x86汇编函数栈帧中sub esp,0F4h取值计算原理咨询

这是32位x86架构下MSVC编译器生成的典型栈帧代码，0xF4不是随机选取的数值，是编译器严格按照栈布局规则计算得到的，计算逻辑分为两步：

• 第一步：统计局部变量所需的最小栈空间
  栈帧建立阶段执行完push ebp; mov ebp, esp后，ebp作为固定帧指针，所有用户定义的局部变量、编译器生成的隐藏变量（栈安全cookie、字符串SSO缓冲区、异常处理节点等）都分配在ebp的低地址方向（即偏移为负的内存区域）。
  从反汇编识别的变量偏移可以看到，当前函数内地址最低（离ebp最远）的局部变量是var_F0，偏移为-0xF0，所有局部变量刚好填满ebp-0xF0到ebp-1的连续内存区间，总大小为0xF0字节，这是栈预留空间的基础值。可以对照列出的变量验证：
  • 栈安全cookievar_4为4字节，存储在ebp-4位置，紧挨着保存的旧ebp值
  • 返回值retValue（std::wstring类型）存储在ebp-0x24位置
  • 字节变量var_34存储在ebp-0x34位置
  • 最远的双字变量var_F0存储在ebp-0xF0位置
    所有变量在0xF0字节的区间内无重叠排布。
• 第二步：补充对齐填充满足栈对齐要求
  x86平台从SSE指令普及开始，强制要求执行call指令前栈顶必须16字节对齐，否则调用使用SSE寄存器的标准库函数、系统API会触发崩溃。编译器会在局部变量最小空间的基础上，额外增加少量填充字节，保证后续压栈传参、保存寄存器的操作完成后，栈顶位置符合对齐约束。
  本案例中局部变量最小空间为0xF0（240字节，本身是16的整数倍），但结合后续压入ebx、esi、edi三个非易失寄存器的操作、以及函数内部临时压栈传参的对齐要求，需要额外补充4字节填充，最终预留的栈空间总大小为0xF0 + 4 = 0xF4。

补充说明 #

• sub esp, 0F4h之后执行的三个push ebx/esi/edi，是按照x86调用约定保存非易失寄存器（被调用函数必须保证这三个寄存器在返回时与入口值一致），这三个寄存器的值存储在预留局部变量空间的更低地址，不算在0xF4的预留大小内。因此函数返回时，会先执行三个pop恢复寄存器值，将esp抬回sub esp, 0F4h执行后的位置，再执行add esp, 0F4h释放局部变量空间，最后通过mov esp, ebp; pop ebp; retn返回调用者，栈完全平衡。
• 代码中的mov esp, ebp是编译器生成的冗余保险指令：正常执行路径下add esp, 0F4h完成后esp已经等于ebp，这一指令是为了在异常路径、栈溢出篡改esp值的场景下，能直接将esp拉回正确位置再返回。
• 如果是Debug模式编译的二进制，0xF4的预留空间内还会包含编译器填充的0xCC（int3断点），用于检测野指针访问、栈溢出问题，但总大小的计算逻辑保持不变。

内容的提问来源于stack exchange，提问作者Tony