Windbg之探索托管exe加载及函数JIT的过程

类似的文章网上已经汗牛充栋了，但作为个人的一个学习经历，我觉得还是有必要记录一下为好。

使用到的工具: Peview windbg

目标程序 ILText.exe

目标程序源码:

using System;
using System.Collections.Generic;
using System.Text;

namespace ILTest
{
    public class HelloWorld
    {
        private static long n1;
        private static long n2 = DateTime.Now.Ticks;
        private static long n3 = DateTime.Now.Ticks;
        private readonly static string ConstValue = "testStatic";

       static HelloWorld()
        {
            n1 = DateTime.Now.Ticks;
        }

        private static void staticMethod(int n)
        {
            Console.WriteLine(n);
        }

        protected string Method1()
        {
            return null;
        }

        private string Method2()
        {
            int n;
            string str;

str = DateTime.Now.ToString();
n = DateTime.Now.Year;

return null;
}

        static void Main(string[] args)
        {
            Console.WriteLine("Hello, world.");

HelloWorld obj = new HelloWorld();
obj.Method2();

HelloWorld.staticMethod(10);

            Console.ReadLine();
        }
    }
}

首先我们使用peview打开一个exe

我们可以看到该程序的入口点的偏移地址是299e.

然后我们使用windbg，选打开可执行文件,选上我们的目标exe文件。

敲入以下几个命令:

~0s

.load sos

ld iltest

ld mscoree

.load/ld mscorwks

ld kernel32

可以看到该exe 的首地址是00400000,加上偏移地址等于是0040299e,ok，我们查看下该地址的汇编码:

u 0040299e

可以看到里边是一个简单的跳转指令，跳转到00402000, 用dds (Display Words and Symbols)查看一下该地址存了什么:

dds 00402000

至此，已经已经非常清楚了。任何托管的EXE程序中的入口点都是一条JMP指令直接跳转到MSCOREE.DLL的_CorExeMain函数执行。

接下来，我们继续探索JIT的过程。

Don Box 在《.NET本质论第1卷：公共语言运行库》的第六章中提到方法表在JIT 之前，保存的都是 call mscorwks.dll!PreStubWorker 调用，直到第一次使用时，才会对目标 IL 代码进行 JIT 编译，并调用之。因此我们第一步可以在此函数上设置断点(bu mscorwks!PreStubWorker)，看看系统是如何调用此函数的。

bu mscorwks!PreStubWorker