c&c++反汇编与逆向分析学习笔记(4)--启动函数和用户入口

时间:2023-02-11 23:10:25

VC++开发的程序,在调试时总是从main或WinMain函数开始,于是很多开发者误认为它们是程序的第一条指令执行处,这个认识其实是错误的。main或WinMain也是一个函数,也需要一个调用者。在它们别调用前,编译器其实已经做了很多事情,所以main或WinMain应该是“语法规定的用户入口”,而不是“应用程序入口”。在应用程序被操作系统加载时,操作系统会分析执行文件内的数据,分配相关资源,读取执行文件的代码到合适的内存单元,然后才是执行入口代码,入口代码其实并不是main或WinMain,通常是mainCRTStartup、wmainCRTStartup、WinMainCRTStartup或wWinMainCRTStartup,具体视编译器选项而定。其中mainCRTStartup和wmainCRTStartup是控制台环境下多字节编码和Unicode编码的启动函数,而WinMainCRTStartup和wWimMainCRTStartup则是Windows环境下多字节编码和Unicode编码的启动函数。在开发中,VC++也允许程序员字节指定入口。

下图是IDA自动分析出的启动函数mainCRTStartup

c&c++反汇编与逆向分析学习笔记(4)--启动函数和用户入口