对Win32 API调用如何在程序集中工作的困惑

Question

我不知道如何更好地问这个，但为什么会这样：

call ExitProcess

做同样的事情吗？：

mov eax, ExitProcess
mov eax, [eax]
call eax

我认为这些是等价的：

call ExitProcess

mov eax, ExitProcess
call eax

Answer 1

从DLL导入代码时，符号ExitProcess实际上不是退出进程的代码的地址 （它是地址的地址 ）。 因此，在这种情况下，您必须取消引用它以获取实际的代码地址。

这意味着你必须使用：

call [ExitProcess]

打电话给它。

例如， 此位置的代码包含以下内容：

;; Note how we use 'AllocConsole' as if it was a variable. 'AllocConsole', to 
;; NASM, means the address of the AllocConsole "variable" ; but since the 
;; pointer to the AllocConsole() Win32 API function is stored in that 
;; variable, we need to call the address from that variable. 
;; So it's "call the code at the address: whatever's at the address
;; AllocConsole" . 
call [AllocConsole] 

---

但是，直接在用户代码中导入DLL并不是获取该功能的唯一方法。 我会解释为什么你会看到以下两种方式。

调用DLL函数的“正常”方法是将其标记为extern然后从DLL中import它：

extern ExitProcess
import ExitProcess kernel32.dll
:
call [ExitProcess]

因为它将符号设置为对代码的间接引用，所以需要间接调用它。

经过一番搜索，似乎有在使用的裸野代码：

call ExitProcess

据我所知，这一切似乎都使用alink链接器，它链接到win32.lib库文件。 这个库可能提供了用于调用实际 DLL代码的存根，例如：

import ExitProcessActual kernel32.dll ExitProcess
global ExitProcess

ExitProcess:
    jmp [ExitProcessActual]

在nasm ，这将从DLL导入ExitProcess的地址并将其命名为ExitProcessActual ，请记住该地址是对代码的间接引用，而不是代码本身的地址。

然后它将导出ExitProcess入口点（此LIB文件中的那个，而不是DLL中的那个），以便其他人可以使用它。

然后有人可以简单地写：

extern ExitProcess
:
call ExitProcess

退出进程 - 库将跳转到实际的DLL代码。

---

事实上，通过更多的研究，这正是正在发生的事情。 从alink.txt其自带的文件alink下载：

Win32的示例导入库包含在win32.lib 。 包括Kernel32 ， User32 ， GDI32 ， Shell32 ， ADVAPI32 ， version ， winmm ， lz32 ， commdlg和commctl中的所有命名导出。

使用：

alink -oPE file[.obj] win32.lib

包括它或指定

INCLUDELIB "win32"

在您的源文件中。

这包含一系列导入重定向条目 - call MessageBoxA ，它跳转到导入表中的[__imp_MessageBoxA] 。

因此，如果使用call [__imp_importName]而不是call importName则对导入的调用将运行得更快。

请参阅test.asm ，我的示例程序，它以两种方式调用消息框：

includelib "win32.lib"
extrn MessageBoxA:near
extrn __imp_MessageBoxA:dword

codeseg

start:
push 0 ; OK button
push offset title1
push offset string1
push 0
call MessageBoxA

push 0 ; OK button
push offset title1
push offset string2
push 0
call large [large __imp_MessageBoxA]

（ __imp_MessageBoxA是从DLL导入的符号，相当于我上面的ExitProcessActual ）。