最近重新翻计算机系统相关的基础书正好读到第三章《程序的机器级表示》里的3.2节“程序编码”。这一节手把手把一段C代码从高级语言一路剥到机器真正执行的字节序列属于那种“看着短、后劲大”的内容。我在这停了很久不是因为看不懂而是发现很多日常写代码养成的直觉在这个层面根本不适用。这篇笔记就按我自己推演过的顺序把机器级代码这条线完整走一遍顺便把踩过的坑和验证方法也记下来方便以后复习也给打算啃这块内容的人做个参考。1. 从C函数到机器字节一次编译链接的完整旅程1.1 同一段C代码的三种形态先从一个最简单的函数开始long add2(long a, long b) { return a b; }这行代码在源码里看起来就是“把a和b加起来返回”但机器根本不懂什么叫“函数”、什么叫“参数”。要让它跑起来这段代码会经历三种完全不同的形态形态文件后缀内容本质能否直接执行高级语言源码.c带类型、作用域、控制结构的文本不能汇编代码.s机器指令的助记符文本表示不能目标代码/可执行文件.o / 无后缀二进制字节序列可以真正被CPU解释执行的只有最后那种二进制形态。汇编代码虽然也是文本但它的助记符和机器指令是一一对应的只是给人看的时候更方便。机器级代码这个词通常会同时指代“汇编代码”和“它对应的机器字节”。理解这一点后面所有内容才有落点。1.2 gcc -S、-c、-o三条命令各管一段我用GCC把上面那个函数分别编译一下能非常直观看到这条链路# 生成汇编代码.s文件编译阶段到此为止 gcc -S add.c # 生成目标文件.o文件完成汇编但未链接 gcc -c add.c # 生成可执行文件完成链接 gcc -O1 -o add add.cgcc -S得到的是汇编代码比如add2这个函数会被翻译成add2: leaq (%rdi,%rsi), %rax ret注意这里没有add指令而是用了leaq加载有效地址把两个寄存器里的值加起来放到%rax然后ret返回。这算是编译器在O1优化级别下的一个常用技巧。gcc -c得到的是目标文件此时函数地址还是0需要等链接器重新定位。gcc -o则把它和启动代码、库文件拼成一个完整的可执行文件。我在学习时最大的感受是不要跳过汇编代码直接盯着二进制的十六进制看。汇编本身就是“机器码的可读形式”先读汇编再偶尔反汇编对照字节效率会高很多。1.3 为什么高级语言不能被CPU直接执行这个问题我过去没认真想过直到在3.2这一节里被点醒。原因其实有三层高级语言有“类型”和“作用域”C语言里long和long long的区别到机器层面只是字节宽度和指令后缀的不同类型检查是编译器负责的CPU不关心。高级语言有“变量名”而机器只有寄存器编号和内存地址。变量名在编译阶段就被分配到了栈、寄存器或内存位置CPU完全不知道a是什么。高级语言有“抽象控制流”比如for、while、if机器层面只有cmp、jmp、jne这类跳转指令。任何循环在机器码里都是一堆跳转和条件判断的组合。所以编译器本质上是一个“翻译优化”的管道把高层的语义降维成底层指令再顺手做一些人类不愿意手工做的优化。这个过程不是简单的逐行对应C语言里的一个语句可能对应零条、一条或好几条机器指令。2. 机器级代码赖以生存的两大支柱指令集架构与虚拟内存2.1 指令集架构ISA程序员和硬件签订的合同机器级代码不是随便一堆字节它必须符合某一套约定这套约定就是指令集架构。它规定了有哪些指令每条指令的操作码和格式有哪些寄存器寄存器是几位的如何访问内存支持哪些寻址方式指令执行后如何影响程序计数器PC和条件码我读到的教材里特意强调了一个区分ISA属于“程序员可见”的抽象层而微架构是“具体硬件怎么实现”的内部细节。同一个x86-64处理器上Intel和AMD各自的微架构完全不同但只要遵循同一套ISA用户程序就能跑。这就像一个标准接口底层实现随便换接口不变上层代码就不用重写。x86-64指令集一个典型特点是指令长度可变。短的只有1个字节比如ret的机器码就是c3长的可以到十几个字节比如带立即数和内存寻址的复杂指令。可变长度让x86-64的指令密度不错但解码逻辑比ARM这种定长指令集复杂得多。这个点后面在反汇编里还会碰到。2.2 虚拟地址机器级代码眼中的“整齐内存”汇编代码里出现的地址比如movq 8(%rbx), %rax中的8(%rbx)两个数字代表的是内存位置。但更重要的是这个位置是虚拟地址不是物理地址。机器级程序看到的地址空间是连续、整齐的从0到2^64-1的一个超长编号序列。每个进程都觉得自己独占整个地址空间。而实际上这些虚拟页面会被操作系统映射到物理内存的不同位置中间隔着一层页表转换。这个设计对机器级代码的影响是汇编层面根本不用关心物理内存碎片、哪个地址在哪根内存条上。程序只是按虚拟地址发出读写请求硬件和OS负责找到真实位置。学到这里我突然理解了一件事我在大学时一直纠结“printf打印指针为什么是一串古怪地址”其实就是因为打印的是虚拟地址不是主板上的物理地址。2.3 物理地址到底去哪了回到物理地址这个问题。现代CPU发出的内存访问请求起始永远带的是虚拟地址在MMU内存管理单元里查页表TLB缓存加速然后才拿到物理地址去访问DRAM。这些过程对机器级代码是完全透明的。所以在汇编层面研究程序时可以放心把所有地址当作虚拟地址讨论。只有当程序访问了未映射的虚拟页面时硬件才会触发缺页异常或段错误。这也是为什么我会在Linux里看到segmentation fault——本质上是程序访问了一个在当前页表里无效的虚拟地址而不是物理内存坏了。3. 处理器状态全览PC、寄存器组、条件码到底在看什么3.1 四类状态信息机器执行的全部依据机器级代码能操作的所有状态信息可以用一张表概括状态作用x86-64中的载体程序计数器记录下一条指令的虚拟地址%rip整数寄存器保存临时值、参数、局部变量%rax~%r8等16个通用寄存器条件码寄存器记录最近算术/逻辑运算的状态CF、ZF、SF、OF向量寄存器存放整数或浮点数用于SIMD运算%xmm0~%xmm31等PC是最容易被忽略但又最核心的寄存器。它不保存数据只保存下一条待执行指令的地址。CPU每执行完一条指令PC就自动加上该指令长度指向下一条。跳转指令的作用本质上就是“改写PC的值”。通用寄存器的数量让我印象很深x86-64有16个64位通用寄存器相比老的x86的8个多了一倍。为什么多了就能让函数调用更快因为参数可以直接放寄存器传局部变量也可以多放几个在寄存器而不是写回内存。机器级代码的很多性能差异根源就在寄存器够不够用。3.2 用一条加法指令推演状态变化回到前面那个add2函数leaq (%rdi,%rsi), %rax # 把 rdirsi 的结果放到 rax ret # 返回函数结果在 rax执行leaq前调用者会把第一个参数放到%rdi第二个参数放到%rsi。leaq执行时CPU做一个加法运算得到虚拟地址值然后把结果写到%rax。这条指令不访问内存不会改变条件码。ret执行的瞬间它从栈上弹出返回地址直接改写%rip让程序跳到调用方的下一条指令。这就是机器级代码的执行模型指令一条接一条数据在寄存器之间移动内存只是偶尔被读写条件码只在需要做分支判断时发挥作用。学会从“状态变化”而非“代码逻辑”角度去看程序是这一节的真正门槛。4. 反汇编实战用objdump把字节序列翻译成人话4.1 objdump -d 怎么用输出长什么样手写机器码不现实但我们可以反向操作用反汇编工具把二进制翻译回汇编。最常用的就是objdumpobjdump -d add2输出大致长这样0000000000004010 add2: 4010: 48 8d 04 37 lea (%rdi,%rsi),%rax 4014: c3 ret每一行包含三样东西最左边是虚拟地址比如0000000000004010表示这条指令在内存中的位置中间是机器字节编码比如48 8d 04 37是CPU真正吞下去的二进制用十六进制展示右边是反汇编出的助记符lea (%rdi,%rsi),%rax给人读我最开始总盯着十六进制看后来才意识到对于学习3.2的内容右边助记符是重点中间字节编码偶尔对照即可。4.2 可变长指令如何判断一条指令多长既然x86-64指令是变长的反汇编器怎么知道从哪个字节开始读、读到哪个字节结束答案是它按操作码和ModR/M字节逐步解析。比如48 8d 04 37这条48是REX前缀表示64位操作数8d是LEA的操作码04是ModR/M字节编码了寻址模式跟随一个SIB字节37是SIB字节表达(%rdi,%rsi)这个基址变址的组合这里不要求背下每个字节的含义但要理解指令长度不是“一行一个单词”那么均匀而是由前缀、操作码、ModR/M、SIB、立即数、偏移量组合出来。这也是为什么反汇编器必须逐字节解析而不是按固定宽度切分。4.3 除了objdumpgdb也能反汇编调试的时候用gdb更方便比如在某个断点处直接看当前函数的前3条指令(gdb) x/3i $pc输出类似 0x4010 add2: lea (%rdi,%rsi),%rax 0x4014 add2: ret这里$pc是程序计数器寄存器x/3i表示从当前PC开始显示3条指令。遇到复杂程序时我习惯先用objdump -d拿到整个汇编清单再用gdb在具体地址下断点验证。两套工具配合机器级代码的阅读效率高很多。5. 汇编的两种方言ATT与Intel语法的关键差异5.1 同一个字节序列两种读法学这一节最容易困惑的是同一段机器码在不同工具里读出来的汇编却不一样。原因很简单汇编助记符本身是给人看的同一条机器指令至少有两套文本表示法——GNU贝壳等工具链默认使用的ATT语法以及Intel手册和很多Windows工具使用的Intel语法。拿前面那条48 8d 04 37来说语法反汇编结果特点ATTlea (%rdi,%rsi),%rax源操作数在前目标操作数在后Intellea rax,[rdirsi]目标操作数在前源操作数在后看起来只是顺序问题但足够让新手抓狂。我用一个办法记ATT语法像回答问题“从哪里来到哪里去”Intel语法更像赋值语句“目标 源”。另外还有几个细节ATT里立即数要加$比如$0x10Intel里直接写0x10ATT里寄存器统一加%前缀比如%raxIntel里寄存器裸写raxATT里内存引用写(%rdi,%rsi)Intel里写成[rdirsi]5.2 切换语法与几个容易踩的坑想让GCC输出Intel语法的汇编可以用gcc -S -masmintel add.c让objdump输出Intel语法则加-M intelobjdump -d -M intel add2切换之后最需要当心的是内存寻址写法变化。ATT里的movq 8(%rbx), %rax对应Intel里的mov rax, QWORD PTR [rbx8]。Intel语法里如果没有QWORD PTR这种大小修饰单看[rbx8]很难判断访存宽度必须借助前面的寄存器或后缀推断。这也是为什么我建议初学阶段固定用ATT语法因为GCC默认输出、Linux内核代码、绝大多数教材都用ATT一门课的内容用同一套语法会减少混乱。6. 操作数与寻址模式读机器指令先看“宾语”6.1 三类操作数立即数、寄存器、内存引用机器指令大多数是“操作码操作数”的结构。如果把人比作CPU操作数就是“这句话里处理的宾语”。x86-64的操作数只有三类立即数直接写在指令里、放在指令字节后面的常量相当于“直接把货递给你”寄存器CPU内部某个寄存器的值相当于“从自己兜里掏出来”内存引用根据某个地址去内存读数据相当于“按货架号去仓库取货”举个例子movl $0x10, %eax # 把立即数0x10写入eax movq %rbx, %rax # 把rbx的值拷贝到rax movq 8(%rbx), %rax # 把内存地址 rbx8 处的8字节读入rax我第一次看8(%rbx)这种写法时一度以为是“rbx加8个字节的寄存器”。实际上它是内存引用意思是“以rbx的内容为基址偏移8个字节的那个内存位置”。这个区分十分关键寄存器出现在表括号里往往表示地址计算而不是值拷贝。6.2 寻址公式Imm(Rb,Ri,S)x86-64的内存寻址有一个统一的公式有效地址 立即数偏移Imm 基址寄存器R[Rb] 变址寄存器R[Ri] × 比例S其中S只能取1、2、4、8。这个公式看着抽象但写几个例子就顺了写法有效地址常见用途(%rdi)R[rdi]解引用指针8(%rdi)R[rdi] 8访问结构体字段(%rdi,%rsi)R[rdi] R[rsi]数组元素访问(%rdi,%rsi,4)R[rdi] R[rsi]×4int数组按索引访问0x20(%rdi,%rsi,8)0x20 R[rdi] R[rsi]×8long数组加结构偏移我学习时的体会是不要试图背所有组合只需要记住公式遇到一条指令就把三项套进去算一遍。刚接触时我会拿着纸笔每看一条内存引用指令就算一次有效地址练上20条左右就完全内化了。6.3 用数组遍历理解变址寻址用一个实际场景巩固一下。假设C代码long a[8]; long i 3; long x a[i];a[i]翻译成机器码大致是movq (%rdi,%rsi,8), %rax这里%rdi放着数组a的首地址%rsi放着索引i比例因子8说明每个元素是8字节long。有效地址就是a的地址 i×8正好落在第i个元素上。如果数组是int类型比例因子就要换成4。比例因子本质上是编译器根据数组元素大小算出来的乘法因子知道这一点读代码时就不用每次翻手册了。7. 写在笔记末尾一份自学自查清单7.1 检验自己是否真懂机器级代码的几个问题学完3.2这一节之后我整理了几个自测问题能答上来基本说明这一节没有白看gcc -S、gcc -c、gcc -o分别做了什么每一步产生什么形态的文件汇编代码里的地址是物理地址还是虚拟地址为什么%rip寄存器的作用是什么ret指令是如何改变%rip的ATT与Intel语法在操作数顺序上有什么不同8(%rbx,%rcx,4)的有效地址怎么算这个比例因子4通常对应什么类型数组这些问题都不需要背诵但每一个都指向机器级代码的核心抽象。我建议学完一节后停下来拿出一张白纸不看教材把这几个问题用自己的话写一遍。写不出来的地方就是还没真正理解的地方。7.2 两个小工具与一条学习建议工具方面我常用的就两个objdump -d看静态汇编gdb的x/i看运行时指令。如果是验证简单函数翻译成什么样我还会用在线编译器资源管理器Godbolt它可以并排显示C代码和对应汇编非常直观。本地开发时直接在终端敲gcc -S也行效果差不多而且不依赖网络。最后一条建议送给自己也送给刚接触这块的读者不要试图背指令而是每次拿到一段汇编先问“这条指令改变了哪些状态”、再问“它计算出来的地址是多少”。状态变化和地址计算是机器级代码的两条主线抓住这两条3.2这一节就不会白学后面的控制流、过程调用其实都是它的延伸应用。我在啃完这一节后回头看之前写的指针和数组代码很多“为什么这么处理”的疑惑都融化了。