Как работает ключевое слово ref (с точки зрения памяти)

передача локальной переменной в качестве ссылки

на низком уровне, ссылочный локальный int переменная будет помещена в стек (большую часть времени целые числа хранятся в регистрах), а указатель на стек будет передан вызываемой функции (сам указатель, скорее всего, будет передан в регистре). Рассмотрим следующий пример:

var i = 7;
Console.WriteLine(i);
inc(ref i);
Console.WriteLine(i);

это будет JIT-et к чему-то вроде этого (целевая архитектура архитектуры x86):

    17:             var i = 7;
    # allocate space on the stack for args and i
00482E3B  sub         esp,8  
    # initialize i to 0
00482E3E  xor         eax,eax  
00482E40  mov         dword ptr [ebp-8],eax  
    # args saved to stack (could be optimised out)  
00482E43  mov         dword ptr [ebp-4],ecx  
00482E46  cmp         dword ptr ds:[3ACAECh],0  
00482E4D  je          00482E54  
00482E4F  call        7399CB2D  
    # i = 7
00482E54  mov         dword ptr [ebp-8],7  
    18:             Console.WriteLine(i);
    # load the value of i into ecx, and call cw
00482E5B  mov         ecx,dword ptr [ebp-8]  
00482E5E  call        72E729DC  
    19:             inc(ref i);
    # load the address of i into ecx, and call inc
00482E63  lea         ecx,[ebp-8]  
00482E66  call        dword ptr ds:[4920860h]  
    20:             Console.WriteLine(i);
    # load the value of i into ecx, and call cw
00482E6C  mov         ecx,dword ptr [ebp-8]  
00482E6F  call        72E729DC  
    21:         }
00482E74  nop  
00482E75  mov         esp,ebp  
00482E77  pop         ebp  
00482E78  ret  

передача элемента массива или элемента объекта в качестве ссылки

в значительной степени то же самое происходит здесь, адрес Поля или элемента получается, и указатель передается функции:

var i = new[]{7};
Console.WriteLine(i[0]);
inc(ref i[0]);
Console.WriteLine(i[0]);

Compiles to (без скучной части):

    18:             Console.WriteLine(i[0]);
00C82E91  mov         eax,dword ptr [ebp-8]  
00C82E94  cmp         dword ptr [eax+4],0  
00C82E98  ja          00C82E9F  
00C82E9A  call        7399BDC2  
00C82E9F  mov         ecx,dword ptr [eax+8]  
00C82EA2  call        72E729DC  
    19:             inc(ref i[0]);
    # loading the reference of the array to eax
00C82EA7  mov         eax,dword ptr [ebp-8]  
    # array boundary check is inlined
00C82EAA  cmp         dword ptr [eax+4],0  
00C82EAE  ja          00C82EB5  
    # this would throw an OutOfBoundsException, but skipped by ja
00C82EB0  call        7399BDC2  
    # load the address of the element in ecx, and call inc
00C82EB5  lea         ecx,[eax+8]  
00C82EB8  call        dword ptr ds:[4F80860h]  

обратите внимание, что массив не должен быть закреплен в этом случае, потому что фреймворк знает об адресе в ecx указывает элемент внутри массива, поэтому, если сжатие кучи происходит между lea и call или внутри функции inc, он может отрегулировать значение ecx напрямую.

вы можете исследовать сборку JIT-ed самостоятельно с помощью отладчика Visual Studio, открыв окно разборки (Debug/Windows / Разборка)