如何解决Windows 10 入口点 x64
我最近写了一个小程序,它使用winapi简单地显示一个弹出对话框。我在 x64dbg 调试器中启动它,看看它是如何编译的,并学习了一些汇编知识。
我注意到的第一件事是主线程没有在我的代码的入口点开始执行:它开始在 ntdll.dll
中的某处执行。这段代码似乎在最终调用调用入口点的 kernel32
之前进行了几次函数调用。
在入口点,寄存器已经加载了一些值。我知道它们一定很重要,因为在调试器中将它们归零会导致我的程序崩溃。 rax
似乎加载了入口点,但我不确定其他人的值是做什么的。
那么所有代码在我的入口点之前到底做了什么,以及它加载到寄存器中的值是什么?
解决方法
Windows 进程执行在 NT 加载器中开始,这就是 ntdll.dll
/ kernel32.dll
中发生的事情。如果您想了解所有这些的详细信息,您应该查看 Windows Internals 书籍。
对于 Visual C++ 程序,进程的“入口点”是 mainCRTstartup
,它位于 Visual C/C++ 运行时内。它初始化 CRT,处理全局初始化,然后分派到 main
、wmain
、WinMain
等。
CRT 的源代码可以在 Visual Studio 安装中找到:C:\Program Files (x86)\Microsoft Visual Studio\201?\<edition>\VC\ools\MSVC\<msvctoolset>\crt\src\vcruntime
。注意这个函数实际上不带任何参数。
只定义了一个名为 __fastcall
的 x64“ABI”,它记录在 Microsoft Docs 上。根据这个定义:RCX
、RDX
、R8
和 R9
是函数的前四个参数(除非它是一个浮点数/双精度数,它不会是入口点)。 RAX
、RCX
、RDX
、R8
、R9
、R10
、R11
都是易变的,{{1}是返回值。因为这个函数不接受任何参数,所以它不关心任何这些寄存器的值是什么。任何其他寄存器如果被归零,都会导致问题——详情参见this page。
Visual C++ 也有一个 RAX
,但这仅用于内部 SIMD 过程调用,而不用于跨进程或系统调用。见Microsoft Docs
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。