大家好，我是小風哥。

我們都知道操作系統最重要的功能之一是多任務能力，也就是可以運行超過CPU數量的程序——即進程，要想實現這一功能就必須具備將有限的CPU資源在多個進程之間分配的能力，在程序員看來，我們的程序在一直運行，而在CPU看來程序其實在“走走停停”，程序的一走一停就涉及到進程切換，那么進程切換的本質是什么呢?從本質上講，函數調用和進程切換是非常類似的，有的同學可能會有疑問，這怎么可能呢?別著急，看完這篇你就明白啦。

函數調用

我們先來看一下函數調用，函數調用是這樣的，A函數調用B函數，當B函數執行完成時會跳轉回A函數(此時A函數和B函數位于同一個進程)：

void B() {
    ...
}
void A() {
    ...
}

這個過程是這樣的：

B函數執行完成后會將控制權轉給A，所謂控制權是指告訴CPU繼續執行函數A。

but，你有沒有想過，A函數調用B函數，B函數執行完成時一定要跳轉回A函數嗎?不一定的，既然B函數可以將控制權轉給A那么就能將控制權轉給函數C。

聽上去很神奇有沒有，A函數調用B函數，當B函數執行完成時竟然可以跳轉到C函數，可這該怎樣做到呢?讓我們來看一段神奇的代碼。

一段神奇的代碼

有這樣一段代碼：

#include <stdio.h>
#include <stdlib.h>

void funcC() {
    printf("jump to funcC !!!\n") ;
    exit(-1) ;
}

void funcB() {
    long *p = NULL ;
    p = (long*)&p ;
    *(p+2) = (long)funcC ;
}

void funcA() {
  funcB();
}

int main() {
    funcA() ;
    return 0 ;
}

想一想這段代碼運行后會輸出什么?

有的同學可能會說main函數調用了funcA，funcA函數調用了funcB，funcB函數看上就是一堆賦值，執行完成后返回了funcA，funcA又返回main函數，因此執行完畢后什么都不會輸出。

真的是這樣的嗎?讓我們編譯運行一下(小風哥使用的是5.2.0版gcc，64位機器，未開啟編譯優化，不同編譯器版本運行效果可能不同)。

$ ./a.out
jump to funcC !!!

有的同學也許會大吃一驚，這怎么可能!!!

這段明明沒有調用funcC，可為什么funcC函數卻運行了?

程序員經常說“代碼之中沒有秘密”，這句話不全對，應該是“機器指令中沒有秘密”，后來我想了想，這句話也不全對，因為對我們來說CPU是如何執行機器指令這回事其實對我們來說是黑盒的，我們只能從大體的原理來說CPU是怎樣執行一條機器指令的，但這里真正的細節只有處理器生產商比如intel/AMD等知道，而一些魔鬼恰恰就在這些細節中。

魔鬼在細節

扯遠了，讓我們回到這篇文章的主題，先來看看生成的機器指令是什么樣的：

0000000000400586 <funcC>:
  400586:       55                      push   %rbp
  400587:       48 89 e5                mov    %rsp,%rbp
  40058a:       bf 74 06 40 00          mov    $0x400674,%edi
  40058f:       e8 bc fe ff ff          callq  400450 <puts@plt>
  400594:       bf ff ff ff ff          mov    $0xffffffff,%edi
  400599:       e8 e2 fe ff ff          callq  400480 <exit@plt>

000000000040059e <funcB>:
  40059e:       55                      push   %rbp
  40059f:       48 89 e5                mov    %rsp,%rbp
  4005a2:       48 c7 45 f8 00 00 00    movq   $0x0,-0x8(%rbp)
  4005a9:       00 
  4005aa:       48 8d 45 f8             lea    -0x8(%rbp),%rax
  4005ae:       48 89 45 f8             mov    %rax,-0x8(%rbp)
  4005b2:       48 8b 45 f8             mov    -0x8(%rbp),%rax
  4005b6:       48 83 c0 10             add    $0x10,%rax
  4005ba:       ba 86 05 40 00          mov    $0x400586,%edx
  4005bf:       48 89 10                mov    %rdx,(%rax)
  4005c2:       90                      nop
  4005c3:       5d                      pop    %rbp
  4005c4:       c3                      retq

這些指令在說什么呢?我們先來看普通的函數調用：

當函數B執行完畢后此時的棧幀為：

函數B的最后一條機器指令通常為：ret，這條指令的目的是將當前棧頂的內容彈出到%rip寄存器中，CPU會根據rip中的值從內存中取出指令并執行，顯然ret指令會將之前保存的返回地址放入rip寄存器中，這樣CPU就可以繼續執行A函數中的后續代碼了，也就是++a這行代碼。

有的同學可能已經看出來，如果我們有辦法修改A棧幀上的返回地址不就能實現“指哪打哪”了嗎?

實際上代碼中“*(p+2) = (long)funcC ;”這行會將本來指向funcB的返回地址修改為指向funcC，即：

這樣當funcB函數運行完成后會直接跳轉到funcC函數，從而實現可控的執行流切換，進程切換的本質與此別無二致，只不過進程切換需要連帶著把棧也切換過去(以及地址空間)，同時還會保存被切換進程的上下文。

有的同學可能已經看出來了，上述過程叫做緩沖區溢出攻擊，要實現的目的和進程切換一樣：實現控制權的轉移，只不過緩沖區溢出攻擊是非法的，不符合預期的(符合黑客的預期，但不符合操作系統設計者制定的游戲規則)，而進程切換是合法的，符合預期的(符合操作系統設計者的預期)。而有時，(真正意義上的)黑客與操作系統設計者其實是一伙人。