从源代码看.net下exe的加载过程.pdf

这里的源代码自然不是指.net Framework的源码，不过微软公开了一个代号为rotor的open source cli的源码，你可以把它看为轻量级的.net framework。最关键的是，它俩的运行机理大致相同。 今天，我们就从rotor的源码中看看做为程序调试最基本的exe 文件的动态加载。同样，先给出 参考文献，免得有人说我抄袭。《inside the rotorcli》，另一本是《shared source cli》，只不过网上 搞不到。当然，还要从MSDN的网站下载sscli2.0压缩包。 和win32下一样，系统会提供一个loader将exe 读入，sscli 中提供了另一个loader的例子： clix.exe。我们暂且把它看为系统默认的loader，来看源码（clix.cpp），注意红色的代码 代码: DWORDLaunch(WCHAR* pFileName, WCHAR* pCmdLine) { WCHARexeFileName[MAX_PATH+1]; DWORD dwAttrs; DWORD dwError; DWORD nExitCode; ... //这里进行一系列文件的属性检查 ... if(dwError!= ERROR_SUCCESS) { //We cantfind the file,ortheres someotherproblem. Exitwithan error. fwprintf(stderr,L%s:, pFileName); DisplayMessageFromSystem(dwError); return1; //error } nExitCode=_CorExeMain2(NULL, 0,pFileName, NULL, pCmdLine); //_CorExeMain2 never returnswithsuccess _ASSERTE(nExitCode != 0); DisplayMessageFromSystem(::GetLastError()); returnnExitCode; } 这里我们看到了著名的CorExeMain，还记得用PE编辑文件打开.netPE文件，只引入了一个 函数吗？mscoree.dll!_CorExeMain。奇怪，怎么不是_CorExeMain2呢？这只是rotor和商业版的 framework的一点区别而已。你可以用IDApro 逆一下mscoree.dll，就可以看到_CorExeMain()只 不过是一个中转，代码如下代码: .text:79011B47 push offseta_corexemain ; _CorExeMain .text:79011B4C push [ebp+hModule] ; hModule .text:79011B4F call ds:__imp__GetProcAddress@8 ; GetProcAddress(x,x) .text:79011B55 test eax, eax .text:79011B57 jz loc_79019B46 .text:79011B5D call eax 进入后马上就调用了 mscorwks.dll 的_CorExeMain。而这个函数和 rotor 中刚才提到的 _CorExeMain2提供的功能差不多，就开始exe 载入的初始化了。这些都可以从反汇编代码与源 代码比较看出来。继续回到sscli中，来看_CorExeMain2()的代码（ceemain.cpp） 代码: __int32STDMETHODCALLTYPE _CorExeMain2(//Executable exitcode. PBYTE pUnmappedPE, //-memory mapped code DWORD cUnmappedPE, //Size ofmemory mapp