Argol

ServletResponse接口只提供了兩個(gè)流可供選擇：ServletOutputStream用于輸出字節(jié)，PrintWriter用于輸出字符數(shù)據(jù)。

PrintWriter
用于把文本數(shù)據(jù)打印到一個(gè)字符流。盡管也可以把字符數(shù)據(jù)寫至OutputStream，但PrintWriter流專門設(shè)計(jì)用于處理字符數(shù)據(jù)。

OutputStream

用于其他的任何內(nèi)容。

PrintWriter實(shí)際上“包裝“ 了ServletOutputStream。也就是說，PrintWriter有ServletOutputStream的一個(gè)引用，而且會(huì)把調(diào)用委托給ServletOutputStream。

     摘要: Keycode對(duì)照表：字母和數(shù)字鍵的鍵碼值(keyCode)按鍵鍵碼按鍵鍵碼按鍵鍵碼按鍵鍵碼A65J74S83149B66K75T84250C67L76U85351D68M77V86452E69N78W87553F70O79X88654G71P80Y89755H72Q81Z90856I73R82048957　　 數(shù)字鍵盤上的鍵的鍵碼值(keyCode)功能鍵鍵碼值(keyCode)按鍵鍵...  閱讀全文

基礎(chǔ)數(shù)據(jù)類型直接在棧空間分配。

方法的形式參數(shù)，直接在棧空間分配，當(dāng)方法調(diào)用完成后從棧空間回收。

引用數(shù)據(jù)類型，需要用new來創(chuàng)建，既在棧空間分配一個(gè)地址空間，又在堆空間分配對(duì)象的類變量。

方法的引用參數(shù)，在棧空間分配一個(gè)地址空間，并指向堆空間的對(duì)象區(qū)，當(dāng)方法調(diào)用完成后從棧空間回收。

局部變量 new 出來時(shí)，在棧空間和堆空間中分配空間，當(dāng)局部變量生命周期結(jié)束后，棧空間立刻被回收，堆空間區(qū)域等待GC回收。

方法調(diào)用時(shí)傳入的 literal 參數(shù)，先在棧空間分配，在方法調(diào)用完成后從棧空間分配。

字符串常量在 DATA 區(qū)域分配。

this 在堆空間分配。

數(shù)組既在棧空間分配數(shù)組名稱， 又在堆空間分配數(shù)組實(shí)際的大小。

棧與堆都是Java用來在RAM中存放數(shù)據(jù)的地方。與C++不同，Java自動(dòng)管理?xiàng)：投眩绦騿T不能直接地設(shè)置棧或堆。 

Java的堆是一個(gè)運(yùn)行時(shí)數(shù)據(jù)區(qū),類的對(duì)象從中分配空間。這些對(duì)象通過new、newarray、anewarray和multianewarray等指令建立，它們不需要程序代碼來顯式的釋放。堆是由垃圾回收來負(fù)責(zé)的，堆的優(yōu)勢(shì)是可以動(dòng)態(tài)地分配內(nèi)存大小，生存期也不必事先告訴編譯器，因?yàn)樗窃谶\(yùn)行時(shí)動(dòng)態(tài)分配內(nèi)存的，Java的垃圾收集器會(huì)自動(dòng)收走這些不再使用的數(shù)據(jù)。但缺點(diǎn)是，由于要在運(yùn)行時(shí)動(dòng)態(tài)分配內(nèi)存，存取速度較慢。 

棧的優(yōu)勢(shì)是，存取速度比堆要快，僅次于寄存器，棧數(shù)據(jù)可以共享。但缺點(diǎn)是，存在棧中的數(shù)據(jù)大小與生存期必須是確定的，缺乏靈活性。棧中主要存放一些基本類型的變量（,int, short, long, byte, float, double, boolean, char）和對(duì)象句柄。 

棧有一個(gè)很重要的特殊性，就是存在棧中的數(shù)據(jù)可以共享。假設(shè)我們同時(shí)定義： 

int a = 3; 

int b = 3； 

編譯器先處理int a = 3；首先它會(huì)在棧中創(chuàng)建一個(gè)變量為a的引用，然后查找棧中是否有3這個(gè)值，如果沒找到，就將3存放進(jìn)來，然后將a指向3。接著處理int b = 3；在創(chuàng)建完b的引用變量后，因?yàn)樵跅Ｖ幸呀?jīng)有3這個(gè)值，便將b直接指向3。這樣，就出現(xiàn)了a與b同時(shí)均指向3的情況。 

這時(shí)，如果再令a=4；那么編譯器會(huì)重新搜索棧中是否有4值，如果沒有，則將4存放進(jìn)來，并令a指向4；如果已經(jīng)有了，則直接將a指向這個(gè)地址。因此a值的改變不會(huì)影響到b的值。 

要注意這種數(shù)據(jù)的共享與兩個(gè)對(duì)象的引用同時(shí)指向一個(gè)對(duì)象的這種共享是不同的，因?yàn)檫@種情況a的修改并不會(huì)影響到b, 它是由編譯器完成的，它有利于節(jié)省空間。而一個(gè)對(duì)象引用變量修改了這個(gè)對(duì)象的內(nèi)部狀態(tài)，會(huì)影響到另一個(gè)對(duì)象引用變量。 

String是一個(gè)特殊的包裝類數(shù)據(jù)。可以用： 

String str = new String("abc"); 

String str = "abc";

 兩種的形式來創(chuàng)建，第一種是用new()來新建對(duì)象的，它會(huì)在存放于堆中。每調(diào)用一次就會(huì)創(chuàng)建一個(gè)新的對(duì)象。 

而第二種是先在棧中創(chuàng)建一個(gè)對(duì)String類的對(duì)象引用變量str，然后查找棧中有沒有存放"abc"，如果沒有，則將"abc"存放進(jìn)棧，并令str指向”abc”，如果已經(jīng)有”abc” 則直接令str指向“abc”。 

比較類里面的數(shù)值是否相等時(shí)，用equals()方法；當(dāng)測(cè)試兩個(gè)包裝類的引用是否指向同一個(gè)對(duì)象時(shí)，用==，下面用例子說明上面的理論。 

String str1 = "abc"; 

String str2 = "abc"; 

System.out.println(str1==str2); //true 

可以看出str1和str2是指向同一個(gè)對(duì)象的。 

String str1 =new String ("abc"); 

String str2 =new String ("abc"); 

System.out.println(str1==str2); // false 

用new的方式是生成不同的對(duì)象。每一次生成一個(gè)。 

因此用第一種方式創(chuàng)建多個(gè)”abc”字符串,在內(nèi)存中其實(shí)只存在一個(gè)對(duì)象而已. 這種寫法有利與節(jié)省內(nèi)存空間. 同時(shí)它可以在一定程度上提高程序的運(yùn)行速度，因?yàn)?/span>JVM會(huì)自動(dòng)根據(jù)棧中數(shù)據(jù)的實(shí)際情況來決定是否有必要?jiǎng)?chuàng)建新對(duì)象。而對(duì)于String str = new String("abc")；的代碼，則一概在堆中創(chuàng)建新對(duì)象，而不管其字符串值是否相等，是否有必要?jiǎng)?chuàng)建新對(duì)象，從而加重了程序的負(fù)擔(dān)。 

另一方面, 要注意: 我們?cè)谑褂弥T如String str = "abc"；的格式定義類時(shí)，總是想當(dāng)然地認(rèn)為，創(chuàng)建了String類的對(duì)象str。擔(dān)心陷阱！對(duì)象可能并沒有被創(chuàng)建！而可能只是指向一個(gè)先前已經(jīng)創(chuàng)建的對(duì)象。只有通過new()方法才能保證每次都創(chuàng)建一個(gè)新的對(duì)象。 

由于String類的immutable性質(zhì)，當(dāng)String變量需要經(jīng)常變換其值時(shí)，應(yīng)該考慮使用StringBuffer類，以提高程序效率。

 

在閱讀本文之前，如果你連堆棧是什么多不知道的話，請(qǐng)先閱讀文章后面的基礎(chǔ)知識(shí)。 

接觸過編程的人都知道，高級(jí)語言都能通過變量名來訪問內(nèi)存中的數(shù)據(jù)。那么這些變量在內(nèi)存中是如何存放的呢？程序又是如何使用這些變量的呢？下面就會(huì)對(duì)此進(jìn)行深入的討論。下文中的C語言代碼如沒有特別聲明，默認(rèn)都使用VC編譯的release版。 

首先，來了解一下 C 語言的變量是如何在內(nèi)存分部的。C 語言有全局變量(Global)、本地變量(Local)，靜態(tài)變量(Static)、寄存器變量(Regeister)。每種變量都有不同的分配方式。先來看下面這段代碼： 

#include <stdio.h> 

int g1=0, g2=0, g3=0; 

int main() 
{ 
static int s1=0, s2=0, s3=0; 
int v1=0, v2=0, v3=0; 

//打印出各個(gè)變量的內(nèi)存地址 

printf("0x%08x\n",&v1); //打印各本地變量的內(nèi)存地址 
printf("0x%08x\n",&v2); 
printf("0x%08x\n\n",&v3); 
printf("0x%08x\n",&g1); //打印各全局變量的內(nèi)存地址 
printf("0x%08x\n",&g2); 
printf("0x%08x\n\n",&g3); 
printf("0x%08x\n",&s1); //打印各靜態(tài)變量的內(nèi)存地址 
printf("0x%08x\n",&s2); 
printf("0x%08x\n\n",&s3); 
return 0; 
} 

編譯后的執(zhí)行結(jié)果是： 

0x0012ff78 
0x0012ff7c 
0x0012ff80 

0x004068d0 
0x004068d4 
0x004068d8 

0x004068dc 
0x004068e0 
0x004068e4 

輸出的結(jié)果就是變量的內(nèi)存地址。其中v1,v2,v3是本地變量，g1,g2,g3是全局變量，s1,s2,s3是靜態(tài)變量。你可以看到這些變量在內(nèi)存是連續(xù)分布的，但是本地變量和全局變量分配的內(nèi)存地址差了十萬八千里，而全局變量和靜態(tài)變量分配的內(nèi)存是連續(xù)的。這是因?yàn)楸镜刈兞亢腿?靜態(tài)變量是分配在不同類型的內(nèi)存區(qū)域中的結(jié)果。對(duì)于一個(gè)進(jìn)程的內(nèi)存空間而言，可以在邏輯上分成3個(gè)部份：代碼區(qū)，靜態(tài)數(shù)據(jù)區(qū)和動(dòng)態(tài)數(shù)據(jù)區(qū)。動(dòng)態(tài)數(shù)據(jù)區(qū)一般就是“堆棧”。“棧(stack)”和“堆(heap)”是兩種不同的動(dòng)態(tài)數(shù)據(jù)區(qū)，棧是一種線性結(jié)構(gòu)，堆是一種鏈?zhǔn)浇Y(jié)構(gòu)。進(jìn)程的每個(gè)線程都有私有的“棧”，所以每個(gè)線程雖然代碼一樣，但本地變量的數(shù)據(jù)都是互不干擾。一個(gè)堆棧可以通過“基地址”和“棧頂”地址來描述。全局變量和靜態(tài)變量分配在靜態(tài)數(shù)據(jù)區(qū)，本地變量分配在動(dòng)態(tài)數(shù)據(jù)區(qū)，即堆棧中。程序通過堆棧的基地址和偏移量來訪問本地變量。 

├———————┤低端內(nèi)存區(qū)域 
│ …… │ 
├———————┤ 
│ 動(dòng)態(tài)數(shù)據(jù)區(qū) │ 
├———————┤ 
│ …… │ 
├———————┤ 
│ 代碼區(qū) │ 
├———————┤ 
│ 靜態(tài)數(shù)據(jù)區(qū) │ 
├———————┤ 
│ …… │ 
├———————┤高端內(nèi)存區(qū)域 

堆棧是一個(gè)先進(jìn)后出的數(shù)據(jù)結(jié)構(gòu)，棧頂?shù)刂房偸切∮诘扔跅５幕刂贰Ｎ覀兛梢韵攘私庖幌潞瘮?shù)調(diào)用的過程，以便對(duì)堆棧在程序中的作用有更深入的了解。不同的語言有不同的函數(shù)調(diào)用規(guī)定，這些因素有參數(shù)的壓入規(guī)則和堆棧的平衡。windows API的調(diào)用規(guī)則和ANSI C的函數(shù)調(diào)用規(guī)則是不一樣的，前者由被調(diào)函數(shù)調(diào)整堆棧，后者由調(diào)用者調(diào)整堆棧。兩者通過“__stdcall”和“__cdecl”前綴區(qū)分。先看下面這段代碼： 

#include <stdio.h> 

void __stdcall func(int param1,int param2,int param3) 
{ 
int var1=param1; 
int var2=param2; 
int var3=param3; 
printf("0x%08x\n",¶m1); //打印出各個(gè)變量的內(nèi)存地址 
printf("0x%08x\n",¶m2); 
printf("0x%08x\n\n",¶m3); 
printf("0x%08x\n",&var1); 
printf("0x%08x\n",&var2); 
printf("0x%08x\n\n",&var3); 
return; 
} 

int main() 
{ 
func(1,2,3); 
return 0; 
} 

編譯后的執(zhí)行結(jié)果是： 

0x0012ff78 
0x0012ff7c 
0x0012ff80 

0x0012ff68 
0x0012ff6c 
0x0012ff70 

├———————┤<—函數(shù)執(zhí)行時(shí)的棧頂（ESP）、低端內(nèi)存區(qū)域 
│ …… │ 
├———————┤ 
│ var 1 │ 
├———————┤ 
│ var 2 │ 
├———————┤ 
│ var 3 │ 
├———————┤ 
│ RET │ 
├———————┤<—“__cdecl”函數(shù)返回后的棧頂（ESP） 
│ parameter 1 │ 
├———————┤ 
│ parameter 2 │ 
├———————┤ 
│ parameter 3 │ 
├———————┤<—“__stdcall”函數(shù)返回后的棧頂（ESP） 
│ …… │ 
├———————┤<—棧底（基地址 EBP）、高端內(nèi)存區(qū)域 

上圖就是函數(shù)調(diào)用過程中堆棧的樣子了。首先，三個(gè)參數(shù)以從又到左的次序壓入堆棧，先壓“param3”，再壓“param2”，最后壓入“param1”；然后壓入函數(shù)的返回地址(RET)，接著跳轉(zhuǎn)到函數(shù)地址接著執(zhí)行（這里要補(bǔ)充一點(diǎn)，介紹UNIX下的緩沖溢出原理的文章中都提到在壓入RET后，繼續(xù)壓入當(dāng)前EBP，然后用當(dāng)前ESP代替EBP。然而，有一篇介紹windows下函數(shù)調(diào)用的文章中說，在windows下的函數(shù)調(diào)用也有這一步驟，但根據(jù)我的實(shí)際調(diào)試，并未發(fā)現(xiàn)這一步，這還可以從param3和var1之間只有4字節(jié)的間隙這點(diǎn)看出來）；第三步，將棧頂(ESP)減去一個(gè)數(shù)，為本地變量分配內(nèi)存空間，上例中是減去12字節(jié)(ESP=ESP-3*4，每個(gè)int變量占用4個(gè)字節(jié))；接著就初始化本地變量的內(nèi)存空間。由于“__stdcall”調(diào)用由被調(diào)函數(shù)調(diào)整堆棧，所以在函數(shù)返回前要恢復(fù)堆棧，先回收本地變量占用的內(nèi)存(ESP=ESP+3*4)，然后取出返回地址，填入EIP寄存器，回收先前壓入?yún)?shù)占用的內(nèi)存(ESP=ESP+3*4)，繼續(xù)執(zhí)行調(diào)用者的代碼。參見下列匯編代碼： 

;--------------func 函數(shù)的匯編代碼------------------- 

:00401000 83EC0C sub esp, 0000000C //創(chuàng)建本地變量的內(nèi)存空間 
:00401003 8B442410 mov eax, dword ptr [esp+10] 
:00401007 8B4C2414 mov ecx, dword ptr [esp+14] 
:0040100B 8B542418 mov edx, dword ptr [esp+18] 
:0040100F 89442400 mov dword ptr [esp], eax 
:00401013 8D442410 lea eax, dword ptr [esp+10] 
:00401017 894C2404 mov dword ptr [esp+04], ecx 

……………………（省略若干代碼） 

:00401075 83C43C add esp, 0000003C ;恢復(fù)堆棧，回收本地變量的內(nèi)存空間 
:00401078 C3 ret 000C ;函數(shù)返回，恢復(fù)參數(shù)占用的內(nèi)存空間 
;如果是“__cdecl”的話，這里是“ret”，堆棧將由調(diào)用者恢復(fù) 

;-------------------函數(shù)結(jié)束------------------------- 

;--------------主程序調(diào)用func函數(shù)的代碼-------------- 

:00401080 6A03 push 00000003 //壓入?yún)?shù)param3 
:00401082 6A02 push 00000002 //壓入?yún)?shù)param2 
:00401084 6A01 push 00000001 //壓入?yún)?shù)param1 
:00401086 E875FFFFFF call 00401000 //調(diào)用func函數(shù) 
;如果是“__cdecl”的話，將在這里恢復(fù)堆棧，“add esp, 0000000C” 

聰明的讀者看到這里，差不多就明白緩沖溢出的原理了。先來看下面的代碼： 

#include <stdio.h> 
#include <string.h> 

void __stdcall func() 
{ 
char lpBuff[8]="\0"; 
strcat(lpBuff,"AAAAAAAAAAA"); 
return; 
} 

int main() 
{ 
func(); 
return 0; 
} 

編譯后執(zhí)行一下回怎么樣？哈，“"0x00414141"指令引用的"0x00000000"內(nèi)存。該內(nèi)存不能為"read"。”，“非法操作”嘍！"41"就是"A"的16進(jìn)制的ASCII碼了，那明顯就是strcat這句出的問題了。"lpBuff"的大小只有8字節(jié)，算進(jìn)結(jié)尾的\0，那strcat最多只能寫入7個(gè)"A"，但程序?qū)嶋H寫入了11個(gè)"A"外加1個(gè)\0。再來看看上面那幅圖，多出來的4個(gè)字節(jié)正好覆蓋了RET的所在的內(nèi)存空間，導(dǎo)致函數(shù)返回到一個(gè)錯(cuò)誤的內(nèi)存地址，執(zhí)行了錯(cuò)誤的指令。如果能精心構(gòu)造這個(gè)字符串，使它分成三部分，前一部份僅僅是填充的無意義數(shù)據(jù)以達(dá)到溢出的目的，接著是一個(gè)覆蓋RET的數(shù)據(jù)，緊接著是一段shellcode，那只要著個(gè)RET地址能指向這段shellcode的第一個(gè)指令，那函數(shù)返回時(shí)就能執(zhí)行shellcode了。但是軟件的不同版本和不同的運(yùn)行環(huán)境都可能影響這段shellcode在內(nèi)存中的位置，那么要構(gòu)造這個(gè)RET是十分困難的。一般都在RET和shellcode之間填充大量的NOP指令，使得exploit有更強(qiáng)的通用性。 

├———————┤<—低端內(nèi)存區(qū)域 
│ …… │ 
├———————┤<—由exploit填入數(shù)據(jù)的開始 
│ │ 
│ buffer │<—填入無用的數(shù)據(jù) 
│ │ 
├———————┤ 
│ RET │<—指向shellcode，或NOP指令的范圍 
├———————┤ 
│ NOP │ 
│ …… │<—填入的NOP指令，是RET可指向的范圍 
│ NOP │ 
├———————┤ 
│ │ 
│ shellcode │ 
│ │ 
├———————┤<—由exploit填入數(shù)據(jù)的結(jié)束 
│ …… │ 
├———————┤<—高端內(nèi)存區(qū)域 

windows下的動(dòng)態(tài)數(shù)據(jù)除了可存放在棧中，還可以存放在堆中。了解C++的朋友都知道，C++可以使用new關(guān)鍵字來動(dòng)態(tài)分配內(nèi)存。來看下面的C++代碼： 

#include <stdio.h> 
#include <iostream.h> 
#include <windows.h> 

void func() 
{ 
char *buffer=new char[128]; 
char bufflocal[128]; 
static char buffstatic[128]; 
printf("0x%08x\n",buffer); //打印堆中變量的內(nèi)存地址 
printf("0x%08x\n",bufflocal); //打印本地變量的內(nèi)存地址 
printf("0x%08x\n",buffstatic); //打印靜態(tài)變量的內(nèi)存地址 
} 

void main() 
{ 
func(); 
return; 
} 

程序執(zhí)行結(jié)果為： 

0x004107d0 
0x0012ff04 
0x004068c0 

可以發(fā)現(xiàn)用new關(guān)鍵字分配的內(nèi)存即不在棧中，也不在靜態(tài)數(shù)據(jù)區(qū)。VC編譯器是通過windows下的“堆(heap)”來實(shí)現(xiàn)new關(guān)鍵字的內(nèi)存動(dòng)態(tài)分配。在講“堆”之前，先來了解一下和“堆”有關(guān)的幾個(gè)API函數(shù)： 

HeapAlloc 在堆中申請(qǐng)內(nèi)存空間 
HeapCreate 創(chuàng)建一個(gè)新的堆對(duì)象 
HeapDestroy 銷毀一個(gè)堆對(duì)象 
HeapFree 釋放申請(qǐng)的內(nèi)存 
HeapWalk 枚舉堆對(duì)象的所有內(nèi)存塊 
GetProcessHeap 取得進(jìn)程的默認(rèn)堆對(duì)象 
GetProcessHeaps 取得進(jìn)程所有的堆對(duì)象 
LocalAlloc 
GlobalAlloc 

當(dāng)進(jìn)程初始化時(shí)，系統(tǒng)會(huì)自動(dòng)為進(jìn)程創(chuàng)建一個(gè)默認(rèn)堆，這個(gè)堆默認(rèn)所占內(nèi)存的大小為1M。堆對(duì)象由系統(tǒng)進(jìn)行管理，它在內(nèi)存中以鏈?zhǔn)浇Y(jié)構(gòu)存在。通過下面的代碼可以通過堆動(dòng)態(tài)申請(qǐng)內(nèi)存空間： 

HANDLE hHeap=GetProcessHeap(); 
char *buff=HeapAlloc(hHeap,0,8); 

其中hHeap是堆對(duì)象的句柄，buff是指向申請(qǐng)的內(nèi)存空間的地址。那這個(gè)hHeap究竟是什么呢？它的值有什么意義嗎？看看下面這段代碼吧： 

#pragma comment(linker,"/entry:main") //定義程序的入口 
#include <windows.h> 

_CRTIMP int (__cdecl *printf)(const char *, ...); //定義STL函數(shù)printf 
/*--------------------------------------------------------------------------- 
寫到這里，我們順便來復(fù)習(xí)一下前面所講的知識(shí)： 
(*注)printf函數(shù)是C語言的標(biāo)準(zhǔn)函數(shù)庫中函數(shù)，VC的標(biāo)準(zhǔn)函數(shù)庫由msvcrt.dll模塊實(shí)現(xiàn)。 
由函數(shù)定義可見，printf的參數(shù)個(gè)數(shù)是可變的，函數(shù)內(nèi)部無法預(yù)先知道調(diào)用者壓入的參數(shù)個(gè)數(shù)，函數(shù)只能通過分析第一個(gè)參數(shù)字符串的格式來獲得壓入?yún)?shù)的信息，由于這里參數(shù)的個(gè)數(shù)是動(dòng)態(tài)的，所以必須由調(diào)用者來平衡堆棧，這里便使用了__cdecl調(diào)用規(guī)則。BTW，Windows系統(tǒng)的API函數(shù)基本上是__stdcall調(diào)用形式，只有一個(gè)API例外，那就是wsprintf，它使用__cdecl調(diào)用規(guī)則，同printf函數(shù)一樣，這是由于它的參數(shù)個(gè)數(shù)是可變的緣故。 
---------------------------------------------------------------------------*/ 
void main() 
{ 
HANDLE hHeap=GetProcessHeap(); 
char *buff=HeapAlloc(hHeap,0,0x10); 
char *buff2=HeapAlloc(hHeap,0,0x10); 
HMODULE hMsvcrt=LoadLibrary("msvcrt.dll"); 
printf=(void *)GetProcAddress(hMsvcrt,"printf"); 
printf("0x%08x\n",hHeap); 
printf("0x%08x\n",buff); 
printf("0x%08x\n\n",buff2); 
} 

執(zhí)行結(jié)果為： 

0x00130000 
0x00133100 
0x00133118 

hHeap的值怎么和那個(gè)buff的值那么接近呢？其實(shí)hHeap這個(gè)句柄就是指向HEAP首部的地址。在進(jìn)程的用戶區(qū)存著一個(gè)叫PEB(進(jìn)程環(huán)境塊)的結(jié)構(gòu)，這個(gè)結(jié)構(gòu)中存放著一些有關(guān)進(jìn)程的重要信息，其中在PEB首地址偏移0x18處存放的ProcessHeap就是進(jìn)程默認(rèn)堆的地址，而偏移0x90處存放了指向進(jìn)程所有堆的地址列表的指針。windows有很多API都使用進(jìn)程的默認(rèn)堆來存放動(dòng)態(tài)數(shù)據(jù)，如windows 2000下的所有ANSI版本的函數(shù)都是在默認(rèn)堆中申請(qǐng)內(nèi)存來轉(zhuǎn)換ANSI字符串到Unicode字符串的。對(duì)一個(gè)堆的訪問是順序進(jìn)行的，同一時(shí)刻只能有一個(gè)線程訪問堆中的數(shù)據(jù)，當(dāng)多個(gè)線程同時(shí)有訪問要求時(shí)，只能排隊(duì)等待，這樣便造成程序執(zhí)行效率下降。 

最后來說說內(nèi)存中的數(shù)據(jù)對(duì)齊。所位數(shù)據(jù)對(duì)齊，是指數(shù)據(jù)所在的內(nèi)存地址必須是該數(shù)據(jù)長度的整數(shù)倍，DWORD數(shù)據(jù)的內(nèi)存起始地址能被4除盡，WORD數(shù)據(jù)的內(nèi)存起始地址能被2除盡，x86 CPU能直接訪問對(duì)齊的數(shù)據(jù)，當(dāng)他試圖訪問一個(gè)未對(duì)齊的數(shù)據(jù)時(shí)，會(huì)在內(nèi)部進(jìn)行一系列的調(diào)整，這些調(diào)整對(duì)于程序來說是透明的，但是會(huì)降低運(yùn)行速度，所以編譯器在編譯程序時(shí)會(huì)盡量保證數(shù)據(jù)對(duì)齊。同樣一段代碼，我們來看看用VC、Dev-C++和lcc三個(gè)不同編譯器編譯出來的程序的執(zhí)行結(jié)果： 

#include <stdio.h> 

int main() 
{ 
int a; 
char b; 
int c; 
printf("0x%08x\n",&a); 
printf("0x%08x\n",&b); 
printf("0x%08x\n",&c); 
return 0; 
} 

這是用VC編譯后的執(zhí)行結(jié)果： 
0x0012ff7c 
0x0012ff7b 
0x0012ff80 
變量在內(nèi)存中的順序：b(1字節(jié))-a(4字節(jié))-c(4字節(jié))。 

這是用Dev-C++編譯后的執(zhí)行結(jié)果： 
0x0022ff7c 
0x0022ff7b 
0x0022ff74 
變量在內(nèi)存中的順序：c(4字節(jié))-中間相隔3字節(jié)-b(占1字節(jié))-a(4字節(jié))。 

這是用lcc編譯后的執(zhí)行結(jié)果： 
0x0012ff6c 
0x0012ff6b 
0x0012ff64 
變量在內(nèi)存中的順序：同上。 

三個(gè)編譯器都做到了數(shù)據(jù)對(duì)齊，但是后兩個(gè)編譯器顯然沒VC“聰明”，讓一個(gè)char占了4字節(jié)，浪費(fèi)內(nèi)存哦。 

基礎(chǔ)知識(shí)： 
堆棧是一種簡單的數(shù)據(jù)結(jié)構(gòu)，是一種只允許在其一端進(jìn)行插入或刪除的線性表。允許插入或刪除操作的一端稱為棧頂，另一端稱為棧底，對(duì)堆棧的插入和刪除操作被稱為入棧和出棧。有一組CPU指令可以實(shí)現(xiàn)對(duì)進(jìn)程的內(nèi)存實(shí)現(xiàn)堆棧訪問。其中，POP指令實(shí)現(xiàn)出棧操作，PUSH指令實(shí)現(xiàn)入棧操作。CPU的ESP寄存器存放當(dāng)前線程的棧頂指針，EBP寄存器中保存當(dāng)前線程的棧底指針。CPU的EIP寄存器存放下一個(gè)CPU指令存放的內(nèi)存地址，當(dāng)CPU執(zhí)行完當(dāng)前的指令后，從EIP寄存器中讀取下一條指令的內(nèi)存地址，然后繼續(xù)執(zhí)行。 

堆和棧的區(qū)別
一、預(yù)備知識(shí)—程序的內(nèi)存分配
一個(gè)由c/C++編譯的程序占用的內(nèi)存分為以下幾個(gè)部分
1、棧區(qū)（stack）— 由編譯器自動(dòng)分配釋放 ，存放函數(shù)的參數(shù)值，局部變量的值等。其操作方式類似于數(shù)據(jù)結(jié)構(gòu)中的棧。
2、堆區(qū)（heap） — 一般由程序員分配釋放， 若程序員不釋放，程序結(jié)束時(shí)可能由OS回收 。注意它與數(shù)據(jù)結(jié)構(gòu)中的堆是兩回事，分配方式倒是類似于鏈表，呵呵。
3、全局區(qū)（靜態(tài)區(qū)）（static）—，全局變量和靜態(tài)變量的存儲(chǔ)是放在一塊的，初始化的全局變量和靜態(tài)變量在一塊區(qū)域， 未初始化的全局變量和未初始化的靜態(tài)變量在相鄰的另一塊區(qū)域。 - 程序結(jié)束后有系統(tǒng)釋放 
4、文字常量區(qū)—常量字符串就是放在這里的。 程序結(jié)束后由系統(tǒng)釋放
5、程序代碼區(qū)—存放函數(shù)體的二進(jìn)制代碼。
二、例子程序 
這是一個(gè)前輩寫的，非常詳細(xì) 
//main.cpp 
int a = 0; 全局初始化區(qū) 
char *p1; 全局未初始化區(qū) 
main() 
{ 
int b; 棧 
char s[] = "abc"; 棧 
char *p2; 棧 
char *p3 = "123456"; 123456"0在常量區(qū)，p3在棧上。 
static int c =0； 全局（靜態(tài)）初始化區(qū) 
p1 = (char *)malloc(10); 
p2 = (char *)malloc(20); 
分配得來得10和20字節(jié)的區(qū)域就在堆區(qū)。 
strcpy(p1, "123456"); 123456"0放在常量區(qū)，編譯器可能會(huì)將它與p3所指向的"123456"優(yōu)化成一個(gè)地方。 
} 

二、堆和棧的理論知識(shí) 
2.1申請(qǐng)方式 
stack: 
由系統(tǒng)自動(dòng)分配。 例如，聲明在函數(shù)中一個(gè)局部變量 int b; 系統(tǒng)自動(dòng)在棧中為b開辟空間 
heap: 
需要程序員自己申請(qǐng)，并指明大小，在c中malloc函數(shù) 
如p1 = (char *)malloc(10); 
在C++中用new運(yùn)算符 
如p2 = (char *)malloc(10); 
但是注意p1、p2本身是在棧中的。 

2.2 
申請(qǐng)后系統(tǒng)的響應(yīng) 
棧：只要棧的剩余空間大于所申請(qǐng)空間，系統(tǒng)將為程序提供內(nèi)存，否則將報(bào)異常提示棧溢出。 
堆：首先應(yīng)該知道操作系統(tǒng)有一個(gè)記錄空閑內(nèi)存地址的鏈表，當(dāng)系統(tǒng)收到程序的申請(qǐng)時(shí)，會(huì)遍歷該鏈表，尋找第一個(gè)空間大于所申請(qǐng)空間的堆結(jié)點(diǎn)，然后將該結(jié)點(diǎn)從空閑結(jié)點(diǎn)鏈表中刪除，并將該結(jié)點(diǎn)的空間分配給程序，另外，對(duì)于大多數(shù)系統(tǒng)，會(huì)在這塊內(nèi)存空間中的首地址處記錄本次分配的大小，這樣，代碼中的delete語句才能正確的釋放本內(nèi)存空間。另外，由于找到的堆結(jié)點(diǎn)的大小不一定正好等于申請(qǐng)的大小，系統(tǒng)會(huì)自動(dòng)的將多余的那部分重新放入空閑鏈表中。 

2.3申請(qǐng)大小的限制 
棧：在Windows下,棧是向低地址擴(kuò)展的數(shù)據(jù)結(jié)構(gòu)，是一塊連續(xù)的內(nèi)存的區(qū)域。這句話的意思是棧頂?shù)牡刂泛蜅５淖畲笕萘渴窍到y(tǒng)預(yù)先規(guī)定好的，在WINDOWS下，棧的大小是2M（也有的說是1M，總之是一個(gè)編譯時(shí)就確定的常數(shù)），如果申請(qǐng)的空間超過棧的剩余空間時(shí)，將提示overflow。因此，能從棧獲得的空間較小。 
堆：堆是向高地址擴(kuò)展的數(shù)據(jù)結(jié)構(gòu)，是不連續(xù)的內(nèi)存區(qū)域。這是由于系統(tǒng)是用鏈表來存儲(chǔ)的空閑內(nèi)存地址的，自然是不連續(xù)的，而鏈表的遍歷方向是由低地址向高地址。堆的大小受限于計(jì)算機(jī)系統(tǒng)中有效的虛擬內(nèi)存。由此可見，堆獲得的空間比較靈活，也比較大。 

2.4申請(qǐng)效率的比較： 
棧由系統(tǒng)自動(dòng)分配，速度較快。但程序員是無法控制的。 
堆是由new分配的內(nèi)存，一般速度比較慢，而且容易產(chǎn)生內(nèi)存碎片,不過用起來最方便. 
另外，在WINDOWS下，最好的方式是用VirtualAlloc分配內(nèi)存，他不是在堆，也不是在棧是直接在進(jìn)程的地址空間中保留一快內(nèi)存，雖然用起來最不方便。但是速度快，也最靈活。 

2.5堆和棧中的存儲(chǔ)內(nèi)容 
棧： 在函數(shù)調(diào)用時(shí)，第一個(gè)進(jìn)棧的是主函數(shù)中后的下一條指令（函數(shù)調(diào)用語句的下一條可執(zhí)行語句）的地址，然后是函數(shù)的各個(gè)參數(shù)，在大多數(shù)的C編譯器中，參數(shù)是由右往左入棧的，然后是函數(shù)中的局部變量。注意靜態(tài)變量是不入棧的。 
當(dāng)本次函數(shù)調(diào)用結(jié)束后，局部變量先出棧，然后是參數(shù)，最后棧頂指針指向最開始存的地址，也就是主函數(shù)中的下一條指令，程序由該點(diǎn)繼續(xù)運(yùn)行。 
堆：一般是在堆的頭部用一個(gè)字節(jié)存放堆的大小。堆中的具體內(nèi)容有程序員安排。 

2.6存取效率的比較 

char s1[] = "aaaaaaaaaaaaaaa"; 
char *s2 = "bbbbbbbbbbbbbbbbb"; 
aaaaaaaaaaa是在運(yùn)行時(shí)刻賦值的； 
而bbbbbbbbbbb是在編譯時(shí)就確定的； 
但是，在以后的存取中，在棧上的數(shù)組比指針?biāo)赶虻淖址?例如堆)快。 
比如： 
#include 
void main() 
{ 
char a = 1; 
char c[] = "1234567890"; 
char *p ="1234567890"; 
a = c[1]; 
a = p[1]; 
return; 
} 
對(duì)應(yīng)的匯編代碼 
10: a = c[1]; 
00401067 8A 4D F1 mov cl,byte ptr [ebp-0Fh] 
0040106A 88 4D FC mov byte ptr [ebp-4],cl 
11: a = p[1]; 
0040106D 8B 55 EC mov edx,dword ptr [ebp-14h] 
00401070 8A 42 01 mov al,byte ptr [edx+1] 
00401073 88 45 FC mov byte ptr [ebp-4],al 
第一種在讀取時(shí)直接就把字符串中的元素讀到寄存器cl中，而第二種則要先把指針值讀到edx中，在根據(jù)edx讀取字符，顯然慢了。 

2.7小結(jié)： 
堆和棧的區(qū)別可以用如下的比喻來看出： 
使用棧就象我們?nèi)ワ堭^里吃飯，只管點(diǎn)菜（發(fā)出申請(qǐng)）、付錢、和吃（使用），吃飽了就走，不必理會(huì)切菜、洗菜等準(zhǔn)備工作和洗碗、刷鍋等掃尾工作，他的好處是快捷，但是自由度小。 
使用堆就象是自己動(dòng)手做喜歡吃的菜肴，比較麻煩，但是比較符合自己的口味，而且自由度大。