search
GithubMindSecurity
githubEditar

functionFunction Return Mechanics

hashtag
🔚 1. Mecânica de Retorno de Funções – Controlando o Fluxo via Stack Frames

Quando um código dentro de um thread chama uma função, ele precisa saber para onde retornar após a execução dessa função.

Esse endereço é conhecido como o endereço de retorno (return address), e ele é armazenado na pilha (stack), junto com:

  • os parâmetros da função,

  • as variáveis locais,

  • e outras informações de controle.

Todo esse conjunto de dados, associado a uma única chamada de função, forma o que chamamos de stack frame (quadro de pilha).

🧱 O stack frame é essencialmente o ambiente de execução isolado de uma função. Cada vez que uma função é chamada, um novo frame é empilhado; quando a função termina, ele é desempilhado e o controle volta para o endereço de retorno.

hashtag
🧠 Engenharia Reversa e Stack Frames

Entender como os stack frames funcionam é fundamental na engenharia reversa e em técnicas de exploração como:

  • Buffer Overflows → para sobrescrever o endereço de retorno e redirecionar o fluxo de execução;

  • Análise de Stack Traces → para reconstituir o caminho de chamadas entre funções;

  • ROP (Return-Oriented Programming) → para encadear gadgets usando valores controlados no retorno.

🗂️ Estrutura Típica de um Stack Frame (x86)

Um stack frame costuma incluir:

[ endereço de retorno    ]  ← EBP + 4
[ endereço antigo de EBP ]  ← EBP
[ variáveis locais       ]  ← abaixo de EBP

A base do frame é marcada pelo registrador EBP (Base Pointer), e o topo é controlado pelo ESP (Stack Pointer). A relação entre EBP e ESP ajuda na navegação entre chamadas de função.

hashtag
🧰 Ferramentas que mostram Stack Frames:

  • GDB / pwndbg: mostra claramente os frames com backtrace e info frame

  • IDA Pro / Ghidra: analisam e recriam frames automaticamente

  • Radare2 / Cutter: permitem análise e reconstrução manual

AnteriorCalling ConventionsPróximoSistemas Operacionais

Atualizado