進程切換的本質是什么？
大家好，我是島主小風哥，今天簡單聊聊進程切換。
我們都知道操作系統最重要的功能之一是多任務能力，也就是可以運行超過CPU數量的程序——即進程，要想實現這一功能就必須具備將有限的CPU資源在多個進程之間分配的能力，在程序員看來，我們的程序在一直運行，而在CPU看來程序其實在“走走停停”，程序的一走一停就涉及到進程切換，那么進程切換的本質是什么呢？
從本質上講，函數調用和進程切換是非常類似的，有的同學可能會有疑問，這怎么可能呢？別著急，看完這篇你就明白啦。
函數調用
我們先來看一下函數調用，函數調用是這樣的，A函數調用B函數，當B函數執行完成時會跳轉回A函數（此時A函數和B函數位于同一個進程）：
void B() {
...
}
void A() {
...
}這個過程是這樣的：
圖片
B函數執行完成后會將控制權轉給A，所謂控制權是指告訴CPU繼續執行函數A。
but，你有沒有想過，A函數調用B函數，B函數執行完成時一定要跳轉回A函數嗎？不一定的，既然B函數可以將控制權轉給A那么就能將控制權轉給函數C。
聽上去很神奇有沒有，A函數調用B函數，當B函數執行完成時竟然可以跳轉到C函數，可這該怎樣做到呢？讓我們來看一段神奇的代碼。
一段神奇的代碼
有這樣一段代碼：
#include <stdio.h>
#include <stdlib.h>
void funcC() {
printf("jump to funcC !!!\n") ;
exit(-1) ;
}
void funcB() {
long *p = NULL ;
p = (long*)&p ;
*(p+2) = (long)funcC ;
}
void funcA() {
funcB();
}
int main() {
funcA() ;
return 0 ;
}想一想這段代碼運行后會輸出什么？
有的同學可能會說main函數調用了funcA，funcA函數調用了funcB，funcB函數看上就是一堆賦值，執行完成后返回了funcA，funcA又返回main函數，因此執行完畢后什么都不會輸出。
真的是這樣的嗎？讓我們編譯運行一下(小風哥使用的是5.2.0版gcc，64位機器，未開啟編譯優化，不同編譯器版本運行效果可能不同)。
$ ./a.out
jump to funcC !!!有的同學也許會大吃一驚，這怎么可能！！！
這段明明沒有調用funcC，可為什么funcC函數卻運行了？
程序員經常說“代碼之中沒有秘密”，這句話不全對，應該是“機器指令中沒有秘密”，后來我想了想，這句話也不全對，因為對我們來說CPU是如何執行機器指令這回事其實對我們來說是黑盒的，我們只能從大體的原理來說CPU是怎樣執行一條機器指令的，但這里真正的細節只有處理器生產商比如intel/AMD等知道，而一些魔鬼恰恰就在這些細節中。
魔鬼在細節
扯遠了，讓我們回到這篇文章的主題，先來看看生成的機器指令是什么樣的：
0000000000400586 <funcC>:
400586: 55 push %rbp
400587: 48 89 e5 mov %rsp,%rbp
40058a: bf 74 06 40 00 mov $0x400674,%edi
40058f: e8 bc fe ff ff callq 400450 <puts@plt>
400594: bf ff ff ff ff mov $0xffffffff,%edi
400599: e8 e2 fe ff ff callq 400480 <exit@plt>
000000000040059e <funcB>:
40059e: 55 push %rbp
40059f: 48 89 e5 mov %rsp,%rbp
4005a2: 48 c7 45 f8 00 00 00 movq $0x0,-0x8(%rbp)
4005a9: 00
4005aa: 48 8d 45 f8 lea -0x8(%rbp),%rax
4005ae: 48 89 45 f8 mov %rax,-0x8(%rbp)
4005b2: 48 8b 45 f8 mov -0x8(%rbp),%rax
4005b6: 48 83 c0 10 add $0x10,%rax
4005ba: ba 86 05 40 00 mov $0x400586,%edx
4005bf: 48 89 10 mov %rdx,(%rax)
4005c2: 90 nop
4005c3: 5d pop %rbp
4005c4: c3 retq這些指令在說什么呢？
我們先來看普通的函數調用：
圖片
當函數B執行完畢后此時的棧幀為：
圖片
函數B的最后一條機器指令通常為：ret，這條指令的目的是將當前棧頂的內容彈出到%rip寄存器中，CPU會根據rip中的值從內存中取出指令并執行，顯然ret指令會將之前保存的返回地址放入rip寄存器中，這樣CPU就可以繼續執行A函數中的后續代碼了，也就是++a這行代碼。
有的同學可能已經看出來，如果我們有辦法修改A棧幀上的返回地址不就能實現“指哪打哪”了嗎？
實際上代碼中“*(p+2) = (long)funcC ;”這行會將本來指向funcB的返回地址修改為指向funcC，即：
圖片
這樣當funcB函數運行完成后會直接跳轉到funcC函數，從而實現可控的執行流切換，進程切換的本質與此別無二致，只不過進程切換需要連帶著把棧也切換過去(以及地址空間)，同時還會保存被切換進程的上下文。
有的同學可能已經看出來了，上述過程叫做緩沖區溢出攻擊，要實現的目的和進程切換一樣：實現控制權的轉移，只不過緩沖區溢出攻擊是非法的，不符合預期的(符合黑客的預期，但不符合操作系統設計者制定的游戲規則)，而進程切換是合法的，符合預期的(符合操作系統設計者的預期)。
