开始的时候修改的是rdi寄存器，但是打印fd时仍然是12，直接修改压栈的位置为15，再次打印fd，此时的值为15.所以在打印fd时，相应的值是从栈上读取的。我们此时的断点的位置也是在将参数压栈之后的位置。fd对应的栈位置可以算出来，不过这里是根据前面的反汇编结果。
接下来尝试利用栈上的信息打印出我们的第二个参数，也就是"Hello,World!"字符串。我们知道C语言中字符串其实就是一段以空字符结尾的内存，通常使用其首地址来访问该字符串。我们这里的字符串的地址通过esi寄存器保存在栈上，位置就是$rbp-0x20，但是这个位置存储的是一个指针的地址，如果将其理解为指针，就是存储指针的指针，也就是二级指针，所以的打印的时候应该是这样：
(gdb) p *(char **)($rbp-0x20)
$6 = 0x400608"Hello,World!"
(gdb) p (char *)($rbp-0x20)
$7 = 0x7fffffffe3b0"\b\006@"
(gdb)
其实前面修改变量的方法显得很罗嗦也很繁琐，但是平时如果要对正在运行的程序进行变量的修改，使用gdb则很麻烦，也不够灵活，即使使用gdb脚本。做这种事情，当然是由强大的SystemTap来做，要方便的多。下面还以修改fd为例，来说明如何使用SystemTap脚本来修改。
脚本如下：
probe process("a.out").statement("func@m.c+1") {
printf("func1: %s\n", $$vars);
$fd = 15;
}
probe process("a.out").statement("func2") {
printf("edi = %d\n", register("edi"));
}
上面的a.out就是前面的C程序（保存到m.c文件）编译后生成的。
这个脚本的执行和输出如下：
[root@CentOS_190 ~]# stap -gu -c ./a.out mod_reg.stp
func1: fd=0xc ptr=0x400608 arg3=0x3 arg4=0x4 arg5=0x5 arg6=0x6 arg7=0x7 arg8=0x8 ret=0x0
edi = 15
[root@CentOS_190 ~]#
我们可以看到在第一个probe点process("a.out").statement(func@m.c+1)将fd设置为15，在第二个probe点通过edi寄存器看到函数func2()的第一个参数i的值为15，而不是12.
细心的同学可能发现在第一个probe点加上了相对函数的偏移，在第二个probe点中使用寄存器来查看参数的信息，而不是使用$i变量。我们通过下面的脚本来说明这个问题， 脚本如下：
probe process("a.out").statement("func") {
printf("func1: %s\n", $$vars);
printf("func1: edi = %d\n", register("edi"));
}
probe process("a.out").statement("func2") {
printf("func2: %s\n", $$vars);
printf("func2: edi = %d\n", register("edi"));
}
其输出结果如下：
[root@CentOS_190 ~]# stap -gu -c ./a.out test.stp
func1: fd=0x0 ptr=0x7fffa0a4bff8 arg3=0x0 arg4=0x40036b arg5=0x0 arg6=0x0 arg7=0x7 arg8=0x8 ret=0x0
func1: edi =12
func2: i=0x0 j=0x1 k=0x35
func2: edi =12
[root@CentOS_190 ~]#
如果没有加上函数的偏移，在probe点触发时，fd、ptr等参数的值还没有初始化，也就是寄存器中的值还没有压入栈中，所以此时直接使用fd等变量获取的值是未定义的，此时即使修改了fd等变量，在将寄存器压栈的时候也会被覆盖为原来的值。结合我们前面用gdb看到的汇编代码，这个地方理解起来就容易多了。
我们知道在SystemTap脚本中可以嵌入C代码，在嵌入的C代码中也可以使用内联汇编，但是在操作寄存器的时候要注意，在probe点触发时，程序运行时的寄存器会被保存到栈上，所以在probe的处理中修改寄存器时，修改的只是当前的寄存器，在probe点的处理完成后会恢复程序运行时的寄存器，具体细节参见内核文档kprobes.txt。
前面的脚本中不仅实现了修改变量的功能，在程序debug信息少的情况下，也可以选择一些信息动态输出，避免了修改程序及重新编译的重复操作。
再次向大家强烈推荐SystemTap！
