比較全面的總結了諸多版本號，知識無國界。感謝各位的辛勤勞作。
在計算機領域，堆棧是一個不容忽視的概念，我們編寫的C/C++語言程序基本上都要用到。但對於非常多的初學着來說，堆棧是一個非常模糊的概念。
（1） 數據結構的棧和堆
首先在數據結構上要知道堆棧，雖然我們這么稱呼它，但實際上堆棧是兩種數據結構：堆和棧。
堆和棧都是一種數據項按序排列的數據結構。
棧就像裝數據的桶或箱子
我們先從大家比較熟悉的棧說起吧。它是一種具有后進先出性質的數據結構，也就是說后存放的先取。先存放的后取。這就如同我們要取出放在箱子里面底下的東西（放入的比較早的物體），我們首先要移開壓在它上面的物體（放入的比較晚的物體）。
堆像一棵倒過來的樹
而堆就不同了。堆是一種經過排序的樹形數據結構。每一個結點都有一個值。
通常我們所說的堆的數據結構，是指二叉堆。堆的特點是根結點的值最小（或最大）。且根結點的兩個子樹也是一個堆。因為堆的這個特性，經常使用來實現優先隊列，堆的存取是隨意。這就如同我們在圖書館的書架上取書，盡管書的擺放是有順序的。可是我們想取隨意一本時不必像棧一樣，先取出前面全部的書。書架這樣的機制不同於箱子，我們能夠直接取出我們想要的書。
（2） 內存分配中的棧和堆
內存中的棧區處於相對較高的地址以地址的增長方向為上的話，棧地址是向下增長的。棧中分配局部變量空間。堆區是向上增長的用於分配程序猿申請的內存空間。另外還有靜態
區是分配靜態變量，全局變量空間的；僅僅讀區是分配常量和程序代碼空間的；以及其它一些分區。
一、預備知識—程序的內存分配
一個由c/C++編譯的程序占用的內存分為下面幾個部分
1、棧區（stack）— 由編譯器自己主動分配釋放 。存放函數的參數值，局部變量的值等。其操作方式類似於數據結構中的棧。
2、堆區（heap） — 一般由程序猿分配釋放。 若程序猿不釋放，程序結束時可能由OS回收 。注意它與數據結構中的堆是兩回事，分配方式倒是類似於鏈表，呵呵。
3、全局區（靜態區）（static）—。全局變量和靜態變量的存儲是放在一塊的，初始化的全局變量和靜態變量在一塊區域， 未初始化的全局變量和未初始化的靜態變量在相鄰的還有一塊區域。 - 程序結束后有系統釋放
4、文字常量區—常量字符串就是放在這里的。 程序結束后由系統釋放
5、程序代碼區—存放函數體的二進制代碼。
二、樣例程序
這是一個前輩寫的，很具體
//main.cpp
int a = 0; 全局初始化區
char *p1; 全局未初始化區
main()
{
int b; 棧
char s[] = "abc"; 棧
char *p2; 棧
char *p3 = "123456"; 123456\0在常量區，p3在棧上。
static int c =0； 全局（靜態）初始化區
p1 = (char *)malloc(10);
p2 = (char *)malloc(20);
分配得來得10和20字節的區域就在堆區。
strcpy(p1, "123456"); 123456\0放在常量區。編譯器可能會將它與p3所指向的"123456"優化成一個地方。
}
二、堆和棧的理論知識
2.1申請方式
stack:
由系統自己主動分配。
比如。聲明在函數中一個局部變量 int b; 系統自己主動在棧中為b開辟空間
heap:
須要程序猿自己申請。並指明大小，在c中malloc函數
如p1 = (char *)malloc(10);
在C++中用new運算符
如p2 = (char *)malloc(10);
可是注意p1、p2本身是在棧中的。
2.2
申請后系統的響應
棧：僅僅要棧的剩余空間大於所申請空間，系統將為程序提供內存，否則將報異常提示棧溢出。
堆：首先應該知道操作系統有一個記錄空暇內存地址的鏈表，當系統收到程序的申請時，
會遍歷該鏈表，尋找第一個空間大於所申請空間的堆結點，然后將該結點從空暇結點鏈表中刪除，並將該結點的空間分配給程序，另外，對於大多數系統，會在這塊內存空間中的首地址處記錄本次分配的大小，這樣。代碼中的delete語句才干正確的釋放本內存空間。
另外。因為找到的堆結點的大小不一定正好等於申請的大小。系統會自己主動的將多余的那部分又一次放入空暇鏈表中。
2.3申請大小的限制
棧：在Windows下,棧是向低地址擴展的數據結構。是一塊連續的內存的區域。這句話的意思是棧頂的地址和棧的最大容量是系統預先規定好的，在WINDOWS下。棧的大小是2M（也有的說是1M，總之是一個編譯時就確定的常數），假設申請的空間超過棧的剩余空間時，將提示overflow。因此，能從棧獲得的空間較小。
堆：堆是向高地址擴展的數據結構，是不連續的內存區域。這是因為系統是用鏈表來存儲的空暇內存地址的，自然是不連續的，而鏈表的遍歷方向是由低地址向高地址。
堆的大小受限於計算機系統中有效的虛擬內存。由此可見，堆獲得的空間比較靈活。也比較大。
2.4申請效率的比較：
棧由系統自己主動分配，速度較快。但程序猿是無法控制的。
堆是由new分配的內存，一般速度比較慢。並且easy產生內存碎片,只是用起來最方便.
另外。在WINDOWS下，最好的方式是用VirtualAlloc分配內存，他不是在堆。也不是在棧是直接在進程的地址空間中保留一快內存。盡管用起來最不方便。可是速度快，也最靈活。
2.5堆和棧中的存儲內容
棧： 在函數調用時，第一個進棧的是主函數中后的下一條指令（函數調用語句的下一條可運行語句）的地址，然后是函數的各個參數。在大多數的C編譯器中。參數是由右往左入棧的，然后是函數中的局部變量。注意靜態變量是不入棧的。
當本次函數調用結束后，局部變量先出棧。然后是參數。最后棧頂指針指向最開始存的地址。也就是主函數中的下一條指令，程序由該點繼續執行。
堆：通常是在堆的頭部用一個字節存放堆的大小。
堆中的詳細內容有程序猿安排。
2.6存取效率的比較
char s1[] = "aaaaaaaaaaaaaaa";
char *s2 = "bbbbbbbbbbbbbbbbb";
aaaaaaaaaaa是在執行時刻賦值的；
而bbbbbbbbbbb是在編譯時就確定的。
可是，在以后的存取中。在棧上的數組比指針所指向的字符串(比如堆)快。
比方：
#include
void main()
{
char a = 1;
char c[] = "1234567890";
char *p ="1234567890";
a = c[1];
a = p[1];
return;
}
相應的匯編代碼
10: a = c[1];
00401067 8A 4D F1 mov cl,byte ptr [ebp-0Fh]
0040106A 88 4D FC mov byte ptr [ebp-4],cl
11: a = p[1];
0040106D 8B 55 EC mov edx,dword ptr [ebp-14h]
00401070 8A 42 01 mov al,byte ptr [edx+1]
00401073 88 45 FC mov byte ptr [ebp-4],al
第一種在讀取時直接就把字符串中的元素讀到寄存器cl中，而另外一種則要先把指針值讀到edx中。在依據edx讀取字符，顯然慢了。
2.7小結：
堆和棧的差別能夠用例如以下的比喻來看出：
使用棧就象我們去飯館里吃飯。僅僅管點菜（發出申請）、付錢、和吃（使用），吃飽了就走，不必理會切菜、洗菜等准備工作和洗碗、刷鍋等掃尾工作，他的優點是快捷，可是自由度小。
使用堆就象是自己動手做喜歡吃的菜餚。比較麻煩。可是比較符合自己的口味，並且自由度大。
windows進程中的內存結構
在閱讀本文之前，假設你連堆棧是什么多不知道的話，請先閱讀文章后面的基礎知識。
接觸過編程的人都知道。高級語言都能通過變量名來訪問內存中的數據。那么這些變量在內存中是怎樣存放的呢？程序又是怎樣使用這些變量的呢？以下就會對此進行深入的討論。
下文中的C語言代碼如沒有特別聲明，默認都使用VC編譯的release版。
首先，來了解一下 C 語言的變量是怎樣在內存分部的。
C 語言有全局變量(Global)、本地變量(Local)，靜態變量(Static)、寄存器變量(Regeister)。每種變量都有不同的分配方式。先來看以下這段代碼：
#include <stdio.h>
int g1=0, g2=0, g3=0;
int main()
{
static int s1=0, s2=0, s3=0;
int v1=0, v2=0, v3=0;
//打印出各個變量的內存地址
printf("0x%08x\n",&v1); //打印各本地變量的內存地址
printf("0x%08x\n",&v2);
printf("0x%08x\n\n",&v3);
printf("0x%08x\n",&g1); //打印各全局變量的內存地址
printf("0x%08x\n",&g2);
printf("0x%08x\n\n",&g3);
printf("0x%08x\n",&s1); //打印各靜態變量的內存地址
printf("0x%08x\n",&s2);
printf("0x%08x\n\n",&s3);
return 0;
}
編譯后的運行結果是：
0x0012ff78
0x0012ff7c
0x0012ff80
0x004068d0
0x004068d4
0x004068d8
0x004068dc
0x004068e0
0x004068e4
輸出的結果就是變量的內存地址。
當中v1,v2,v3是本地變量。g1,g2,g3是全局變量。s1,s2,s3是靜態變量。
你能夠看到這些變量在內存是連續分布的。可是本地變量和全局變量分配的內存地址差了十萬八千里。而全局變量和靜態變量分配的內存是連續的。
這是由於本地變量和全局/靜態變量是分配在不同類型的內存區域中的結果。對於一個進程的內存空間而言，能夠在邏輯上分成3個部份：代碼區，靜態數據區和動態數據區。動態數據區一般就是“堆棧”。“棧(stack)”和“堆(heap)”是兩種不同的動態數據區。棧是一種線性結構，堆是一種鏈式結構。進程的每一個線程都有私有的“棧”，所以每一個線程盡管代碼一樣，但本地變量的數據都是互不干擾。
一個堆棧能夠通過“基地址”和“棧頂”地址來描寫敘述。全局變量和靜態變量分配在靜態數據區，本地變量分配在動態數據區，即堆棧中。程序通過堆棧的基地址和偏移量來訪問本地變量。
├———————┤低端內存區域
│ …… │
├———————┤
│ 動態數據區 │
├———————┤
│ …… │
├———————┤
│ 代碼區 │
├———————┤
│ 靜態數據區 │
├———————┤
│ …… │
├———————┤高端內存區域
堆棧是一個先進后出的數據結構，棧頂地址總是小於等於棧的基地址。
我們能夠先了解一下函數調用的過程，以便對堆棧在程序中的作用有更深入的了解。不同的語言有不同的函數調用規定，這些因素有參數的壓入規則和堆棧的平衡。
windows API的調用規則和ANSI C的函數調用規則是不一樣的，前者由被調函數調整堆棧，后者由調用者調整堆棧。
兩者通過“__stdcall”和“__cdecl”前綴區分。先看以下這段代碼：
#include <stdio.h>
void __stdcall func(int param1,int param2,int param3)
{
int var1=param1;
int var2=param2;
int var3=param3;
printf("0x%08x\n",¶m1); //打印出各個變量的內存地址
printf("0x%08x\n",¶m2);
printf("0x%08x\n\n",¶m3);
printf("0x%08x\n",&var1);
printf("0x%08x\n",&var2);
printf("0x%08x\n\n",&var3);
return;
}
int main()
{
func(1,2,3);
return 0;
}
編譯后的運行結果是：
0x0012ff78
0x0012ff7c
0x0012ff80
0x0012ff68
0x0012ff6c
0x0012ff70
├———————┤<—函數運行時的棧頂（ESP）、低端內存區域
│ …… │
├———————┤
│ var 1 │
├———————┤
│ var 2 │
├———————┤
│ var 3 │
├———————┤
│ RET │
├———————┤<—“__cdecl”函數返回后的棧頂（ESP）
│ parameter 1 │
├———————┤
│ parameter 2 │
├———————┤
│ parameter 3 │
├———————┤<—“__stdcall”函數返回后的棧頂（ESP）
│ …… │
├———————┤<—棧底（基地址 EBP）、高端內存區域
上圖就是函數調用過程中堆棧的樣子了。首先，三個參數以從又到左的次序壓入堆棧。先壓“param3”，再壓“param2”，最后壓入“param1”；然后壓入函數的返回地址(RET)。接着跳轉到函數地址接着運行（這里要補充一點，介紹UNIX下的緩沖溢出原理的文章中都提到在壓入RET后，繼續壓入當前EBP，然后用當前ESP取代EBP。
然而。有一篇介紹windows下函數調用的文章中說，在windows下的函數調用也有這一步驟，但依據我的實際調試，並未發現這一步。這還能夠從param3和var1之間僅僅有4字節的間隙這點看出來）；第三步，將棧頂(ESP)減去一個數。為本地變量分配內存空間，上例中是減去12字節(ESP=ESP-3*4，每一個int變量占用4個字節)；接着就初始化本地變量的內存空間。因為“__stdcall”調用由被調函數調整堆棧，所以在函數返回前要恢復堆棧。先回收本地變量占用的內存(ESP=ESP+3*4)，然后取出返回地址。填入EIP寄存器。回收先前壓入參數占用的內存(ESP=ESP+3*4)，繼續運行調用者的代碼。參見下列匯編代碼：
;--------------func 函數的匯編代碼-------------------
:00401000 83EC0C sub esp, 0000000C //創建本地變量的內存空間
:00401003 8B442410 mov eax, dword ptr [esp+10]
:00401007 8B4C2414 mov ecx, dword ptr [esp+14]
:0040100B 8B542418 mov edx, dword ptr [esp+18]
:0040100F 89442400 mov dword ptr [esp], eax
:00401013 8D442410 lea eax, dword ptr [esp+10]
:00401017 894C2404 mov dword ptr [esp+04], ecx
……………………（省略若干代碼）
:00401075 83C43C add esp, 0000003C ;恢復堆棧，回收本地變量的內存空間
:00401078 C3 ret 000C ;函數返回，恢復參數占用的內存空間
;假設是“__cdecl”的話，這里是“ret”，堆棧將由調用者恢復
;-------------------函數結束-------------------------
;--------------主程序調用func函數的代碼--------------
:00401080 6A03 push 00000003 //壓入參數param3
:00401082 6A02 push 00000002 //壓入參數param2
:00401084 6A01 push 00000001 //壓入參數param1
:00401086 E875FFFFFF call 00401000 //調用func函數
;假設是“__cdecl”的話，將在這里恢復堆棧。“add esp, 0000000C”
聰明的讀者看到這里，差點兒相同就明確緩沖溢出的原理了。先來看以下的代碼：
#include <stdio.h>
#include <string.h>
void __stdcall func()
{
char lpBuff[8]="\0";
strcat(lpBuff,"AAAAAAAAAAA");
return;
}
int main()
{
func();
return 0;
}
編譯后運行一下回怎么樣？哈，“"0x00414141"指令引用的"0x00000000"內存。該內存不能為"read"。”，“非法操作”嘍！"41"就是"A"的16進制的ASCII碼了，那明顯就是strcat這句出的問題了。"lpBuff"的大小僅僅有8字節，算進結尾的\0，那strcat最多僅僅能寫入7個"A"。但程序實際寫入了11個"A"外加1個\0。再來看看上面那幅圖，多出來的4個字節正好覆蓋了RET的所在的內存空間，導致函數返回到一個錯誤的內存地址，運行了錯誤的指令。假設能精心構造這個字符串。使它分成三部分，前一部份僅僅是填充的無意義數據以達到溢出的目的，接着是一個覆蓋RET的數據。緊接着是一段shellcode，那僅僅要着個RET地址能指向這段shellcode的第一個指令，那函數返回時就能運行shellcode了。
可是軟件的不同版本號和不同的運行環境都可能影響這段shellcode在內存中的位置，那么要構造這個RET是十分困難的。一般都在RET和shellcode之間填充大量的NOP指令，使得exploit有更強的通用性。
├———————┤<—低端內存區域
│ …… │
├———————┤<—由exploit填入數據的開始
│ │
│ buffer │<—填入沒用的數據
│ │
├———————┤
│ RET │<—指向shellcode。或NOP指令的范圍
├———————┤
│ NOP │
│ …… │<—填入的NOP指令，是RET可指向的范圍
│ NOP │
├———————┤
│ │
│ shellcode │
│ │
├———————┤<—由exploit填入數據的結束
│ …… │
├———————┤<—高端內存區域
windows下的動態數據除了可存放在棧中，還能夠存放在堆中。了解C++的朋友都知道，C++能夠使用newkeyword來動態分配內存。來看以下的C++代碼：
#include <stdio.h>
#include <iostream.h>
#include <windows.h>
void func()
{
char *buffer=new char[128];
char bufflocal[128];
static char buffstatic[128];
printf("0x%08x\n",buffer); //打印堆中變量的內存地址
printf("0x%08x\n",bufflocal); //打印本地變量的內存地址
printf("0x%08x\n",buffstatic); //打印靜態變量的內存地址
}
void main()
{
func();
return;
}
程序運行結果為：
0x004107d0
0x0012ff04
0x004068c0
能夠發現用newkeyword分配的內存即不在棧中，也不在靜態數據區。
VC編譯器是通過windows下的“堆(heap)”來實現newkeyword的內存動態分配。在講“堆”之前。先來了解一下和“堆”有關的幾個API函數：
HeapAlloc 在堆中申請內存空間
HeapCreate 創建一個新的堆對象
HeapDestroy 銷毀一個堆對象
HeapFree 釋放申請的內存
HeapWalk 枚舉堆對象的全部內存塊
GetProcessHeap 取得進程的默認堆對象
GetProcessHeaps 取得進程全部的堆對象
LocalAlloc
GlobalAlloc
當進程初始化時，系統會自己主動為進程創建一個默認堆。這個堆默認所占內存的大小為1M。
堆對象由系統進行管理。它在內存中以鏈式結構存在。通過以下的代碼能夠通過堆動態申請內存空間：
HANDLE hHeap=GetProcessHeap();
char *buff=HeapAlloc(hHeap,0,8);
當中hHeap是堆對象的句柄。buff是指向申請的內存空間的地址。
那這個hHeap到底是什么呢？它的值有什么意義嗎？看看以下這段代碼吧：
#pragma comment(linker,"/entry:main") //定義程序的入口
#include <windows.h>
_CRTIMP int (__cdecl *printf)(const char *, ...); //定義STL函數printf
/*---------------------------------------------------------------------------
寫到這里，我們順便來復習一下前面所講的知識：
(*注)printf函數是C語言的標准函數庫中函數，VC的標准函數庫由msvcrt.dll模塊實現。
由函數定義可見。printf的參數個數是可變的，函數內部無法預先知道調用者壓入的參數個數，函數僅僅能通過分析第一個參數字符串的格式來獲得壓入參數的信息，因為這里參數的個數是動態的。所以必須由調用者來平衡堆棧，這里便使用了__cdecl調用規則。BTW，Windows系統的API函數基本上是__stdcall調用形式，僅僅有一個API例外，那就是wsprintf，它使用__cdecl調用規則。同printf函數一樣，這是因為它的參數個數是可變的緣故。
---------------------------------------------------------------------------*/
void main()
{
HANDLE hHeap=GetProcessHeap();
char *buff=HeapAlloc(hHeap,0,0x10);
char *buff2=HeapAlloc(hHeap,0,0x10);
HMODULE hMsvcrt=LoadLibrary("msvcrt.dll");
printf=(void *)GetProcAddress(hMsvcrt,"printf");
printf("0x%08x\n",hHeap);
printf("0x%08x\n",buff);
printf("0x%08x\n\n",buff2);
}
運行結果為：
0x00130000
0x00133100
0x00133118
hHeap的值怎么和那個buff的值那么接近呢？事實上hHeap這個句柄就是指向HEAP首部的地址。
在進程的用戶區存着一個叫PEB(進程環境塊)的結構，這個結構中存放着一些有關進程的重要信息，當中在PEB首地址偏移0x18處存放的ProcessHeap就是進程默認堆的地址。而偏移0x90處存放了指向進程全部堆的地址列表的指針。windows有非常多API都使用進程的默認堆來存放動態數據，如windows 2000下的全部ANSI版本號的函數都是在默認堆中申請內存來轉換ANSI字符串到Unicode字符串的。
對一個堆的訪問是順序進行的，同一時刻僅僅能有一個線程訪問堆中的數據。當多個線程同一時候有訪問要求時，僅僅能排隊等待，這樣便造成程序運行效率下降。
最后來說說內存中的數據對齊。所位數據對齊。是指數據所在的內存地址必須是該數據長度的整數倍。DWORD數據的內存起始地址能被4除盡。WORD數據的內存起始地址能被2除盡，x86 CPU能直接訪問對齊的數據，當他試圖訪問一個未對齊的數據時，會在內部進行一系列的調整。這些調整對於程序來說是透明的。可是會減少執行速度，所以編譯器在編譯程序時會盡量保證數據對齊。相同一段代碼。我們來看看用VC、Dev-C++和lcc三個不同編譯器編譯出來的程序的執行結果：
#include <stdio.h>
int main()
{
int a;
char b;
int c;
printf("0x%08x\n",&a);
printf("0x%08x\n",&b);
printf("0x%08x\n",&c);
return 0;
}
這是用VC編譯后的運行結果：
0x0012ff7c
0x0012ff7b
0x0012ff80
變量在內存中的順序：b(1字節)-a(4字節)-c(4字節)。
這是用Dev-C++編譯后的運行結果：
0x0022ff7c
0x0022ff7b
0x0022ff74
變量在內存中的順序：c(4字節)-中間相隔3字節-b(占1字節)-a(4字節)。
這是用lcc編譯后的運行結果：
0x0012ff6c
0x0012ff6b
0x0012ff64
變量在內存中的順序：同上。
三個編譯器都做到了數據對齊，可是后兩個編譯器顯然沒VC“聰明”，讓一個char占了4字節，浪費內存哦。
基礎知識：
堆棧是一種簡單的數據結構，是一種僅僅同意在其一端進行插入或刪除的線性表。
同意插入或刪除操作的一端稱為棧頂，還有一端稱為棧底，對堆棧的插入和刪除操作被稱為入棧和出棧。有一組CPU指令能夠實現對進程的內存實現堆棧訪問。當中，POP指令實現出棧操作，PUSH指令實現入棧操作。CPU的ESP寄存器存放當前線程的棧頂指針。EBP寄存器中保存當前線程的棧底指針。CPU的EIP寄存器存放下一個CPU指令存放的內存地址，當CPU運行完當前的指令后，從EIP寄存器中讀取下一條指令的內存地址，然后繼續運行。