今天突发奇想,如何解析类的虚函数表,获取其中的内容?
我们都知道,当存在虚函数时,编译器会为类生成一个虚函数表vtbl (virtual table),并在类对象中存放一个指向vtbl的指针vptr (virtual pointer)。
所以只要找到对象的vptr,就能顺藤摸瓜找到类的vtbl,然后可以读出vtbl中的内容。
那vptr在对象的什么地方?
C++标准没有规定vptr存储的位置,不过C++编译器一般将vptr存放在对象内存布局的起始处,之所以这么做,应该是为了快速索引到vptr。
通过vptr找到vtbl后,可以利用符号信息解析其中的内容。
我们定义VTableParser用于解析vtbl:
#include <iostream>
#include <string>
using namespace std;
#include <Windows.h>
#include <Dbghelp.h>
#pragma comment(lib, "Dbghelp")
class VTableParser
{
public:
explicit VTableParser(void* ptr)
: _vtbl(reinterpret_cast<DWORD**>(ptr))
{
}
void parse()
{
_initializeSymbols();
DWORD index = 0;
DWORD funcAddr = (*_vtbl)[index];
while (funcAddr)
{
wcout << funcAddr << L" - " << _getSymbolNameFromAddr(funcAddr) << endl;
funcAddr = (*_vtbl)[++index];
}
}
private:
void _initializeSymbols()
{
DWORD options = ::SymGetOptions();
options |= SYMOPT_DEBUG;
options |= SYMOPT_UNDNAME;
::SymSetOptions(options);
::SymInitialize(::GetCurrentProcess(), NULL, TRUE);
}
wstring _getSymbolNameFromAddr(DWORD addr)
{
DWORD64 displacement = 0;
SYMBOL_INFO_PACKAGEW sip = { 0 };
sip.si.SizeOfStruct = sizeof(SYMBOL_INFO);
sip.si.MaxNameLen = ARRAYSIZE(sip.name);
::SymFromAddrW(::GetCurrentProcess(),
addr,
&displacement,
&sip.si);
return wstring(sip.si.Name, sip.si.NameLen);
}
private:
DWORD **_vtbl;
};
假设有以下类Base和Derived:
class Base
{
public:
virtual void foo() { }
virtual int bar() { return 1; }
};
class Derived : public Base
{
public:
void foo() override { }
int bar() override { return 2; }
};
使用VTableParser:
Base* d = new Derived;
VTableParser(static_cast<void*>(d)).parse();
debug版本输出:
10883217 - ILT+140(?fooDerivedUAEXXZ)
10884367 - ILT+1290(?barDerivedUAEHXZ)
"-"前面的是函数地址(十进制),而后面的则是函数名称(经过C++ name mangling后的名称)。
函数名称的ILT是个啥东东?
ILT表示Incremental Link Table,增量链接表。后续的数字表示函数在表中的哪个slot。比如ILT + 140,则函数在表中编号为140的slot中。
那……增量链接表,或者说增量链接又是啥东东呀?
在链接阶段,链接器将.obj文件以及依赖的.lib文件整合到一起,生成最终的二进制文件(exe,dll,...)
随后当某个模块被改动时,如果整个链接过程重新执行一遍,则非常消耗时间和资源(C++大型项目的编译链接速度和吃资源程度真的可怕,狗头)。
而当启用增量链接时,则不需要整个链接过程从头执行。比如链接器会使用ILT记录函数的地址,对函数的调用经由ILT跳转。当函数因代码改动而变更地址时,不需要在每个函数调用处都进行更新,只需要更新ILT就行了。
当然,启用增量链接后,生成的二进制文件体积会更大,运行效率会变低,所以可以在debug版本启用增量链接,而在release版本禁用。
我们试试关闭增量链接:
运行重新build的程序,程序输出结果为:
1135376 - Derived::foo
1133456 - Derived::bar
欢迎关注微信公众号【CPP笔记】