此时，edx的值变成了0x20000040：

那么这八个a拷贝到了哪里呢？值0x20000040代表的又是什么呢？

重新看看PoC：

这意味f变成了：

f通过扩展NUM_SPREAD_ARGS（8）第一个参数的副本和第二个参数的单个副本来创建数组。用对象a（80×04000008）和c（长度1）调用f。当NewArrayWithSpread被调用时，它为8个a和1个c腾出了空间。

最后一步到显示对象c的长度，这使得最终的edx值为0x20000041。