OS X平台下Nasm中用子程序替代int 0x80的等效性疑问

嘿，我来帮你理清这个困惑——在OS X平台用NASM 0.98.40时，封装int 0x80成子程序和直接写int 0x80确实会有不同的行为，核心原因和OS X的系统调用约定以及子程序调用的栈变化有关，咱们一步步拆解：

1. OS X和Linux的系统调用机制差异 #

你看到的int 0x80是Linux 32位平台的系统调用入口，但OS X的系统调用规则和Linux完全不一样：

• 32位OS X虽然也用int 0x80触发系统调用，但参数是通过栈传递的，而Linux是用寄存器（ebx、ecx、edx等）传递参数；
• 两者的系统调用号也不通用，比如同样是write调用，Linux的调用号是4，OS X 32位的调用号也是4，但参数传递的位置天差地别。

2. 子程序调用对栈的破坏 #

当你用call _syscall执行封装的子程序时，CPU会先把当前指令的返回地址压入栈中，再跳转到_syscall的代码。这就导致了一个关键问题：

OS X的int 0x80系统调用会从栈顶读取参数，但此时栈顶的内容已经变成了call指令压入的返回地址，而不是你预先准备好的系统调用参数！

举个简单的对比：

• 直接执行int 0x80：栈顶是你准备的参数，系统调用能正确读取；
• 调用_syscall子程序：栈顶多了一个4字节的返回地址，系统调用读到的是错误的“参数”，自然无法正确执行。

3. 老版本NASM的兼容性问题 #

你使用的NASM 0.98.40是非常老旧的版本（发布于2007年），对OS X的Mach-O目标文件格式支持并不完善，可能在栈对齐、子程序处理等方面存在额外的兼容性问题，进一步放大了这种差异。

怎么解决？ #

如果想让封装的子程序正常工作，你需要在_syscall里手动调整栈，抵消call指令压入的返回地址，比如：

_syscall:
    pop ebx         ; 弹出返回地址到ebx暂存
    int 0x80        ; 执行系统调用
    push ebx        ; 把返回地址压回栈
    ret             ; 正常返回

不过其实完全没必要这么麻烦——直接在代码里写int 0x80更直接，也能避免栈的问题。

内容的提问来源于stack exchange，提问作者Greg Nisbet