C++ 中的逆向工程虚拟函数代码

Question

我刚刚在VS2010上编译了以下内容（优化关闭）。

class Shape {
  public:
    int x,y;
    Shape() {
      x=10;
      y=20;
    }

    virtual void function1() {
      cout<<"function1";
    }

    virtual void function2() {
      cout<<"function2";
    }
};

int main() {
    Shape *s = new Shape();
    s->function1();
    s->function2();    
    return 0;
}

反汇编没有显示与虚拟函数相对应的代码块或对其的任何调用，因此我假设这是由于使用 vftable 查找虚拟函数的方式造成的。我使用的是 IDA Pro，因此它可能无法解决此类问题。如果我错了，请纠正我。

对此我也有一些疑问。

1. 有什么方法可以在反汇编过程中像查看其他函数一样查看虚拟函数吗？我可以使用任何脚本（IDAPython）/方法吗？
2. 有什么方法可以列出可执行文件中的所有虚拟函数吗？
3. 建议阅读？

Answer 1

仅当对象的动态类型与其静态类型（指向派生类的基类指针）不同时，才会涉及虚拟调度。既然你甚至没有继承，也没有调用站点的确切类型，为什么要在 vtable 中进行查找呢？

Answer 2

由于您已经在类定义中定义了虚拟函数，因此我认为编译器可能会内联您的函数，因为它知道调用站点的确切类型。尝试将函数体移出类体。那么它们肯定会出现在反汇编中。我怀疑他们现在可能被链接器彻底剥夺了。

Answer 3

正如其他人所指出的：您没有任何继承，因此编译器通过消除虚拟分派来变得聪明。

建议阅读：Stroustrup 的《C++ 的设计与演化》。它不会解决您的所有问题，但会为您提供一个框架来帮助您回答这些问题或更有效地研究他们的答案。

Answer 4

我没有你的编译器，这高度依赖于编译器和选项。使用 g++ 4.5，使用默认选项（并在修复代码中的一些问题之后），我已将代码编译成程序集（g++ -S -o test.asm test.cpp），并且它确实显示通过虚拟调度机制的函数和调用（在 main 中，调用构造函数后，它提取 vptr，对其进行偏移并通过寄存器中的值进行调用）。

Shape::function2 的定义（注意 .weak 表示内联）

.globl __ZN5Shape9function2Ev
____.weak_definition __ZN5Shape9function2Ev
__ZN5Shape9function2Ev:
[...]

Shape::function1 的定义（同样，.weak 表示内联）

.globl __ZN5Shape9function1Ev
____.weak_definition __ZN5Shape9function1Ev
__ZN5Shape9function1Ev:
[...]

Shape 的 vtable 本身的定义：

.globl __ZTV5Shape
    .weak_definition __ZTV5Shape
    .section __DATA,__const_coal,coalesced
    .align 5
__ZTV5Shape:
    .quad   0
    .quad   __ZTI5Shape                # Ptr to type_info object
    .quad   __ZN5Shape9function1Ev     # vtable[0] is Shape::function1
    .quad   __ZN5Shape9function2Ev     # vtable[1] is Shape::function2

主函数的定义：

.globl _main
_main:
[...]
    movq    %rax, %rbx
    movq    %rbx, %rdi
    call    __ZN5ShapeC1Ev         # Call to constructor this will setup the vptr
    movq    %rbx, -24(%rbp)
    movq    -24(%rbp), %rax        # load **vptr into rax i.e. *vptr[0]: Shape::function1
    movq    (%rax), %rax
    movq    (%rax), %rax
    movq    -24(%rbp), %rdi
    call    *%rax                  # call it 

至于其他人所说的编译器可以完全省略虚拟调度或内联函数，那是真的。此版本的 g++ 不会针对该特定代码段执行此操作，而是通过删除指针（使用具有静态存储持续时间的 Shape）