最近在分析一个进程崩溃的严重问题，其中有些过程分析需要对ebp, esp有清晰的理解，对于ebp和esp相信大家都很熟悉了，但是为了使本文自成体系，我还是解释一下。
ebp--栈底指针
esp--栈顶指针
如图所示，简化后的代码调用过程如下：
voidLayer02()
{
intb = 2;
}
voidLayer01()
{
inta = 1;
Layer02();
}
那么函数执行过程中ebp和esp是如何变化的呢？如下是反汇编后的代码:
void Layer02()
{
00413700push ebp
00413701mov ebp,esp
00413703sub esp,0CCh
00413709push ebx
0041370Apush esi
0041370Bpush edi
0041370Clea edi,[ebp-0CCh]
00413712mov ecx,33h
00413717mov eax,0CCCCCCCCh
0041371Crep stos dword ptr es:[edi]
int b = 2;
0041371Emov dword ptr [b],2
}
00413725pop edi
00413726pop esi
00413727pop ebx
00413728mov esp,ebp
0041372Apop ebp
0041372Bret
我们看到函数调用开始执行如下的两行代码：
00413700push ebp
00413701mov ebp,esp
返回前执行如下代码：
00413728mov esp,ebp
0041372Apop ebp
0041372Bret
那么这几行代码到底是什么意思呢？首先，如图上所示：
开始两行代码的意思是先将ebp1压栈，然后将现在的栈顶esp1作为函数调用时的栈底，所以会执行如下语句：
00413701mov ebp,esp
那么，返回前的几条语句又是什么意思呢？
我想大家已经猜到了，当函数调用执行结束，我们要执行相反的过程:
00413728mov esp,ebp
还原栈顶指针
0041372Apop ebp
还原栈底指针
0041372Bret
返回到函数调用前的指令继续执行。待续…
如果觉得《C代码反汇编后的堆栈寄存器EBP和ESP》对你有帮助，请点赞、收藏，并留下你的观点哦！
