C - 仅使用 ntdll 的堆栈分配

Question

是否存在仅使用ntdll.dll 的 API 调用或任何其他类似方式在堆栈上分配内存？

我知道alloca() 会这样做，但我不能使用它，因为我只能使用来自ntdll.dll 的函数。

谢谢！

Answer 1

alloca 是部分内在函数，由编译器实现。但在内部它调用_alloca_probe_16（对于x86）或__chkstk（x64）在堆栈上向下移动保护页。这个函数的实现存在于alloca16.obj 和chkstk.obj 中，可以在VC 子文件夹中找到（这里完全依赖于VC 版本）——你可以为链接过程添加这个obj，甚至首先将它转换为lib。也在最新的 WDK 库中 - 存在 ntdllp.lib（不要与 ntdll.lib 混淆） - 它还包含所有实现需要（ntdll.dll export _chkstk（对于 x86）和 __chkstk（对于 x64））

---

再次详细说明：

当你在 src 代码中编写时

alloca(cb) CL x86 编译器生成

mov eax,cb
call _alloca_probe_16 ; do actual stack allocation and probe

在 x64 版本中

mov         ecx,eax 
add         rcx,0Fh 
cmp         rcx,rax 
ja          @@0
mov         rcx,0FFFFFFFFFFFFFF0h 
@@0:
and         rcx,0FFFFFFFFFFFFFFF0h 
mov         rax,rcx 
call        __chkstk ; probe only
sub         rsp,rax ; actual stack allocation

所以_alloca_probe_16 和/或__chkstk 必须在某处实现，否则您会遇到链接错误 - 未解析的外部符号。

在最新的 WDK 版本中存在包含此实现的 ntdllp.lib（注意 p - 不是 ntdll.lib）。在这种情况下，您的 PE 将从 ntdll.dll 导入 __chkstk 或 _alloca_probe（此函数从 XP 导出的最小值 - 这两个函数都指向相同的代码，只是别名）

另一种解决方案 - 在 VC 文件夹中可以找到 alloca16.obj 和 chkstk.obj - 您可以将此 obj 用作链接输入（或将 alloca16.obj + chkstk.obj 合并到单个 lib 文件中）。在这种情况下，您的 PE 将毫无意义。

Answer 2

您不需要依赖于架构的东西，因为堆栈上的分配（通常）是独立于架构的。

如果您使用的是 C99，您有一个标准的方法，使用可变长度数组：https://gcc.gnu.org/onlinedocs/gcc/Variable-Length.html

你可以很简单地写这样的东西：

char mybuffer[my_size];

而且会在栈上分配。

Answer 3

因为alloca 操纵堆栈指针，所以它不是一个“真正的”函数，而是一个“编译器内在函数”。如果您将使用alloca 的函数编译为汇编语言，您应该看到它被直接翻译为sub esp, NNN 而不是call alloca。 （除了sub esp, NNN 之外，可能还会调用一个函数。在这种情况下，您需要找出该函数的作用，它通常在哪里定义，并安排您的应用程序提供替代品。你已经跳过了各种不寻常的圈子，只使用 NTDLL，这只是另外一个。）

如果您看到看到call alloca 而没有看到sub esp, NNN，这很可能意味着您的编译器只有一个虚假的alloca 实现不是 给你从堆栈分配的内存，你根本不应该使用它。