C++入口不是main？知乎上打起来了！

- 日理万妓 2022-09-16 03:54 150阅读 0赞

*出处：编程技术宇宙（ID：xuanyuancoding）*

知乎上居然有人为了C++的入口函数到底是什么打了起来！

![dd8f1adf0fff89cc52c33d649ed72000.png][]

至于打的有多激烈我就不知道了，我们来关注这个问题本身。

你说main函数是入口，那main是被谁调用的呢？

他说mainCRTStartup是入口，那mainCRTStartup又是被谁调用的呢？

## 从进程创建说起 ##

一切的一切，让我们从创建进程开始说起。

进程创建完成后，接着会创建主线程，这是进程中第一个开始执行代码的线程。

主线程创建后，就得到了时间片，开始参与系统的线程调度，那么程序从哪里开始执行呢？

在Windows平台，C++代码编译后的可执行文件叫PE文件。

PE文件中有一个叫**OEP**的术语便是指的程序入口点。所谓入口点顾名思义就是主线程最开始执行的地方，许多病毒加壳技术其中一点就是对这个OEP进行处理。

现在，我们来使用工具PEID来看一个程序（VC8.0编译）的OEP如图：

![d7cbffcddca40252e3958e2ee3cf548d.png][]

0x00011078乃是RVA（相对虚拟地址），要看在进程地址空间中真正的起始地址，还得加上PE文件的映射基址，默认为0x00400000，不过，可以通过编译器选项进行调整。不知道也没关系，将程序放入OllyDbg，在内存映射中可以看到程序的映射基址：

![3d985a6f8f658adcdee4ac47cdda6045.png][]

由图看到映射基址是0x00400000。

那么由前面所述，程序执行的第一条指令应该位于0x00400000 + 0x00011078 = 0x00411078。

没错，就是这样。

切换到OllyDbg的主窗口，我们发现了，程序确实初始停在了这里，并且这里是一条jmp指令。

![81d66b8f98f93e584fd01c001d8d0081.png][]

我们到Jmp的目的地0x00411800去看看那里是什么东东？

![edfa7cb9e87c58741fecc28b428ba70a.png][]

这是什么东西？先卖个关子，总之，这里是程序进来之后真正做的第一件事。

## main函数被谁调用？ ##

换个思路，我们打开VS2008写一个简单的程序，程序做什么并不重要，我们要看它的启动原理。

![26fd86ad6fef63545fe46653b16eaaa5.png][]

注意看调用堆栈窗口，因为我是使用UNICODE编码环境，故\_tmain()就是wmain()，如果是ANSI编码就是最开始学程序时的main()函数了。

以前写程序就想过一个问题，我们写的所有函数都会被我们自己直接或间接调用，但有一个函数例外，那就是main()函数。我们写了它但从不会去调用它，事实上也不可能去调用它。

从调用堆栈看到，我们的wmain函数是被\_tmainCRTStartup函数调用的，这是个什么东西？再往前推是wmainCRTStartup调用的\_tmainCRTStartup。这两个函数是做什么的，他们之间有什么关系？

双击调用堆栈里的项即可转到对应的源代码，我们可以发现，这两个函数是在crtexe.c文件中实现的。阅读源码可以发现，有四个启动函数分别是：

>  *  mainCRTStartup() ANSI + 控制台程序
>  *  wmainCRTStartup() UNICODE + 控制台程序
>  *  WinMainCRTStartup() ANSI + GUI程序
>  *  wWinMainCRTStartup() UNICODE + GUI程序

这一点在《windows核心编程》中也有提到。不过我们可以更进一步一窥它们的实现代码：

![a04cb2e08c636656fdcbe6400cd6f85a.png][]

就这么简单，先调用了\_\_security\_init\_cookie()，然后是我们前面看到的\_tmainCRTStartup()。

第一个函数是做什么的呢？这个是微软在VS2003后引入的防止缓冲区溢出攻击的技术。简单的说就是在调用函数的时候在栈里安装一个随机的cookie值，这一cookie值在内存的一个地方有备份，函数调用完成后需要检测这个cookie和备份的一不一致，以此来判断有没有栈溢出发生。那么，这个函数就是来初始化这个备份区域的数据的。

然后第二个函数调用\_initterm()进行全局变量、对象初始化。之后，我们可以看到才是真正调用了我们的main()/wmain()/WinMain()/wWinMain()的地方。饶了一大圈，回答了开始的疑问了。

![888e798bce1e29765902f4dd56c94446.png][]

这两个函数是编译器在生成可执行文件的时候给我们链接进来的。

至此，我们来看看第一个函数wmainCRTStartup的汇编代码。如图：

![846517425a38edd2d1a19961d60a1096.png][]

请注意和我们前面使用OllyDbg调试时的图对比：

![e0df102ebed72919152880f05935a5b8.png][]

发现没有？一样的！我们之前留的那个问题的答案想必已经出来了：

程序一进来从OEP处执行了jmp指令，这条指令转向了wmainCRTStartup开始了程序真正的起点！

## 结论 ##

编译生成的exe文件，双击运行后，建立新进程的地址空间，然后主线程开始运行。

程序一进来通过jmp指令来到前面列出的四个启动函数，它们再调用最终的启动器\_tmainCRTStartup。

这个启动器干了几件大事，分别是，使用GetStartupInfo获取进程启动信息，然后使用\_inititem初始化全局变量和对象，最后调用我们main、wmain、WinMain、wWinMain进入我们的程序。。。

所以，从编程语言的角度来说，**main函数就是入口函数，这一点毋庸置疑**。至于mainCRTStartup，则是VC++这个编译器额外增加的包含C/C++运行时库初始化操作在内的封装函数，可以算可执行文件的入口函数。

> 说明：这里谈到的是使用VC2008编译器生成的exe文件形态（不同的VC版本可能情况有所不同），至于Linux上的ELF文件，情况则更不一样。

**最后给大家留一个思考题：**

**进程创建后，又是从哪里进入到OEP的呢？**

前面我们说了，OEP是程序运行的入口，是一切的起点。那在进入入口之前，进程又在干什么？

这个问题有点类似于：在宇宙大爆炸之前，世界是怎么样的？

欢迎大家留言交流，告诉我你的想法！

![2c7cfe87cc2b54a269d82c808c15c2c7.gif][]

[dd8f1adf0fff89cc52c33d649ed72000.png]: /images/20220828/b764d93674aa4d3d97db4b78bbbe508b.png
[d7cbffcddca40252e3958e2ee3cf548d.png]: /images/20220828/b56dcd8643bf481a9d6082603ad215f3.png
[3d985a6f8f658adcdee4ac47cdda6045.png]: /images/20220828/83b6fd985b18471884f58512b0c35619.png
[81d66b8f98f93e584fd01c001d8d0081.png]: /images/20220828/cab0fa8c59da4b02a991fcfc9a28efdf.png
[edfa7cb9e87c58741fecc28b428ba70a.png]: /images/20220828/f29919a7e4ea4339978957179e62d2f2.png
[26fd86ad6fef63545fe46653b16eaaa5.png]: /images/20220828/6c2b937eeaf54bd5884d1e037a375a5a.png
[a04cb2e08c636656fdcbe6400cd6f85a.png]: /images/20220828/3e9bf95d91fd43949d8c0b99947eb7c9.png
[888e798bce1e29765902f4dd56c94446.png]: /images/20220828/afb765a296dc43baa688210408f7c053.png
[846517425a38edd2d1a19961d60a1096.png]: /images/20220828/995b1d3c17e7474fbe839f7cf94d389c.png
[e0df102ebed72919152880f05935a5b8.png]: /images/20220828/85c7409a028441f88e21bb68595b543d.png
[2c7cfe87cc2b54a269d82c808c15c2c7.gif]: /images/20220828/295e392ec6694d0e8fbb013504fb38cf.png