var obj = {
'1':'a',
'2':'b',
'length':'2',
push:Array.prototype.push
};
obj.push('c');
push 方法把值添加到数组中。
push 方法有意具有通用性。该方法和 call() 或 apply() 一起使用时，可应用在类似数组的对象上。push 方法根据 length 属性来决定从哪里开始插入给定的值。如果 length 不能被转成一个数值，则插入的元素索引为 0，包括 length 不存在时（上面代码去掉“'length':'2',”时，obj的length属性会被创建并被赋值为1，obj[0]为push进去的c,r若再obj.push('g');则length为2，obj[0]=‘c’,obj[1]='g',obj[2]='b',obj[3]='undefined',再push一个，则obj[2]的值会被覆盖，obj[3]='undefined',）。当 length 不存在时，将会创建它。
唯一的原生类数组（array-like）对象是 Strings，尽管如此，它们并不适用该方法，因为字符串是不可改变的。
当调用该方法时，新的 length 属性值将被返回。
所以说，push会根据对象length属性的值去确定插入的位置，即this[i+n] = %_Arguments(i)。
所以在原题中obj.length值为2，调用obj.push("c")时，会发生obj[2]="c"的情况，所以最后 obj[2]就变成了'c'，而不是原来的'b'。
当然了，push方法最后会根据传入的参数个数多少，即arguments.length来返回new_length，并赋值给obj.length。