Win32程序入口

我们都知道用C/C++语言写一个程序，首先会写一个main函数。同样的在windows平台写一个win32应用程序，同样有一个"main"函数作为入口。win32的main函数如下:

int WINAPI WinMain( HINSTANCE hInstance,
    HINSTANCE hPrevInstance,
    LPSTR lpCmdLine,
    int nCmdShow
);

The WinMain function is the conventional name for the user-provided entry point for a Microsoft Windows-based application.

参数说明:

#define WINAPI __stdcall
#define APIENTRY __stdcall
#define APIENTRY    WINAPI

WINAPI是个宏也是一种调用约定，也写做APIENTRY，都是同一种压栈方式即__stdcall并且是函数内部平衡栈。__stdcall修饰的函数，其参数都是从右向左通过堆栈传递，函数调用在返回前要由被调用函数平衡栈。类似的调用约定还有fastcall,cdecl等等。这个不是此次学习记录的重点。

第一个参数：

HINSTANCE hInstance；

Handle to the current instance of the application.

当前应用的句柄，实际也是当前应用程序在内存(4GB空间)运行时的偏移，即应用程序的ImageBase。这个参数非常重要，就是我们逆向寻找其入口函数的标识。

第二个参数：

 HINSTANCE hPrevInstance,

Handle to the previous instance of the application. This parameter is always NULL.

这个参数不是很重要，通常为NULL,但可以用来设计只能运行一个实例的应用程序。即互斥锁。在后面的学习记录会写这个。

第三个参数

LPSTR lpCmdLine；

Pointer to a null-terminated string specifying the command line for the application, excluding the program name. To retrieve the entire command line, use the GetCommandLine function.

命令行参数，即通过命令行向应用程序传参数，并且不传递程序名称。和C语言main函数参数很类似。

int main(int argc,char *argv,char* envp[]);
//argc 代表参数个数，第一个为应用程序名称，第二个才是参数
//argv 被传递的参数

第四个参数

int nCmdShow；

Specifies how the window is to be shown. This parameter can be one of the following values.

窗口的显示方式，比如SW_SHOWNORMAL(正常显示)和SW_HIDE(隐藏)等等，详见MSDN

在反汇编中定位入口

上面说了很多，下面我们就在OD中寻找入口点。

首先我们用OD打开自己写的win32应用程序:

OD停到OEP(函数入口点)

然后我们向下滑:

看到了push了四个参数，和我们的WinMain的参数一样但是不是哪?我们在上文了解到winmain的对一个参数是个句柄，即应用程序的ImageBase。而箭头所指的函数GetModuleHoduleA就是获取应用程序或dll的句柄。当传入参数为NULL时，返回当前应用进程的句柄。

HMODULE WINAPI GetModuleHandle(
  __in_opt  LPCTSTR lpModuleName
);

If this parameter is NULL, GetModuleHandle returns a handle to the file used to create the calling process (.exe file).

感觉和winmain很相近了，但是还要判断以下是否有寄存器传参数。所以我们需要进入函数看看是否使用了有直接调用的寄存器。如果函数领空内直接从寄存器里取值，并且没有找到对该寄存器的命令，就可以认为是寄存器传参数。

选中call这行，点击Enter，进入函数领空:

在函数领空内，并没有找到直接取寄存器的操作，并且在领空结束处可以看到ret 0x10。所以可以得出只有四个参数。所以call后面的地址就是WinMian函数。

在反汇编中判断函数是否WinMain的条件:

1.四个参数

2.参数从右向左压栈，且是函数内部平衡栈

3.第一个参数为该应用程序的句柄，即应用程序的ImageBase