進(jìn)程切換的本質(zhì)是什么？
大家好，我是島主小風(fēng)哥，今天簡(jiǎn)單聊聊進(jìn)程切換。
我們都知道操作系統(tǒng)最重要的功能之一是多任務(wù)能力，也就是可以運(yùn)行超過(guò)CPU數(shù)量的程序——即進(jìn)程，要想實(shí)現(xiàn)這一功能就必須具備將有限的CPU資源在多個(gè)進(jìn)程之間分配的能力，在程序員看來(lái)，我們的程序在一直運(yùn)行，而在CPU看來(lái)程序其實(shí)在“走走停?！?，程序的一走一停就涉及到進(jìn)程切換，那么進(jìn)程切換的本質(zhì)是什么呢？
從本質(zhì)上講，函數(shù)調(diào)用和進(jìn)程切換是非常類(lèi)似的，有的同學(xué)可能會(huì)有疑問(wèn)，這怎么可能呢？別著急，看完這篇你就明白啦。
函數(shù)調(diào)用
我們先來(lái)看一下函數(shù)調(diào)用，函數(shù)調(diào)用是這樣的，A函數(shù)調(diào)用B函數(shù)，當(dāng)B函數(shù)執(zhí)行完成時(shí)會(huì)跳轉(zhuǎn)回A函數(shù)（此時(shí)A函數(shù)和B函數(shù)位于同一個(gè)進(jìn)程）：
void B() {
...
}
void A() {
...
}這個(gè)過(guò)程是這樣的：
圖片
B函數(shù)執(zhí)行完成后會(huì)將控制權(quán)轉(zhuǎn)給A，所謂控制權(quán)是指告訴CPU繼續(xù)執(zhí)行函數(shù)A。
but，你有沒(méi)有想過(guò)，A函數(shù)調(diào)用B函數(shù)，B函數(shù)執(zhí)行完成時(shí)一定要跳轉(zhuǎn)回A函數(shù)嗎？不一定的，既然B函數(shù)可以將控制權(quán)轉(zhuǎn)給A那么就能將控制權(quán)轉(zhuǎn)給函數(shù)C。
聽(tīng)上去很神奇有沒(méi)有，A函數(shù)調(diào)用B函數(shù)，當(dāng)B函數(shù)執(zhí)行完成時(shí)竟然可以跳轉(zhuǎn)到C函數(shù)，可這該怎樣做到呢？讓我們來(lái)看一段神奇的代碼。
一段神奇的代碼
有這樣一段代碼：
#include <stdio.h>
#include <stdlib.h>
void funcC() {
printf("jump to funcC !!!\n") ;
exit(-1) ;
}
void funcB() {
long *p = NULL ;
p = (long*)&p ;
*(p+2) = (long)funcC ;
}
void funcA() {
funcB();
}
int main() {
funcA() ;
return 0 ;
}想一想這段代碼運(yùn)行后會(huì)輸出什么？
有的同學(xué)可能會(huì)說(shuō)main函數(shù)調(diào)用了funcA，funcA函數(shù)調(diào)用了funcB，funcB函數(shù)看上就是一堆賦值，執(zhí)行完成后返回了funcA，funcA又返回main函數(shù)，因此執(zhí)行完畢后什么都不會(huì)輸出。
真的是這樣的嗎？讓我們編譯運(yùn)行一下(小風(fēng)哥使用的是5.2.0版gcc，64位機(jī)器，未開(kāi)啟編譯優(yōu)化，不同編譯器版本運(yùn)行效果可能不同)。
$ ./a.out
jump to funcC !!!有的同學(xué)也許會(huì)大吃一驚，這怎么可能?。?！
這段明明沒(méi)有調(diào)用funcC，可為什么funcC函數(shù)卻運(yùn)行了？
程序員經(jīng)常說(shuō)“代碼之中沒(méi)有秘密”，這句話不全對(duì)，應(yīng)該是“機(jī)器指令中沒(méi)有秘密”，后來(lái)我想了想，這句話也不全對(duì)，因?yàn)閷?duì)我們來(lái)說(shuō)CPU是如何執(zhí)行機(jī)器指令這回事其實(shí)對(duì)我們來(lái)說(shuō)是黑盒的，我們只能從大體的原理來(lái)說(shuō)CPU是怎樣執(zhí)行一條機(jī)器指令的，但這里真正的細(xì)節(jié)只有處理器生產(chǎn)商比如intel/AMD等知道，而一些魔鬼恰恰就在這些細(xì)節(jié)中。
魔鬼在細(xì)節(jié)
扯遠(yuǎn)了，讓我們回到這篇文章的主題，先來(lái)看看生成的機(jī)器指令是什么樣的：
0000000000400586 <funcC>:
400586: 55 push %rbp
400587: 48 89 e5 mov %rsp,%rbp
40058a: bf 74 06 40 00 mov $0x400674,%edi
40058f: e8 bc fe ff ff callq 400450 <puts@plt>
400594: bf ff ff ff ff mov $0xffffffff,%edi
400599: e8 e2 fe ff ff callq 400480 <exit@plt>
000000000040059e <funcB>:
40059e: 55 push %rbp
40059f: 48 89 e5 mov %rsp,%rbp
4005a2: 48 c7 45 f8 00 00 00 movq $0x0,-0x8(%rbp)
4005a9: 00
4005aa: 48 8d 45 f8 lea -0x8(%rbp),%rax
4005ae: 48 89 45 f8 mov %rax,-0x8(%rbp)
4005b2: 48 8b 45 f8 mov -0x8(%rbp),%rax
4005b6: 48 83 c0 10 add $0x10,%rax
4005ba: ba 86 05 40 00 mov $0x400586,%edx
4005bf: 48 89 10 mov %rdx,(%rax)
4005c2: 90 nop
4005c3: 5d pop %rbp
4005c4: c3 retq這些指令在說(shuō)什么呢？
我們先來(lái)看普通的函數(shù)調(diào)用：
圖片
當(dāng)函數(shù)B執(zhí)行完畢后此時(shí)的棧幀為：
圖片
函數(shù)B的最后一條機(jī)器指令通常為：ret，這條指令的目的是將當(dāng)前棧頂?shù)膬?nèi)容彈出到%rip寄存器中，CPU會(huì)根據(jù)rip中的值從內(nèi)存中取出指令并執(zhí)行，顯然ret指令會(huì)將之前保存的返回地址放入rip寄存器中，這樣CPU就可以繼續(xù)執(zhí)行A函數(shù)中的后續(xù)代碼了，也就是++a這行代碼。
有的同學(xué)可能已經(jīng)看出來(lái)，如果我們有辦法修改A棧幀上的返回地址不就能實(shí)現(xiàn)“指哪打哪”了嗎？
實(shí)際上代碼中“*(p+2) = (long)funcC ;”這行會(huì)將本來(lái)指向funcB的返回地址修改為指向funcC，即：
圖片
這樣當(dāng)funcB函數(shù)運(yùn)行完成后會(huì)直接跳轉(zhuǎn)到funcC函數(shù)，從而實(shí)現(xiàn)可控的執(zhí)行流切換，進(jìn)程切換的本質(zhì)與此別無(wú)二致，只不過(guò)進(jìn)程切換需要連帶著把棧也切換過(guò)去(以及地址空間)，同時(shí)還會(huì)保存被切換進(jìn)程的上下文。
有的同學(xué)可能已經(jīng)看出來(lái)了，上述過(guò)程叫做緩沖區(qū)溢出攻擊，要實(shí)現(xiàn)的目的和進(jìn)程切換一樣：實(shí)現(xiàn)控制權(quán)的轉(zhuǎn)移，只不過(guò)緩沖區(qū)溢出攻擊是非法的，不符合預(yù)期的(符合黑客的預(yù)期，但不符合操作系統(tǒng)設(shè)計(jì)者制定的游戲規(guī)則)，而進(jìn)程切換是合法的，符合預(yù)期的(符合操作系統(tǒng)設(shè)計(jì)者的預(yù)期)。
