第 3 章：程序的机器级表示

主题：程序的机器级表示 (Machine-Level Representation of Programs)
目标：能读懂 x86-64 汇编，理解 C 程序如何映射到指令、寄存器、栈、控制流、过程调用和浮点运算。

1. 从 C 到机器代码

flowchart LR
    A["hello.c<br/>C 源程序"] --> B["预处理<br/>cpp"]
    B --> C["编译<br/>gcc -S"]
    C --> D["hello.s<br/>汇编代码"]
    D --> E["汇编<br/>as"]
    E --> F["hello.o<br/>可重定位目标文件"]
    F --> G["链接<br/>ld"]
    G --> H["可执行文件"]

常用命令：

注意：CSAPP 多用 AT&T 汇编语法，操作数顺序是 源, 目的，例如 movq %rax, %rbx 表示 %rbx = %rax。

2. x86-64 寄存器速查

寄存器保存规则：

3. 操作数与寻址方式

地址计算公式：

地址 = Imm + Rb + Ri * s
s 只能是 1、2、4、8

leaq 是重点：

示例：

leaq 7(%rdi,%rdi,4), %rax

等价于：

rax = 5 * rdi + 7;

4. 数据传送指令

易错点：写入 32 位寄存器会自动把对应 64 位寄存器高 32 位清零。
例如 movl $0, %eax 会让 %rax 变成 0。

5. 算术与逻辑操作

移位计数可以是立即数，也可以放在 %cl 中。

6. 条件码

常见设置方式：

有符号与无符号比较：

7. 控制流

7.1 条件跳转

flowchart TD
    A["cmp/test 设置条件码"] --> B{"条件成立？"}
    B -- 是 --> C["跳转到目标标签"]
    B -- 否 --> D["继续顺序执行"]

典型 if-else：

if (x < y)
    result = y - x;
else
    result = x - y;

可能翻译为：

cmpq %rsi, %rdi
jge  .L2
movq %rsi, %rax
subq %rdi, %rax
ret
.L2:
movq %rdi, %rax
subq %rsi, %rax
ret

7.2 条件传送

条件传送 (Conditional Move) 用 cmovXX 避免分支。

cmpq  %rsi, %rdi
cmovl %rdx, %rax

适合条件：

注意：-Og 偏向调试友好，常保留跳转；-O1/-O2 更容易生成 cmov。

7.3 循环

循环常被转成 goto 风格。

flowchart TD
    A["初始化"] --> B{"测试条件"}
    B -- 假 --> E["退出"]
    B -- 真 --> C["循环体"]
    C --> D["更新"]
    D --> B

do-while 最接近汇编结构，因为先执行循环体，再判断是否回跳。

7.4 switch

switch 可能使用跳转表 (Jump Table)：

flowchart LR
    A["索引 i"] --> B["边界检查"]
    B --> C["跳转表"]
    C --> D["case 0"]
    C --> E["case 1"]
    C --> F["case 2"]
    C --> G["default"]

适合跳转表的情况：

8. 过程调用

8.1 参数传递

前 6 个整数或指针参数：

第 7 个及之后的参数放到栈上。

返回值：

8.2 栈帧结构

flowchart TB
    A["高地址"] --> B["调用者栈帧"]
    B --> C["参数 7、8..."]
    C --> D["返回地址"]
    D --> E["保存的寄存器"]
    E --> F["局部变量"]
    F --> G["临时空间"]
    G --> H["低地址<br/>%rsp"]

调用流程：

重点：栈向低地址增长，push 会减小 %rsp，pop 会增大 %rsp。

8.3 递归

递归本质是多个栈帧共存：

flowchart TB
    A["fact(3) 栈帧"] --> B["fact(2) 栈帧"]
    B --> C["fact(1) 栈帧"]
    C --> D["逐层返回"]

每一层调用都有自己的局部变量、返回地址和保存寄存器。

9. 数组、指针与结构体

9.1 数组

C 数组访问：

A[i]

地址计算：

&A[i] = A + i * sizeof(A[0])

二维数组：

int A[R][C];

地址：

&A[i][j] = A + sizeof(int) * (i * C + j)

9.2 结构体

结构体字段通过固定偏移访问：

struct S {
    int x;
    long y;
};

可能布局：

对齐 (Alignment) 会插入填充字节，结构体大小通常是最大对齐要求的倍数。

9.3 union

联合体 (Union) 的所有字段共享同一段内存。

10. 浮点代码

现代 x86-64 通常使用 SSE/AVX 指令和 %xmm 寄存器处理 float、double，而不是使用通用寄存器。更早的 x87 浮点栈主要用于兼容旧代码和处理部分 long double 场景。

本节调用约定以 Linux 上的 System V AMD64 ABI 为准；Windows x64 的参数寄存器分配规则不同。

10.1 浮点寄存器与数据格式

XMM 寄存器宽 128 位，YMM 寄存器宽 256 位。标量指令只计算寄存器低位的一个元素，打包指令则并行计算多个元素。

例如，addss 是标量单精度加法，addsd 是标量双精度加法，addps 和 addpd 则执行向量化加法。

10.2 数据传送与算术指令

传统 SSE 指令通常采用两操作数形式，目的寄存器同时也是一个源操作数：

subsd %xmm1, %xmm0        # xmm0 = xmm0 - xmm1

AVX 指令通常在名称前增加 v，并使用三操作数形式：

vsubsd %xmm1, %xmm0, %xmm2   # xmm2 = xmm0 - xmm1

AT&T 语法仍然遵循“源在前、目的在后”。对于 vsubsd S1, S2, D，结果是 D = S2 - S1，别把两个源操作数看反。

x86 浮点算术指令通常不能直接使用浮点立即数，编译器会把常量放到只读数据区，再通过 RIP 相对寻址加载：

movsd .LC0(%rip), %xmm0

10.3 整数与浮点数转换

cvtt 中的第二个 t 表示 truncate，即向零截断，与 C 的浮点数转整数规则一致。整数源或目的的宽度还会由具体指令后缀或操作数宽度决定。

当浮点值为 NaN、无穷或超出目标整数范围时，不要根据某台机器的转换结果推断可移植的 C 行为；这类转换可能超出语言允许的表示范围。

10.4 浮点比较与 NaN

ucomiss 和 ucomisd 分别比较单精度、双精度浮点数，并设置整数条件码 ZF、PF 和 CF。在 AT&T 语法中，ucomisd S1, S2 比较的是 S2 与 S1。

浮点比较比整数比较多出“无序”状态，因此编译器必须正确处理 PF，或选择能自然排除无序情况的跳转组合：

• 与 NaN 做 <、<=、>、>=、== 比较均为假。
• 与 NaN 做 != 比较为真。
• 仅根据 ZF = 1 判断浮点相等会把 NaN 的无序状态误当成相等。

10.5 浮点调用约定

System V AMD64 使用两组相互独立的参数寄存器：整数和指针依次使用 %rdi 至 %r9，浮点参数依次使用 %xmm0 至 %xmm7。

混合参数分别占用各自类别的寄存器。例如：

double f(int i, double x, float y);

在 System V AMD64 下，i 位于 %edi，x 位于 %xmm0，y 位于 %xmm1，并不会因为 i 是第一个参数就让 x 改用 %xmm1。

10.6 从 C 代码还原浮点汇编

double scaled_delta(double x, double y, int scale)
{
    return (x - y) * (double)scale;
}

一种可能的 SSE 汇编是：

scaled_delta:
    subsd      %xmm1, %xmm0      # x - y
    pxor       %xmm1, %xmm1      # xmm1 清零
    cvtsi2sdl  %edi, %xmm1       # (double) scale
    mulsd      %xmm1, %xmm0      # (x - y) * scale
    ret                            # 结果位于 xmm0

读浮点汇编时按以下顺序检查：

1. 根据 ss、sd、ps、pd 判断数据类型和标量/向量形式。
2. 查看 %xmm0-%xmm7，确定浮点参数及返回值。
3. 遇到 cvt 指令时确认转换方向、整数宽度和舍入方式。
4. 遇到 ucomis 时同时考虑 NaN 对 PF 的影响。
5. 区分 SSE 两操作数和 AVX 三操作数形式，尤其注意减法、除法的源操作数顺序。

GDB 中可查看 XMM 寄存器的不同解释：

info registers xmm0 xmm1
p $xmm0.v2_double[0]
p $xmm1.v4_float[0]
info registers mxcsr

MXCSR 保存 SSE/AVX 浮点运算的舍入模式、异常标志和异常屏蔽位。

11. 内存越界与攻击

栈缓冲区溢出：

flowchart TB
    A["局部数组 buf"] --> B["保存的寄存器"]
    B --> C["返回地址"]
    C --> D["调用者栈帧"]
    E["写入超过 buf 边界"] --> B
    E --> C

风险：

常见防护：

12. 读汇编的推荐顺序

flowchart TD
    A["看函数名和参数寄存器"] --> B["找返回值 %rax / %xmm0"]
    B --> C["识别栈帧和局部变量"]
    C --> D["识别 cmp/test 与跳转"]
    D --> E["还原 if/loop/switch"]
    E --> F["识别数组和结构体偏移"]

速查步骤：

1. 先看函数入口：参数在哪些寄存器。
2. 再看 %rax 或 %xmm0：整数/指针与浮点返回值如何形成。
3. 遇到 cmp/test + jXX：还原条件判断。
4. 遇到 leaq：优先当作算术表达式或地址计算。
5. 遇到 call：检查调用前的通用参数寄存器和 XMM 参数寄存器。
6. 遇到 (%rdi,%rax,4)：联想到数组下标。
7. 遇到固定偏移如 8(%rdi)：联想到结构体字段。

13. GDB 调试机器级程序

GDB 适合把汇编、寄存器、栈和内存状态连起来看。

13.1 编译建议

自己写的小程序建议这样编译：

gcc -Og -g -fno-omit-frame-pointer -no-pie test.c -o test

启动：

gdb -q ./test

13.2 运行控制

看汇编时优先用 si / ni，看 C 源码时再用 s / n。

13.3 断点

Bomb Lab 常用：

break main
break phase_1
break explode_bomb
run

给 explode_bomb 下断点，可以在炸弹真正退出前停住，便于回看调用路径。

13.4 查看代码与反汇编

当前执行位置：

x/i $pc

$pc 在 x86-64 上通常对应 %rip。

13.5 查看寄存器

参数寄存器速查：

整数和指针返回值通常看 %rax，浮点返回值通常看 %xmm0。

13.6 查看内存

x 命令格式：

x/NFU 地址

含义：

常用命令：

示例：检查函数第一个字符串参数。

info registers rdi
x/s $rdi

13.7 查看栈与调用链

栈观察重点：

flowchart TB
    A["高地址"] --> B["调用者栈帧"]
    B --> C["返回地址"]
    C --> D["保存的 %rbp"]
    D --> E["局部变量/临时空间"]
    E --> F["低地址：%rsp"]

栈向低地址增长。call 会把返回地址压栈，ret 会从栈顶弹出返回地址。

13.8 条件码与分支调试

GDB 不直接把 ZF/SF/OF/CF 作为普通变量展示，但可以看 %eflags。

调试 cmp/test + jXX 的顺序：

1. 停在 cmp 或 test 前。
2. 查看参与比较的寄存器或内存。
3. 执行 si，让条件码被设置。
4. 查看 eflags。
5. 再执行 si，观察 jXX 是否改变 %rip。

13.9 Bomb Lab 基本流程

flowchart TD
    A["objdump/gdb 查看 phase 函数"] --> B["给 phase_i 下断点"]
    B --> C["run 输入文件"]
    C --> D["观察参数寄存器和字符串"]
    D --> E["单步执行分支"]
    E --> F["推出输入约束"]
    F --> G["写入答案文件"]

推荐启动方式：

gdb -q ./bomb

常用命令：

set disassembly-flavor att
break main
break explode_bomb
break phase_1
run answers.txt

查看当前 phase 的输入：

info registers rdi
x/s $rdi

查看比较字符串：

x/s 0x402400

具体地址要以当前反汇编结果为准。

13.10 常用自动显示

display 可以让 GDB 每次暂停时自动打印关心的信息。

适合写入 tools/gdb/csapp.gdb：

set disassembly-flavor att
set pagination off
display/i $pc

使用：

gdb -q -x tools/gdb/csapp.gdb ./bomb

14. 常见坑

15. 本章实验关联