调试器如何跟踪堆栈？

Question

我试图使用堆栈指针来实现堆栈跟踪器； RSP 和 RBP，但我认为调试器使用完全不同的方式来获取返回地址，或者我可能遗漏了一些东西。我可以抓取最后一个栈帧的返回地址，但是我无法获取其他的，因为我不知道其他栈帧的大小，所以我无法弄清楚我应该从栈帧返回多少字节, 获取返回地址。有谁知道调试器使用哪种方式来跟踪堆栈？

Answer 1

当代码使用帧指针时，可以跟踪堆栈。在这种情况下，ebp/rbp 用作帧指针，函数以序言开头，以结尾结尾。 一个典型的 prolog 如下所示：

push    rbp       ; save previous frame pointer
mov     rbp, rsp  ; initialize this functions frame pointer

典型的结语如下所示：

mov     rsp, rbp  ; restore the value of rsp
pop     rbp       ; restore previous frame pointer value from stack
retn

因此，函数rbp 的每个位置都指向保存前一帧指针的堆栈位置，rbp+8 包含保存的返回地址。 要获取被调用函数，调试器应读取[rbp+8] 值并找到该地址所属的函数。这可以通过在调试符号中搜索来完成。 接下来它应该读取[rbp] 值以获取调用函数的帧指针。继续此过程，直到找到顶层函数。这通常是一个启动线程的系统库函数。