ATL Windowing中的汇编：_stdcallthunk分析

水深无声 2022-08-07 06:42 134阅读 0赞

1. 指令指针寄存器与正在执行指令指针关系：

I: CPU正在执行指令；

xIP: CPU指令指针寄存器内容；

xIP(I): CPU正在执行的指令I的指针；

LEN(I): 指令I的长度。

1）顺序执行：xIP = xIP(I) + LEN(I);

2）相对跳转：xIP = xIP(I) + LEN(I) + REL\_DISPLACEMENT\_CONST;

3）绝对跳转：xIP = Target\_CONST;

2. ATL:: \_stdcallthunk 代码片断（节选自atlstdthunk.h）

struct \_stdcallthunk

DWORD m\_mov; // mov dword ptr \[esp+0x4\], pThis (esp+0x4 is hWnd)

DWORD m\_this; //

BYTE m\_jmp; // jmp WndProc

DWORD m\_relproc; // relative jmp

BOOL Init(DWORD\_PTR proc, void\* pThis)

m\_mov = 0x042444C7; //C7 44 24 0C

m\_this = PtrToUlong(pThis);

m\_jmp = 0xe9;

m\_relproc = DWORD((INT\_PTR)proc - ((INT\_PTR)this+sizeof(\_stdcallthunk)));

// write block from data cache and

// flush from instruction cache

FlushInstructionCache(GetCurrentProcess(), this, sizeof(\_stdcallthunk));

return TRUE;

//some thunks will dynamically allocate the memory for the code

void\* GetCodeAddress()

return this;

// code ignored ……

\};

3. 数据作为代码运行

实际使用时，\_stdcallthunk结构作为代码使用。经过Init（）后，被解释为以下两条指令(X86机器)：

Mov dword ptr\[esp+4\], pThis\_CONST;

Jmp REL\_DISPLACEMENT\_CONST;

其中 pThis\_CONST是CWindowXXX的指针；

REL\_DISPLACEMENT\_CONST是跳转到实际WndProc的相对偏移量。那为什么 REL\_DISPLACEMENT\_CONST是 “\_relproc = DWORD((INT\_PTR)proc - ((INT\_PTR)this+sizeof(\_stdcallthunk))); ”呢？稍候解释。

下面是一个可能的伪码例子：

WNDPROC pWndProc = (WNDPROC)( \_stdcallthunkOBJ. GetCodeAddress() );

SetWindowLongPtr( hwnd, GWLP\_WNDPROC, pWndProc);

4. 两条指令的解释

当WndProc被调用时，程序堆栈如下：(地址约定：高地址在上，低地址在下)

LPARAM

WPARAM

UINT

HWND ß esp+4

RetAddr( from WNdProc) ß esp

所以当第一条指令Mov dword ptr\[esp+4\], pThis\_CONST 执行后，程序堆栈如下：

LPARAM

WPARAM

UINT

pThis\_CONST ß esp+4

RetAddr( from WNdProc) ß esp

当第二条指令Jmp REL\_DISPLACEMENT\_CONST 执行时，xIP和xIP（I）的关系如下(重复地址约定：高地址在上，低地址在下)：

Others …. ß\_stdcallthunk结构的基址+\_stdcallthunk结构大小

Jmp ….. (第二条指令) ß xIP（I）

Mov ….. (第一条指令) ß\_stdcallthunk结构的基址

由于xIP = xIP(I) + LEN(I) + REL\_DISPLACEMENT\_CONST;

显然 xIP(I) + LEN(I) = \_stdcallthunk结构的基址+\_stdcallthunk结构大小；

又因为 REL\_DISPLACEMENT\_CONST = \_relproc = DWORD((INT\_PTR)proc - (\_stdcallthunk结构的基址+\_stdcallthunk结构大小)；

所以 xIP = xIP(I) + LEN(I) + REL\_DISPLACEMENT\_CONST

= （\_stdcallthunk结构的基址+\_stdcallthunk结构大小）+ （DWORD((INT\_PTR)proc - (\_stdcallthunk结构的基址+\_stdcallthunk结构大小)）

= proc；

既下一条将要执行的指令是实际WndProc的首条指令。

如果使用绝对寻址，要好理解的多，可能是基于性能考虑，使用相对寻址。X64使用寄存器绝对寻址（rcx rax），好理解一些，但显然须符合调用约定。

5.总结

1) 数据被解释为代码；

2) 相对跳转正好跳到实际WndProc。

本文来自CSDN博客，转载请标明出处：[http://blog.csdn.net/benny5609/archive/2008/06/30/2597419.aspx][http_blog.csdn.net_benny5609_archive_2008_06_30_2597419.aspx]

[http_blog.csdn.net_benny5609_archive_2008_06_30_2597419.aspx]: http://blog.csdn.net/benny5609/archive/2008/06/30/2597419.aspx

ATL Windowing中的汇编：_stdcallthunk分析

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关实战分析smali汇编代码

相关 CRT、Windows API、C/C++标准库、 ATL

相关 MFC、ATL窗口消息封装机制对比分析

相关 ATL Windowing中的汇编：_stdcallthunk分析

相关汇编中的跳转

相关反汇编深入分析函数调用

相关 ATL与COM之间的关系、ATL的特点与基本使用方法

相关用ATL创建COM组件（详细分析了ATL创建的各种文件的意义，看完之后ATL就入门了）

相关 ATL中的trunk

相关 C代码+汇编 C的for汇编学习分析