热补丁:为什么Windows API都以无意义的 mov edi,edi 开头?

为什么Windows函数都以无意义的MOVEDI、EDI指令开始?

我们参考Windows 的反汇编,返现函数的开始都是以mov edi,edi,它看似毫无意义(该指令将寄存器复制到自己,并没有更新标志;这是完全没有意义的。)

原因是:这是故意设计的热补丁(hot-patching)。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Dmx8OgZ8-1634567009041)(C:\Users\11073\AppData\Roaming\Typora\typora-user-images\image-20211018222149455.png)]

热补丁

这个MOV EDI, EDI指令是两个字节。NOP,这仅够在跳转指令中进行修补,以便可以动态更新函数,即运行时修改一个函数的行为。

修改过程如下:

把MOV EDI, EDI修改为一条短跳转指令(一条短跳转指令恰好两个字节),把MOV EDI, EDI上面的五个NOP修改为一条长跳转指令(一条长跳转指令恰好五个字节),短跳转指令跳到长跳转指令上,长跳转指令跳到修改后的函数体上。

为什么不直接以俩个 nop 指令作为无意义的入口指示?

答案是:为了提高效率。执行一条MOV指令比执行两条NOP指令花费更少的时间。

因为nop指令消耗一个时钟周期和一个管道。

因此其中的两个将消耗两个时钟周期和两个管道。(指令可能是成对的,每个管道中有一个,所以合并执行需要一个时钟周期。)

另一方面,MOV EDI, EDI指令消耗一个时钟周期和一个管道。(实际上,指令将占用一个管道,另一个管道可以并行执行另一条指令。您可以说指令在半个周期内执行。)无论您计算它,MOV EDI, EDI指令在两次执行的一半时间内执行。

参考资料

https://devblogs.microsoft.com/oldnewthing/20110921-00/?p=9583

  • 4
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值