查找main函数

一、说明

1.使用环境

寻找main函数的主要目的，还是寻找用户代码，所以通常只用在控制台程序和SDK程序。 其他界面程序会使用各种界面库，即便找到main函数，里面也是一堆非用户编写代码，没有任何意义。

2.调用方式会影响代码特征

VS默认调用约定_cdecl，堆栈传参，所以传参的代码是PUSH * 如果是其他CALL，会用到寄存器传参和堆栈传参，代码是会发生变化的

二、查找main函数

1.main函数特点

main( int argc,             // 命令行参数数量
    char *argv[ ],      // 命令行参数数组
    char *envp[ ] )     // 环境变量数组

2.main函数反汇编特点

伪代码：

push env        // 环境参数，一般是地址
push argv   // 命令行参数数组
push argc   // 命令行参数数量
call main   // 调用main

三、查找WinMain函数

1.WinMain函数特点

int WINAPI WinMain(HINSTANCE hInstance,     // 应用程序实例句柄
                   HINSTANCE hPrevInstance,  // 应用程序的先前实例的句柄
                   LPSTR lpCmdLine,          // 命令行字符串指针
                   int nCmdShow);            // 窗口显示参数

应用程序实例句柄就是模块基地址

2.main函数反汇编特点

伪代码：

push nCmdShow       // 窗口显示参数
push lpCmdLine      // 命令行字符串指针
push hPrevInstance  // 废弃属性，通常为0x0
push hInstance      // 可能是0x400000，也可能用GetModuleHandleA获取
call WinMain