Windows x86环境下程序启动时ESP寄存器的初始值是如何确定的？

你用来测试ESP初始值的汇编代码如下：

mov ecx,270
l1: pop eax
    loop l1
    push eax

实验结果不稳定的核心原因 #

• 首先Windows Vista及以上版本默认开启地址空间布局随机化（ASLR），程序每次启动时栈的基地址都会随机偏移，固定pop次数必然会出现运行结果波动的情况。
• 就算关闭ASLR，初始ESP也没有固定值：PE加载器会先将命令行参数、环境变量、进程启动信息等可变长度的数据压入栈顶，这些内容的长度会随运行环境变化（比如工作目录变更、环境变量增减都会影响），导致初始ESP会有几字节到上百字节的浮动，这就是ecx取值在250-400区间有时报错有时正常的原因。
• 另外Windows栈采用按需提交机制：默认给用户线程栈保留1MB虚拟地址空间，但初始仅提交栈顶的4KB/8KB内存页，当pop到未提交的栈地址范围后再执行push操作，会先触发页错误自动提交内存，只有访问超出栈保留地址范围时才会触发崩溃。

32位Windows初始ESP的确定逻辑 #

不存在固定的初始ESP值，具体生成流程如下：

1. 进程创建时，内核先为用户线程分配栈的保留虚拟地址空间，大小默认取PE头中STACK RESERVE SIZE字段的配置，Visual Studio默认编译的程序该值为1MB。
2. 栈向下增长，保留地址空间的最高地址为栈的理论基址。
3. 系统PE加载器会将进程启动参数、环境变量块、线程启动上下文等数据写入栈顶，调整ESP指向可用的栈顶位置。
4. 若开启ASLR，会在栈基址基础上增加随机偏移，进一步打乱ESP的初始值。

相关实现规范说明 #

没有公开的通用规范要求初始ESP必须为固定值，所有Windows版本的实现都允许初始ESP存在波动。用户态程序不允许依赖固定的初始ESP值编写逻辑，依赖该值的代码属于未定义行为，运行结果不受系统保障。

内容的提问来源于stack exchange，提问作者Zackham