var obj = {
    '1':'a',
    '2':'b',
    'length':2,
    push:Array.prototype.push
}
obj.push('c');

浏览器执行以上脚本后，说法正确的是：
【A】obj 的 length 属性会变为 3;
【B】obj 的 length 属性不会变;
【C】obj3 的值是 c;
【D】obj1 和 2 的值不会发生变化;
【E】obj2 的值是 c;
【F】obj3 的值是 undefined;

选 A、E、F

push 方法把值添加到数组中。
push 方法有意具有通用性。该方法和 call() 或 apply() 一起使用时，可应用在类似数组的对象上。push 方法根据 length 属性来决定从哪里开始插入给定的值。如果 length 不能被转成一个数值，则插入的元素索引为 0，包括 length 不存在时。当 length 不存在时，将会创建它。
唯一的原生类数组（array-like）对象是 Strings，尽管如此，它们并不适用该方法，因为字符串是不可改变的。
当调用该方法时，新的 length 属性值将被返回。

所以说，push会根据对象length属性的值去确定插入的位置，即this[i+n] = %_Arguments(i)。
所以在原题中obj.length值为2，调用obj.push("c")时，会发生obj[2]="c"的情况，所以最后 obj[2]就变成了'c'，而不是原来的'b'。
当然了，push方法最后会根据传入的参数个数多少，即arguments.length来返回new_length，并赋值给obj.length。