arm64 架构之入栈/出栈操做

本文首发在个人我的博客： blog.shenyuanluo.com，喜欢的朋友欢迎订阅。html

arm64 汇编准备

寄存器

通用寄存器

31 个R0 ~ R30，每一个寄存器能够存取一个 64 位大小的数。 当使用 x0 - x30访问时，是一个 64位的数；当使用 w0 - w30访问时，是一个 32 位的数，访问的是寄存器的 低 32 位，如图：objective-c

向量寄存器

（也能够说是 浮点型寄存器）每一个寄存器的大小是 128 位的。 分别能够用Bn、Hn、Sn、Dn、Qn的方式来访问不一样的位数；如图:shell

**注：**word 是 32 位，也就是 4 Byte大小。xcode

• Bn： 一个 Byte的大小，即 8 位
• Hn： half word，即 16 位
• Sn： single word，即 32 位
• Dn： double word，即 64 位
• Qn： quad word，即128 位

特殊寄存器

• sp： (Stack Pointer)，栈顶寄存器，用于保存栈顶地址；
• fp(x29)： (Frame Pointer)为栈基址寄存，用于保存栈底地址；
• lr(x30)： (Link Register) ，保存调用跳转指令 bl 指令的下一条指令的内存地址；
• zr(x31)： (Zero Register)，xzr/wzr分别表明 64/32 位，其做用就是 0，写进去表明丢弃结果，读出来是 0；
• pc： 保存将要执行的指令的地址（有操做系统决定其值，不能改写）。

状态寄存器 CPSR

CPSR (Current Program Status Register)和其余寄存器不同，其余寄存器是用来存放数据的，都是整个寄存器具备一个含义；而 CPSR 寄存器是按位起做用的，即，每一位都有专门的含义，记录特定的信息；以下图数据结构

注： CPSR 寄存器是 32 位的。架构

1. CPSR 的 低8位（包括 I、F、T 和 M[4：0]）称为控制位，程序没法修改，除非 CPU 运行于 特权模式 下，程序才能修改控制位。app

2. N、Z、C、V 均为条件码标志位；其内容可被算术或逻辑运算的结果所改变，而且能够决定某条指令是否被执行。jsp

   • N（Negative）标志： CPSR 的第 31 位是 N，符号标志位；记录相关指令执行后其结果是否为负数，若是为负数，则 N = 1；若是是非负数，则 N = 0。函数

   • Z(Zero)标志： CPSR 的第 30 位是 Z，0标志位；记录相关指令执行后，其结果是否为0，若是结果为0，则 Z = 1；若是结果不为0，则 Z = 0。post

   • C(Carry)标志： CPSR 的第 29 位是C，进位标志位；

     • 加法运算：当运算结果产生了 进位 时（无符号数溢出），C = 1，不然 C = 0 ；
     • 减法运算（包括 CMP）： 当运算时产生了 借位 时（无符号数溢出），C = 0，不然 C = 1 。

   • V(Overflow)标志： CPSR 的第 28 位是 V，溢出标志位；在进行有符号数运算的时候，若是超过了机器所能标识的范围，称为溢出。

条件码列表

指令读取

在 arm64 架构中，每一个指令读取都是 64 位，即 8字节 空间。

arm64 约定（通常来讲）

• x0 ~ x7 分别会存放方法的前 8 个参数；若是参数个数超过了8个，多余的参数会存在栈上，新方法会经过栈来读取。
• 方法的返回值通常都在 x0 上；若是方法返回值是一个较大的数据结构时，结果会存在 x8 执行的地址上。

常见汇编指令

• mov： 将某一寄存器的值复制到另外一寄存器（只能用于寄存器与寄存器或者寄存器与常量之间传值，不能用于内存地址），如：

  mov x1, x0        ; 将寄存器 x0 的值复制到寄存器 x1 中 
  复制代码

• add： 将某一寄存器的值和另外一寄存器的值 相加 并将结果保存在另外一寄存器中，如：

  add x0, x0, #1    ; 将寄存器 x0 的值和常量 1 相加后保存在寄存器 x0 中 
  add x0, x1, x2    ; 将寄存器 x1 和 x2 的值相加后保存到寄存器 x0 中 
  add x0, x1, [x2]  ; 将寄存器 x1 的值加上寄存器 x2 的值做为地址，再取该内存地址的内容放入寄存器 x0 中 
  复制代码

• sub： 将某一寄存器的值和另外一寄存器的值 相减 并将结果保存在另外一寄存器中，如：

  sub x0, x1, x2        ; 将寄存器 x1 和 x2 的值相减后保存到寄存器 x0 中 
  复制代码

• mul： 将某一寄存器的值和另外一个寄存器的值 相乘 并将结果保存在另外一寄存器中，如：

  mul x0, x1, x2        ; 将寄存器 x1 和 x2 的值相乘后结果保存到寄存器 x0 中
  复制代码

• sdiv：（有符号数，对应 udiv: 无符号数）将某一寄存器的值和另外一个寄存器的值 相除 并将结果保存在另外一寄存器中，如：

  sdiv x0, x1, x2       ; 将寄存器 x1 和 x2 的值相除后结果保存到寄存器 x0 中
  复制代码

• and： 将某一寄存器的值和另外一寄存器的值 按位与 并将结果保存到另外一寄存器中，如：

  and x0, x0, #0xf      ; 将寄存器 x0 的值和常量 0xf 按位与后保存到寄存器 x0 中 
  复制代码

• orr： 将某一寄存器的值和另外一寄存器的值 按位或 并将结果保存到另外一寄存器中，如：

  orr x0, x0, #9        ; 将寄存器 x0 的值和常量 9 按位或后保存到寄存器 x0 中
  复制代码

• eor： 将某一寄存器的值和另外一寄存器的值 按位异或 并将结果保存到另外一寄存器中，如：

  eor x0, x0, #0xf      ; 将寄存器 x0 的值和常量 0xf 按位异或后保存到寄存器 x0 中 
  复制代码

• str： (store register) 将寄存器中的值写入到内存中，如：

  str w9, [sp, #0x8]    ; 将寄存器 w9 中的值保存到栈内存 [sp + 0x8] 处 
  复制代码

• strb： (store register byte) 将寄存器中的值写入到内存中（只存储一个字节），如：

  strb w8, [sp, #7]     ; 将寄存器 w8 中的低 1 字节的值保存到栈内存 [sp + 7] 处 
  复制代码

• ldr： (load register) 将内存中的值读取到寄存器中，如：

  ldr x0, [x1]          ; 将寄存器 x1 的值做为地址，取该内存地址的值放入寄存器 x0 中 
  ldr w8, [sp, #0x8]    ; 将栈内存 [sp + 0x8] 处的值读取到 w8 寄存器中 
  ldr x0, [x1, #4]!     ; 将寄存器 x1 的值加上 4 做为内存地址, 取该内存地址的值放入寄存器 x0 中, 而后将寄存器 x1 的值加上 4 放入寄存器 x1 中 
  ldr x0, [x1], #4      ; 将寄存器 x1 的值做为内存地址，取内该存地址的值放入寄存器 x0 中, 再将寄存器 x1 的值加上 4 放入寄存器 x1 中 
  ldr x0, [x1, x2]      ; 将寄存器 x1 和寄存器 x2 的值相加做为地址，取该内存地址的值放入寄存器 x0 中 
  复制代码

• ldrsb： (load register byte) 将内存中的值（只读取一个字节）读取到寄存器中，如：

  ldrsb	w8, [sp, #7]    ; 将栈内存 [sp + 7] 出的 低 1 字节的值读取到寄存器 w8 中
  复制代码

• stur： 同 str 将寄存器中的值写入到内存中（通常用于 负 地址运算中），如：

  stur w10, [x29, #-0x4]    ; 将寄存器 w10 中的值保存到栈内存 [x29 - 0x04] 处 	
  复制代码

• ldur： 同 ldr 将内存中的值读取到寄存器中（通常用于 负 地址运算中），如：

  ldur w8, [x29, #-0x4]     ; 将栈内存 [x29 - 0x04] 处的值读取到 w8 寄存器中
  复制代码

• stp： 入栈指令（str 的变种指令，能够同时操做两个寄存器），如：

  stp x29, x30, [sp, #0x10] 	; 将 x29, x30 的值存入 sp 偏移 16 个字节的位置 
  复制代码

• ldp： 出栈指令（ldr 的变种指令，能够同时操做两个寄存器），如：

  ldp x29, x30, [sp, #0x10] 	; 将 sp 偏移 16 个字节的值取出来，存入寄存器 x29 和寄存器 x30 
  复制代码

• scvtf： (Signed Convert To Float)带符号 定点数 转换为 浮点数，如：

  scvtf	d1, w0      ; 将寄存器 w0 的值(顶点数，转化成 浮点数) 保存到 向量寄存器/浮点寄存器 d1 中
  复制代码

• fcvtzs： (Float Convert To Zero Signed)浮点数 转化为 定点数 （舍入为0），如：

  fcvtzs w0, s0	    ; 将向量寄存器 s0 的值(浮点数，转换成 定点数)保存到寄存器 w0 中
  复制代码

• cbz： 和 0 比较（Compare），若是结果为零（Zero）就转移（只能跳到后面的指令）;

• cbnz： 和非 0 比较（Compare），若是结果非零（Non Zero）就转移（只能跳到后面的指令）;

• cmp： 比较指令，至关于 subs，影响程序状态寄存器 CPSR ;

• cset： 比较指令，知足条件，则并置 1，不然置 0 ，如：

  cmp w8, #2        ; 将寄存器 w8 的值和常量 2 进行比较
  cset w8, gt       ; 若是是大于(grater than)，则将寄存器 w8 的值设置为 1，不然设置为 0
  复制代码

• brk： 能够理解为跳转指令特殊的一种

• LSL： 逻辑左移

• LSR： 逻辑右移

• ASR： 算术右移

• ROR： 循环右移

• adrp： 用来定位数据段中的数据用, 由于 aslr 会致使代码及数据的地址随机化, 用 adrp 来根据 pc 作辅助定位

• b： （branch）跳转到某地址（无返回）, 不会改变 lr (x30) 寄存器的值；通常是本方法内的跳转，如 while 循环，if else 等 ，如：

  b LBB0_1      ; 直接跳转到标签 ‘LLB0_1’ 处开始执行
  复制代码

• bl： 跳转到某地址（有返回），先将下一指令地址（即函数返回地址）保存到寄存器 lr (x30)中，再进行跳转 ；通常用于不一样方法直接的调用 ，如：

  bl 0x100cfa754	; 先将下一指令地址（‘0x100cfa754’ 函数调用后的返回地址）保存到寄存器 ‘lr’ 中，而后再调用 ‘0x100cfa754’ 函数
  复制代码

• blr： 跳转到 某寄存器 (的值)指向的地址（有返回），先将下一指令地址（即函数返回地址）保存到寄存器 lr (x30)中，再进行跳转 ；如：

  blr x20       ; 先将下一指令地址（‘x20’指向的函数调用后的返回地址）保存到寄存器 ‘lr’ 中，而后再调用 ‘x20’ 指向的函数
  复制代码

• br： 跳转到某寄存器(的值)指向的地址（无返回）, 不会改变 lr (x30) 寄存器的值。

• brk: 能够理解为跳转指令特殊的一种。

• ret： 子程序（函数调用）返回指令，返回地址已默认保存在寄存器 lr (x30) 中

函数调用

每一个函数调用，都会有 入栈 和 出栈 操做。

例子: PushAndPop.c

源代码

#include <stdio.h>

void TestPushAndPop()
{
    printf("Push an Pop !");
}	
复制代码

汇编代码

• 经过 Xcode "Product——>Perform Action——>Assemble PushAndPop.c" 查看其对应的汇编代码：

  

• 也能够经过 clang 编译成汇编代码：

  // 注意，如下代码将默认生成pc版的汇编指令
  clang -S PushAndPop.c
      
  // arm64汇编须要以下命令，指定架构和系统头文件所在的目录，请务必将isysroot的sdk版本修改成对应的 xcode 中存在的版本！
  clang -S -arch arm64 -isysroot /Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/iPhoneOS11.1.sdk PushAndPop.c
  复制代码

  

去除一大堆 不相干东西 获得对应汇编代码，以下：

sub	sp, sp, #32             ; 更新栈顶寄存器的值，（能够看出：申请 32 字节占空间做为新用）
stp	x29, x30, [sp, #16]     ; 保存调用该函数前的栈顶寄存器的值和该函数结束返回后下一将执行指令地址值
add	x29, sp, #16            ; 更新栈底寄存器的值，(能够看出：还剩余 16 字节空间给该函数用)
adrp     x0, l_.str@PAGE        ; 获取 ‘l_.str’ 标签所在的页的地址 
add x0, x0, l_.str@PAGEOFF	; 获取 ‘l_.str’ 标签对应页地址的偏移
bl	_printf	                ; 调用 ‘printf’ 函数进行打印
stur	w0, [x29, #-4]          ; 将 w0 寄存器的值('bl' 函数调用的返回值)保存到 [x29 - 4] 的内存地址中
ldp	x29, x30, [sp, #16]     ; 恢复调用该函数以前栈底寄存器的值
add	sp, sp, #32             ; 恢复调用该函数以前栈顶寄存器的值
ret													; 返回
复制代码

对与上面的汇编代码，分配了 32 本身空间，其中 16 字节是用做 入栈操做，剩下的 16 字节是用于存储临时变量的。

疑问： 例子函数命名是没有临时变量，为何还会须要申请占空间？

解释： 虽然该函数没有临时变量，可是调用 printf 函数后，编译器自动会加上 该函数返回值 的处理，因为 arm64 规定了整数型返回值放在 x0 寄存器里，所以会隐藏有一个局部变量 int return_value; 的声明在，该临时变量占用 4字节空间；又由于 arm64 下对于使用 sp 做为地址基址寻址的时候，必需要 16byte-alignment（对齐），因此申请了 16字节空间做为临时变量使用。具体参见 这里。

• 其 入栈操做 汇编代码流程解析以下：

  

• 其 出栈操做 汇编代码流程解析以下：

  

  注意： 对栈的 分配/释放 操做只会对栈指针作加减法, 而不会对栈内存中的内容作任何修改(也不会把释放的栈空间设置为 0)。

参考

• iOS开发同窗的arm64汇编入门
• iOS逆向之旅（基础篇） — 汇编（一）— 汇编基础
• [C in ASM(ARM64)]第一章 一些实例
• Using the Stack in AArch64: Implementing Push and Pop
• arm指令帮助文档