Win32程序加载与启动分析

设有一个Win32下的可执行文件MyApp.exe，这是一个Win32应用程序，符合标准的PE格式。MyApp.exe的主要执行代码都集中在其源文件MyApp.cpp中，该文件第一个被执行的函数是WinMain。初学者会认为程序就是首先从这个WinMain函数开始执行，其实不然。 在WinMain函数被执行之前，有一系列复杂的加载动作，还要执行一大段启动代码。运行程序MyApp.exe时，操作系统的加载程序首先为进程分配一个4GB的虚拟地址空间，然后把程序MyApp.exe所占用的磁盘空间作为虚拟内存映射到这个4GB的虚拟地址空间中。一般情况下，会映射到虚拟地址空间中0X00400000的位置。加载一个应用程序的时间比一般人所设想的要少，因为加载一个PE文件并不是把这个文件整个一次性的从磁盘读到内存中，而是简单的做一个内存映射，映射一个大文件和映射一个小文件所花费的时间相差无几。当然，真正执行文件中的代码时，操作系统还是要把存在于磁盘上的虚拟内存中的代码交换到物理内存(RAM)中。但是，这种交换也不是把整个文件所占用的虚拟地址空间一次性的全部从磁盘交换到物理内存中，操作系统会根据需要和内存占用情况交换一页或多页。当然，这种交换是双向的，即存在于物理内存中的一部分当前没有被使用的页也可能被交换到磁盘中。 接着，系统在内核中创建进程对象和主线程对象以及其它内容。 然后操作系统的加载程序搜索PE文件中的引入表，加载所有应用程序所使用的动态链接库。对动态链接库的加载与对应用程序的加载完全类似。 再接着，操作系统执行PE文件首部所指定地址处的代码，开始应用程序主线程的执行。首先被执行的代码并不是MyApp中的WinMain函数，而是被称为C Runtime startup code的WinMainCRTStartup函数，该函数是连接时由连接程序附加到文件MyApp.exe中的。该函数得到新进程的全部命令行指针和环境变量的指针，完成一些C运行时全局变量以及C运行时内存分配函数的初始化工作。如果使用C++编程，还要执行全局类对象的构造函数。最后，WinMainCRTStartup函数调用WinMain函数。 WinMainCRTStartup函数传给WinMain函数的4个参数分别为：hInstance、hPrevInstance、lpCmdline、nCmdShow。 hInstance：该进程所对应的应用程序当前实例的句柄。WinMainCRTStartup函数通过调用GetStartupInfo函数获得该参数的值。该参数实际上是应用程序被加载到进程虚拟地址空间的地址，通常情况下，对于大多数进程，该参数总是0X00400000。 hPrevInstance：应用程序前一实例的句柄。由于Win32应用程序的每一个实例总是运行在自己的独立的进程地址空间中，因此，对于Win32应用程序，WinMainCRTStartup函数传给该参数的值总是NULL。如果应用程序希望知道是否有另一个实例在运行，可以通过线程同步技术，创建一个具有唯一名称的互斥量，通过检测这个互斥量是否存在可以知道是否有另一个实例在运行。 lpCmdline：命令行参数的指针。该指针指向一个以0结尾的字符串，该字符串不包括应用程序名。 nCmdShow：指定如何显示应用程序窗口。如果该程序通过在资源管理器中双击图标运行，WinMainCRTStartup函数传给该参数的值为SW_SHOWNORMAL。如果通过在另一个应用程序中调用CreatProcess函数运行，该参数由CreatProcess函数的参数lpStartupInfo(STARTUPINFO.wShowWindow)指定。