Question

我正在努力了解这项测试究竟做了什么。这个玩具代码

int _tmain(int argc, _TCHAR* argv[])
{
    int i;
    printf("%d", i);
    return 0;
}

编译成：

int _tmain(int argc, _TCHAR* argv[])

{ 012C2DF0推ebp
012C2DF1 mov ebp，esp
012C2DF3 sub esp，0D8h
012C2DF9推ebx
012C2DFA推esi
012C2DFB推edi
012C2DFC lea edi，[ebp-0D8h]
012C2E02 mov ecx，36h
012C2E07 mov eax，0CCCCCCCCh
012C2E0C rep stos dword ptr es：[edi]
012C2E0E mov byte ptr [ebp-0D1h]，0

int i;
printf("%d", i);

012C2E15 cmp byte ptr [ebp-0D1h]，0
012C2E1C jne wmain + 3Bh（012C2E2Bh）
012C2E1E推12C2E5Ch
012C2E23调用__RTC_UninitUse（012C10B9h）
012C2E28添加esp，4
012C2E2B mov esi，esp
012C2E2D mov eax，dword ptr [i]
012C2E30推动式发动机
012C2E31按12C5858h
012C2E36呼叫dword ptr ds：[12C9114h]
012C2E3C添加esp，8
012C2E3F cmp esi，esp
012C2E41调用__RTC_CheckEsp（012C1140h）

return 0;

012C2E46 xor eax，eax
} 012C2E48 pop edi
012C2E49 pop esi
012C2E4A pop ebx
012C2E4B添加esp，0D8h
012C2E51 cmp ebp，esp
012C2E53调用__RTC_CheckEsp（012C1140h）
012C2E58 mov esp，ebp
012C2E5A pop ebp
012C2E5B ret

强调的5行是通过正确初始化变量i而删除的。行'push 12C2E5Ch，call __RTC_UninitUse'调用显示错误框的函数，指向包含变量名（“i”）作为参数的字符串。

我无法理解的是执行实际测试的3行：

012C2E0E mov byte ptr [ebp-0D1h]，0
012C2E15 cmp byte ptr [ebp-0D1h]，0
012C2E1C jne wmain + 3Bh（012C2E2Bh）

似乎编译器正在探测i的堆栈区域（将字节设置为零并立即测试它是否为零），只是为了确保它在构建期间无法看到的地方未初始化。但是，探测地址ebp-0D1h与i的实际地址没什么关系。

更糟糕的是，似乎有这样的外部（其他线程？）初始化初始化探测地址但为零，这个测试仍会对未初始化的变量大喊大叫。

发生了什么事？也许探针是针对完全不同的东西，比如测试某个字节是否可写？

Answer 1

[ebp-0D1h]是编译器用来跟踪＆＃34;初始化＆＃34;的临时变量。变量的状态。如果我们稍微修改一下源，那就更清楚了：

int _tmain(int argc, _TCHAR* argv[])
{
    int i, j;
    printf("%d %d", i, j);
    i = 1;
    printf("%d %d", i, j);
    j = 2;
    return 0;
}

产生以下内容（跳过不相关的部分）：

mov DWORD PTR [ebp-12], -858993460      ; ccccccccH
mov DWORD PTR [ebp-8], -858993460       ; ccccccccH
mov DWORD PTR [ebp-4], -858993460       ; ccccccccH
mov BYTE PTR $T4694[ebp], 0
mov BYTE PTR $T4693[ebp], 0

在prolog中，变量用0xCC填充，两个跟踪变量（一个用于i，一个用于j）设置为0。

; 7    :        printf("%d %d", i, j);    
    cmp BYTE PTR $T4693[ebp], 0
    jne SHORT $LN3@main
    push    OFFSET $LN4@main
    call    __RTC_UninitUse
    add esp, 4
$LN3@main:
    cmp BYTE PTR $T4694[ebp], 0
    jne SHORT $LN5@main
    push    OFFSET $LN6@main
    call    __RTC_UninitUse
    add esp, 4
$LN5@main:
    mov eax, DWORD PTR _j$[ebp]
    push    eax
    mov ecx, DWORD PTR _i$[ebp]
    push    ecx
    push    OFFSET $SG4678
    call    _printf
    add esp, 12                 ; 0000000cH

这大致相当于：

if ( $T4693 == 0 )
  _RTC_UninitUse("j");
if ( $T4694 == 0 )
  _RTC_UninitUse("j");
printf("%d %d", i, j);

下一部分：

; 8    :        i = 1;    
    mov BYTE PTR $T4694[ebp], 1
    mov DWORD PTR _i$[ebp], 1

因此，一旦i初始化，跟踪变量就会设置为1。

; 10   :        j = 2;
mov BYTE PTR $T4693[ebp], 1
mov DWORD PTR _j$[ebp], 2

此处，j也发生了同样的情况。

Answer 2

这是我的猜测：编译器可能在内存中分配标志，显示变量的初始化状态。在您的变量i的情况下，这是[ebp-0D1h]处的单个字节。该字节归零意味着i未初始化。我假设如果你初始化i，这个字节将被设置为非零。尝试像这样的运行时：if (argc > 1) i = 1;这应该生成代码而不是省略整个检查。您还可以添加另一个变量，看看是否有两个不同的标志。

在这种情况下，标志的归零和测试恰好是连续的，但情况可能并非总是如此。

Answer 3

C7060F000055    mov     dword ptr [esi],5500000Fh
C746048BEC5151  mov     dword ptr [esi+0004],5151EC8Bh

B.以及它的后代之一：

BF0F000055  mov     edi,5500000Fh
893E    mov     [esi],edi
5F  pop     edi
52  push    edx
B640    mov     dh,40
BA8BEC5151  mov     edx,5151EC8Bh
53  push    ebx
8BDA    mov     ebx,edx
895E04  mov     [esi+0004],ebx

c.又一代具有重新计算（“加密”）“恒定”数据的：

BB0F000055  mov     ebx,5500000Fh
891E    mov     [esi],ebx
5B  pop     ebx
51  push    ecx
B9CB00C05F  mov     ecx,5FC000CBh
81C1C0EB91F1    add     ecx,F191EBC0h ; ecx=5151EC8Bh

（VC ++）未初始化变量的运行时检查：测试是如何实现的？

3 个答案: