大家好，我是小風哥。

我們都知道操作系統(tǒng)最重要的功能之一是多任務能力，也就是可以運行超過CPU數(shù)量的程序——即進程，要想實現(xiàn)這一功能就必須具備將有限的CPU資源在多個進程之間分配的能力，在程序員看來，我們的程序在一直運行，而在CPU看來程序其實在“走走停?！?，程序的一走一停就涉及到進程切換，那么進程切換的本質(zhì)是什么呢?從本質(zhì)上講，函數(shù)調(diào)用和進程切換是非常類似的，有的同學可能會有疑問，這怎么可能呢?別著急，看完這篇你就明白啦。

函數(shù)調(diào)用

我們先來看一下函數(shù)調(diào)用，函數(shù)調(diào)用是這樣的，A函數(shù)調(diào)用B函數(shù)，當B函數(shù)執(zhí)行完成時會跳轉(zhuǎn)回A函數(shù)(此時A函數(shù)和B函數(shù)位于同一個進程)：

void B() {
    ...
}
void A() {
    ...
}

這個過程是這樣的：

B函數(shù)執(zhí)行完成后會將控制權(quán)轉(zhuǎn)給A，所謂控制權(quán)是指告訴CPU繼續(xù)執(zhí)行函數(shù)A。

but，你有沒有想過，A函數(shù)調(diào)用B函數(shù)，B函數(shù)執(zhí)行完成時一定要跳轉(zhuǎn)回A函數(shù)嗎?不一定的，既然B函數(shù)可以將控制權(quán)轉(zhuǎn)給A那么就能將控制權(quán)轉(zhuǎn)給函數(shù)C。

聽上去很神奇有沒有，A函數(shù)調(diào)用B函數(shù)，當B函數(shù)執(zhí)行完成時竟然可以跳轉(zhuǎn)到C函數(shù)，可這該怎樣做到呢?讓我們來看一段神奇的代碼。

一段神奇的代碼

有這樣一段代碼：

#include <stdio.h>
#include <stdlib.h>

void funcC() {
    printf("jump to funcC !!!\n") ;
    exit(-1) ;
}

void funcB() {
    long *p = NULL ;
    p = (long*)&p ;
    *(p+2) = (long)funcC ;
}

void funcA() {
  funcB();
}

int main() {
    funcA() ;
    return 0 ;
}

想一想這段代碼運行后會輸出什么?

有的同學可能會說main函數(shù)調(diào)用了funcA，funcA函數(shù)調(diào)用了funcB，funcB函數(shù)看上就是一堆賦值，執(zhí)行完成后返回了funcA，funcA又返回main函數(shù)，因此執(zhí)行完畢后什么都不會輸出。

真的是這樣的嗎?讓我們編譯運行一下(小風哥使用的是5.2.0版gcc，64位機器，未開啟編譯優(yōu)化，不同編譯器版本運行效果可能不同)。

$ ./a.out
jump to funcC !!!

有的同學也許會大吃一驚，這怎么可能!!!

這段明明沒有調(diào)用funcC，可為什么funcC函數(shù)卻運行了?

程序員經(jīng)常說“代碼之中沒有秘密”，這句話不全對，應該是“機器指令中沒有秘密”，后來我想了想，這句話也不全對，因為對我們來說CPU是如何執(zhí)行機器指令這回事其實對我們來說是黑盒的，我們只能從大體的原理來說CPU是怎樣執(zhí)行一條機器指令的，但這里真正的細節(jié)只有處理器生產(chǎn)商比如intel/AMD等知道，而一些魔鬼恰恰就在這些細節(jié)中。

魔鬼在細節(jié)

扯遠了，讓我們回到這篇文章的主題，先來看看生成的機器指令是什么樣的：

0000000000400586 <funcC>:
  400586:       55                      push   %rbp
  400587:       48 89 e5                mov    %rsp,%rbp
  40058a:       bf 74 06 40 00          mov    $0x400674,%edi
  40058f:       e8 bc fe ff ff          callq  400450 <puts@plt>
  400594:       bf ff ff ff ff          mov    $0xffffffff,%edi
  400599:       e8 e2 fe ff ff          callq  400480 <exit@plt>

000000000040059e <funcB>:
  40059e:       55                      push   %rbp
  40059f:       48 89 e5                mov    %rsp,%rbp
  4005a2:       48 c7 45 f8 00 00 00    movq   $0x0,-0x8(%rbp)
  4005a9:       00 
  4005aa:       48 8d 45 f8             lea    -0x8(%rbp),%rax
  4005ae:       48 89 45 f8             mov    %rax,-0x8(%rbp)
  4005b2:       48 8b 45 f8             mov    -0x8(%rbp),%rax
  4005b6:       48 83 c0 10             add    $0x10,%rax
  4005ba:       ba 86 05 40 00          mov    $0x400586,%edx
  4005bf:       48 89 10                mov    %rdx,(%rax)
  4005c2:       90                      nop
  4005c3:       5d                      pop    %rbp
  4005c4:       c3                      retq

這些指令在說什么呢?我們先來看普通的函數(shù)調(diào)用：

當函數(shù)B執(zhí)行完畢后此時的棧幀為：

函數(shù)B的最后一條機器指令通常為：ret，這條指令的目的是將當前棧頂?shù)膬?nèi)容彈出到%rip寄存器中，CPU會根據(jù)rip中的值從內(nèi)存中取出指令并執(zhí)行，顯然ret指令會將之前保存的返回地址放入rip寄存器中，這樣CPU就可以繼續(xù)執(zhí)行A函數(shù)中的后續(xù)代碼了，也就是++a這行代碼。

有的同學可能已經(jīng)看出來，如果我們有辦法修改A棧幀上的返回地址不就能實現(xiàn)“指哪打哪”了嗎?

實際上代碼中“*(p+2) = (long)funcC ;”這行會將本來指向funcB的返回地址修改為指向funcC，即：

這樣當funcB函數(shù)運行完成后會直接跳轉(zhuǎn)到funcC函數(shù)，從而實現(xiàn)可控的執(zhí)行流切換，進程切換的本質(zhì)與此別無二致，只不過進程切換需要連帶著把棧也切換過去(以及地址空間)，同時還會保存被切換進程的上下文。

有的同學可能已經(jīng)看出來了，上述過程叫做緩沖區(qū)溢出攻擊，要實現(xiàn)的目的和進程切換一樣：實現(xiàn)控制權(quán)的轉(zhuǎn)移，只不過緩沖區(qū)溢出攻擊是非法的，不符合預期的(符合黑客的預期，但不符合操作系統(tǒng)設計者制定的游戲規(guī)則)，而進程切換是合法的，符合預期的(符合操作系統(tǒng)設計者的預期)。而有時，(真正意義上的)黑客與操作系統(tǒng)設計者其實是一伙人。