，但根據(jù)我的實(shí)際調(diào)試，并未發(fā)現(xiàn)這一步，這還可以從param3和var1之間只有4字節(jié)的間隙這點(diǎn)看出來(lái)）；第三步，將棧頂（ESP）減去一個(gè)數(shù)，為本地變量分配內(nèi)存空間，上例中是減去12字節(jié)（ESP=ESP-3*4，每個(gè)int變量占用4個(gè)字節(jié)）；接著就初始化本地變量的內(nèi)存空間。由于“__stdcall”調(diào)用由被調(diào)函數(shù)調(diào)整堆棧，所以在函數(shù)返回前要恢復(fù)堆棧，先回收本地變量占用的內(nèi)存（ESP=ESP+3*4），然后取出返回地址，填入EIP寄存器，回收先前壓入?yún)?shù)占用的內(nèi)存（ESP=ESP+3*4），繼續(xù)執(zhí)行調(diào)用者的代碼。參見(jiàn)下列匯編代碼：

;--------------func 函數(shù)的匯編代碼-------------------

：00401000 83EC0C sub esp， 0000000C //創(chuàng)建本地變量的內(nèi)存空間

：00401003 8B442410 mov eax， dword ptr ［esp+10］

：00401007 8B4C2414 mov ecx， dword ptr ［esp+14］

：0040100B 8B542418 mov edx， dword ptr ［esp+18］

：0040100F 89442400 mov dword ptr ［esp］， eax

：00401013 8D442410 lea eax， dword ptr ［esp+10］

：00401017 894C2404 mov dword ptr ［esp+04］， ecx

……………………（省略若干代碼）

：00401075 83C43C add esp， 0000003C ;恢復(fù)堆棧，回收本地變量的內(nèi)存空間

：00401078 C3 ret 000C ;函數(shù)返回，恢復(fù)參數(shù)占用的內(nèi)存空間

;如果是“__cdecl”的話，這里是“ret”，堆棧將由調(diào)用者恢復(fù)

;-------------------函數(shù)結(jié)束-------------------------

;--------------主程序調(diào)用func函數(shù)的代碼--------------

：00401080 6A03 push 00000003 //壓入?yún)?shù)param3

：00401082 6A02 push 00000002 //壓入?yún)?shù)param2

：00401084 6A01 push 00000001 //壓入?yún)?shù)param1

：00401086 E875FFFFFF call 00401000 //調(diào)用func函數(shù)

;如果是“__cdecl”的話，將在這里恢復(fù)堆棧，“add esp， 0000000C”

聰明的讀者看到這里，差不多就明白緩沖溢出的原理了。先來(lái)看下面的代碼：

＃include 《stdio.h》

＃include 《string.h》

void __stdcall func（） {

char lpBuff［8］=“”;

strcat（lpBuff，“AAAAAAAAAAA”）;

return;

}

int main（） {

func（）;

return 0;

}

編譯后執(zhí)行一下回怎么樣？哈，“”0x00414141”指令引用的”0x00000000”內(nèi)存。該內(nèi)存不能為”read”?！?，“非法操作”嘍！”41”就是”A”的16進(jìn)制的ASCII碼了，那明顯就是strcat這句出的問(wèn)題了?！眑pBuff”的大小只有8字節(jié)，算進(jìn)結(jié)尾的，那strcat最多只能寫(xiě)入7個(gè)”A”，但程序?qū)嶋H寫(xiě)入了11個(gè)”A”外加1個(gè)。再來(lái)看看上面那幅圖，多出來(lái)的4個(gè)字節(jié)正好覆蓋了RET的所在的內(nèi)存空間，導(dǎo)致函數(shù)返回到一個(gè)錯(cuò)誤的內(nèi)存地址，執(zhí)行了錯(cuò)誤的指令。如果能精心構(gòu)造這個(gè)字符串，使它分成三部分，前一部份僅僅是填充的無(wú)意義數(shù)據(jù)以達(dá)到溢出的目的，接著是一個(gè)覆蓋RET的數(shù)據(jù)，緊接著是一段shellcode，那只要這個(gè)RET地址能指向這段shellcode的第一個(gè)指令，那函數(shù)返回時(shí)就能執(zhí)行shellcode了。但是軟件的不同版本和不同的運(yùn)行環(huán)境都可能影響這段shellcode在內(nèi)存中的位置，那么要構(gòu)造這個(gè)RET是十分困難的。一般都在RET和shellcode之間填充大量的NOP指令，使得exploit有更強(qiáng)的通用性。

├———————┤《—低端內(nèi)存區(qū)域

│ …… │

├———————┤《—由exploit填入數(shù)據(jù)的開(kāi)始

│ │

│ buffer │《—填入無(wú)用的數(shù)據(jù)

│ │

├———————┤

│ RET │《—指向shellcode，或NOP指令的范圍

├———————┤

│ NOP │

│ …… │《—填入的NOP指令，是RET可指向的范圍

│ NOP │

├———————┤

│ │

│ shellcode │

│ │

├———————┤《—由exploit填入數(shù)據(jù)的結(jié)束

│ …… │

├———————┤《—高端內(nèi)存區(qū)域

windows下的動(dòng)態(tài)數(shù)據(jù)除了可存放在棧中，還可以存放在堆中。了解C++的朋友都知道，C++可以使用new關(guān)鍵字來(lái)動(dòng)態(tài)分配內(nèi)存。來(lái)看下面的C++代碼：

＃include 《stdio.h》

＃include 《iostream.h》

＃include 《windows.h》

void func（）

{

char *buffer=new char［128］;

char bufflocal［128］;

static char buffstatic［128］;

printf（“0x%08x

”，buffer）; //打印堆中變量的內(nèi)存地址

printf（“0x%08x

”，bufflocal）; //打印本地變量的內(nèi)存地址

printf（“0x%08x

”，buffstatic）; //打印靜態(tài)變量的內(nèi)存地址

}

void main（） {

func（）;

return;

}

程序執(zhí)行結(jié)果為：

0x004107d0

0x0012ff04

0x004068c0

可以發(fā)現(xiàn)用new關(guān)鍵字分配的內(nèi)存即不在棧中，也不在靜態(tài)數(shù)據(jù)區(qū)。VC編譯器是通過(guò)windows下的“堆（heap）”來(lái)實(shí)現(xiàn)new關(guān)鍵字的內(nèi)存動(dòng)態(tài)分配。在講“堆”之前，先來(lái)了解一下和“堆”有關(guān)的幾個(gè)API函數(shù)：

- HeapAlloc 在堆中申請(qǐng)內(nèi)存空間

- HeapCreate 創(chuàng)建一個(gè)新的堆對(duì)象

- HeapDestroy 銷(xiāo)毀一個(gè)堆對(duì)象

- HeapFree 釋放申請(qǐng)的內(nèi)存

- HeapWalk 枚舉堆對(duì)象的所有內(nèi)存塊

- GetProcessHeap 取得進(jìn)程的默認(rèn)堆對(duì)象

- GetProcessHeaps 取得進(jìn)程所有的堆對(duì)象

- LocalAlloc

- GlobalAlloc

當(dāng)進(jìn)程初始化時(shí)，系統(tǒng)會(huì)自動(dòng)為進(jìn)程創(chuàng)建一個(gè)默認(rèn)堆，這個(gè)堆默認(rèn)所占內(nèi)存的大小為1M。堆對(duì)象由系統(tǒng)進(jìn)行管理，它在內(nèi)存中以鏈?zhǔn)浇Y(jié)構(gòu)存在。通過(guò)下面的代碼可以通過(guò)堆動(dòng)態(tài)申請(qǐng)內(nèi)存空間：

HANDLE hHeap=GetProcessHeap（）;

char *buff=HeapAlloc（hHeap，0，8）;

其中hHeap是堆對(duì)象的句柄，buff是指向申請(qǐng)的內(nèi)存空間的地址。那這個(gè)hHeap究竟是什么呢？它的值有什么意義嗎？看看下面這段代碼吧：

#pragma comment（linker，“/entry:main”） //定義程序的入口

＃include 《windows.h》

_CRTIMP int （__cdecl *printf）（const char *， 。。。）; //定義STL函數(shù)printf

/*---------------------------------------------------------------------------

寫(xiě)到這里，我們順便來(lái)復(fù)習(xí)一下前面所講的知識(shí)：

（*注）printf函數(shù)是C語(yǔ)言的標(biāo)準(zhǔn)函數(shù)庫(kù)中函數(shù)，VC的標(biāo)準(zhǔn)函數(shù)庫(kù)由msvcrt.dll模塊實(shí)現(xiàn)。

由函數(shù)定義可見(jiàn)，printf的參數(shù)個(gè)數(shù)是可變的，函數(shù)內(nèi)部無(wú)法預(yù)先知道調(diào)用者壓入的參數(shù)個(gè)數(shù)，函數(shù)只能通過(guò)分析第一個(gè)參數(shù)字符串的格式來(lái)獲得壓入?yún)?shù)的信息，由于這里參數(shù)的個(gè)數(shù)是動(dòng)態(tài)的，所以必須由調(diào)用者來(lái)平衡堆棧，這里便使用了__cdecl調(diào)用規(guī)則。BTW，Windows系統(tǒng)的API函數(shù)基本上是__stdcall調(diào)用形式，只有一個(gè)API例外，那就是wsprintf，它使用__cdecl調(diào)用規(guī)則，同printf函數(shù)一樣，這是由于它的參數(shù)個(gè)數(shù)是可變的緣故。

---------------------------------------------------------------------------*/

void main（）

{

HANDLE hHeap=GetProcessHeap（）;

char *buff=HeapAlloc（hHeap，0，0x10）;

char *buff2=HeapAlloc（hHeap，0，0x10）;

HMODULE hMsvcrt=LoadLibrary（“msvcrt.dll”）;

printf=（void *）GetProcAddress（hMsvcrt，“printf”）;

printf（“0x%08x

”，hHeap）;

printf（“0x%08x

”，buff）;

printf（“0x%08x

”，buff2）;

}

執(zhí)行結(jié)果為：

0x00130000

0x00133100

0x00133118

hHeap的值怎么和那個(gè)buff的值那么接近呢？其實(shí)hHeap這個(gè)句柄就是指向HEAP首部的地址。在進(jìn)程的用戶區(qū)存著一個(gè)叫PEB（進(jìn)程環(huán)境塊）的結(jié)構(gòu)，這個(gè)結(jié)構(gòu)中存放著一些有關(guān)進(jìn)程的重要信息，其中在PEB首地址偏移0x18處存放的ProcessHeap就是進(jìn)程默認(rèn)堆的地址，而偏移0x90處存放了指向進(jìn)程所有堆的地址列表的指針。windows有很多API都使用進(jìn)程的默認(rèn)堆來(lái)存放動(dòng)態(tài)數(shù)據(jù)，如windows 2000下的所有ANSI版本的函數(shù)都是在默認(rèn)堆中申請(qǐng)內(nèi)存來(lái)轉(zhuǎn)換ANSI字符串到Unicode字符串的。對(duì)一個(gè)堆的訪問(wèn)是順序進(jìn)行的，同一時(shí)刻只能有一個(gè)線程訪問(wèn)堆中的數(shù)據(jù)，當(dāng)多個(gè)線程同時(shí)有訪問(wèn)要求時(shí)，只能排隊(duì)等待，這樣便造成程序執(zhí)行效率下降。

最后來(lái)說(shuō)說(shuō)內(nèi)存中的數(shù)據(jù)對(duì)齊。所位數(shù)據(jù)對(duì)齊，是指數(shù)據(jù)所在的內(nèi)存地址必須是該數(shù)據(jù)長(zhǎng)度的整數(shù)倍，DWORD數(shù)據(jù)的內(nèi)存起始地址能被4除盡，WORD數(shù)據(jù)的內(nèi)存起始地址能被2除盡，x86 CPU能直接訪問(wèn)對(duì)齊的數(shù)據(jù)，當(dāng)他試圖訪問(wèn)一個(gè)未對(duì)齊的數(shù)據(jù)時(shí)，會(huì)在內(nèi)部進(jìn)行一系列的調(diào)整，這些調(diào)整對(duì)于程序來(lái)說(shuō)是透明的，但是會(huì)降低運(yùn)行速度，所以編譯器在編譯程序時(shí)會(huì)盡量保證數(shù)據(jù)對(duì)齊。同樣一段代碼，我們來(lái)看看用VC、Dev-C++和lcc三個(gè)不同編譯器編譯出來(lái)的程序的執(zhí)行結(jié)果：

＃include 《stdio.h》

int main（）

{

int a;

char b;

int c;

printf（“0x%08x

”，&a）;

printf（“0x%08x

”，&b）;

printf（“0x%08x

”，&c）;

return 0;

}

這是用VC編譯后的執(zhí)行結(jié)果：

0x0012ff7c

0x0012ff7b

0x0012ff80

變量在內(nèi)存中的順序：b（1字節(jié)）-a（4字節(jié)）-c（4字節(jié)）。

這是用Dev-C++編譯后的執(zhí)行結(jié)果：

0x0022ff7c

0x0022ff7b

0x0022ff74

變量在內(nèi)存中的順序：c（4字節(jié)）-中間相隔3字節(jié)-b（占1字節(jié)）-a（4字節(jié)）。

這是用lcc編譯后的執(zhí)行結(jié)果：

0x0012ff6c

0x0012ff6b

0x0012ff64

變量在內(nèi)存中的順序：同上。

三個(gè)編譯器都做到了數(shù)據(jù)對(duì)齊，但是后兩個(gè)編譯器顯然沒(méi)VC“聰明”，讓一個(gè)char占了4字節(jié)，浪費(fèi)內(nèi)存哦。

基礎(chǔ)知識(shí)：

堆棧是一種簡(jiǎn)單的數(shù)據(jù)結(jié)構(gòu)，是一種只允許在其一端進(jìn)行插入或刪除的線性表。允許插入或刪除操作的一端稱為棧頂，另一端稱為棧底，對(duì)堆棧的插入和刪除操作被稱為入棧和出棧。有一組CPU指令可以實(shí)現(xiàn)對(duì)進(jìn)程的內(nèi)存實(shí)現(xiàn)堆棧訪問(wèn)。其中，POP指令實(shí)現(xiàn)出棧操作，PUSH指令實(shí)現(xiàn)入棧操作。CPU的ESP寄存器存放當(dāng)前線程的棧頂指針，EBP寄存器中保存當(dāng)前線程的棧底指針。CPU的EIP寄存器存放下一個(gè)CPU指令存放的內(nèi)存地址，當(dāng)CPU執(zhí)行完當(dāng)前的指令后，從EIP寄存器中讀取下一條指令的內(nèi)存地址，然后繼續(xù)執(zhí)行。

責(zé)任編輯：lq6