call/ret 看上去只是两个指令，背后却隐藏一整套内存管理子系统。为什么必须用栈？为什么不能像全局变量那样直接放在 .data 段？这一页从内存管理的视角拆开来看。

代码区/数据区/堆/栈的完整映射，栈生长方向

自上而下：地址递减，每格代表栈上一块连续区域；箭头方向即栈增长方向。

用 objdump 看一个简单加法函数,把上一页抽象的栈帧结构映成真实的机器指令。

前3行序言建帧,中段把参数和局部 c 在 rbp 偏移位置存取,后两行 leave+ret 拆帧返回——上一页的栈帧布局一一对上。

反汇编里每个函数都同时出现RSP和RBP两个寄存器。它们各司其职——一个随时在动，一个相对固定。为什么需要两个？分工有何讲究？

数组/结构体/指针在栈帧中的存储方式

栈帧是被调用函数的'工作台'，那参数是怎么被送进去的？System V ABI给前6个整数参数安排了6条VIP通道——寄存器。多出来怎么办？

从根节点向左分两路：左路调用方需自行保护，右路被调方必须保留。

cdecl 是32位C默认，全走栈；fastcall 把前两参数塞进寄存器；System V 把这条路推到6个寄存器。

call指令内部只做两件大事：把回家的地址记到栈上，然后跳过去。

ret 是 call 的逆操作，三步归还控制权，第四步悄悄把栈对齐复原。

从上往下读是层层压栈,从下往上是逐层弹栈,直观呈现递归的「洋葱式」展开与回溯。

函数序言是每个函数开头必做三件事：把旧现场收好、给新栈帧定锚、再为局部变量腾出空间。

尾声按固定顺序还原栈帧,然后用ret把控制权交还调用者。

GCC -O2 把 sq_sum 内联掉，norm_sq 成了叶子函数；小结构体走寄存器，帧指针直接省了。

对照完整序言/尾声：叶子函数 + -fomit-frame-pointer 让 push %rbp、sub %rsp、leave 全消失；16 字节的 pair_t 被 System V ABI 拆进 xmm0/xmm1，参数和返回值全程活在寄存器里。

崩溃时调试器打印的调用链从何而来?它要逆着刚才讲过的栈帧链一格格回溯,这就是栈展开。

先看上方攻击链，再看下方canary防御链

用 GDB 现场观察:40 字节输入如何涂掉 saved RBP 并触发 canary 检测。

canary 与 saved rbp 都被 A 涂掉;glibc 在函数尾声比对失败,abort 并打印 'stack smashing detected'。这正是 -fstack-protector 存在的理由:把溢出从 ret 时崩溃提前到 ret 前被发现。

• ✓ABI是契约，栈帧是物理实现
• ✓call/ret本质是RSP移动与返回地址存取
• ✓寄存器传参与栈传参各有性能边界
• ✓帧指针省略时，调试依赖DWARF元数据
• ✓递归即栈帧的链式堆叠

先遮住答案，自己想一会再写下来；再对照参考答案的思路，不必拘泥文字一致。