32位环境下ebp与esp偏移计算疑问：为何偏移量为28？

首先明确32位环境下栈的核心逻辑：栈从高地址向低地址生长，每次push操作会让esp递减4字节。函数栈帧建立的关键步骤是：

• 调用者按约定（如cdecl/stdcall的从右到左顺序）push函数参数
• 执行call指令时，自动将返回地址push到栈上（esp再减4）
• 被调用者执行push ebp（esp减4），随后mov ebp, esp，此时ebp固定为当前栈帧的基址

以ebp为基准的栈布局如下：

• ebp+0：保存的旧ebp值
• ebp+4：函数返回地址
• ebp+8及以上：函数传入的参数（每个占4字节，按push顺序倒序排列）
• ebp-4及以下：被调用者的局部变量、保存的非易失性寄存器（如ebx/esi/edi）

你疑惑偏移量为何是28，而不是预想的ebp-4，核心原因是没考虑栈帧里的额外内容：

1. 保存的寄存器占用空间：多数编译器生成的代码会先push ebx、esi、edi这类非易失性寄存器，每个push占4字节。比如push3个寄存器就占12字节，此时ebp-4是edi，ebp-8是esi，ebp-12是ebx，局部变量得从ebp-16开始计算。
2. 批量分配的局部变量空间：编译器会用sub esp, n（n为4的倍数）一次性分配多个局部变量的空间。如果前面保存了3个寄存器（12字节），又分配了16字节局部变量，那么最靠近栈顶的局部变量偏移就是ebp-28，对应偏移量28。
3. 参数区的位置：如果a1fa1fa是函数的第6个参数，那它的位置是ebp+8 + 4*5 = ebp+28，此时相对于ebp的偏移就是28（正偏移）。

你用esp+4*4计算错误，是因为esp在栈帧建立后会因push寄存器、sub esp分配空间而变化，无法作为稳定基准；而ebp在栈帧生命周期内固定不变，所有偏移都应该以它为参照。

内容的提问来源于stack exchange，提问作者kot123