VC下的函数地址
最近突然有一位同事问我关于虚拟继承（virtual inheritance）的问题，我记得在《虚拟与多型》（繁体版，1998年）里读到过，也许当时读的匆忙，一知半解的，所以现在也答不清楚。于是，我又拿起这本书重新读了第二章C++物件模型。这一次我读的仔细多了。在这章的结尾作者，侯捷老师留下了一个关于函数地址的疑问。在网上搜了一下，没有发现有人解答过这个问题，正好最近比较空，所以就下决心研究了一番。
这里我先重复一下三种取得函数地址的方法：
1．从vtbl观察到的virutal member function的地址。这个地址可以用程序的方法得到，也可以使用调试器直接观察得到。我使用后者。
2．在调试器中直接把光标移到member function的名称上，或者在Watch窗口里，直接输入class::func（比如：A::func1），观察所得。我使用后者。
3．在程序中直接取得member function的地址。
书中留下的问题是，对于同一个函数，有时这三个地址不相同。准确地说，如果是virtual member function，这三个地址总是不同的。如果是non-virtual member function，2和3也不相同。
先说说我的实验结果（所有实验都是在VC6上做的）：每一个函数，不管是non-virtual member function，或是virtual member function，或是static member function，编译器都会为它生成一组代码，这组代码的第一条指令的位置，就是函数的地址，姑且称它为函数的实体地址(body address)。这就是使用第二种方法取得的地址。
但是，当程序的其他部分要呼叫某个函数的时候，编译器生成的代码不会直接使用函数的实体地址，而是使用一个另一个地址，姑且称它为函数的符号地址(symbol address)。每当需要呼叫某个函数，无论是non-virtual member function，static function，或是virtual member function，编译器生成的代码都是去呼叫函数的符号地址。在这个地址里，只有一条指令，就是跳转到函数的实体地址。
其实，通过跟踪我发现，编译器在内存的某个位置生成了一张表格（函数的入口表）。这个表格的每一项就是一个函数的符号地址，而表格每一项里的内容，就是一条跳转指令，跳转到相应的函数的实体地址。所以每一项里都是“E9 XX XX XX XX”的形式。
采用这种间接的、表格驱动的函数调用方法，我推测这与编译器(Compiler)和连接器(Linker)的实现方法有关。使用这种方法，编译器在生成调用代码的时候可以不知道函数的实体地址，先使用函数的符号地址。待到函数的实体被编译后，在连结（Link）过程时，再把函数的实体地址，以near jmp指令的形式写入函数入口表中相应的项，这样即使某个函数在多处被调用，最后也只需要修改一处即可。
当使用第一种方法查看virtual member function的地址时，得到就是函数的符号地址。当使用第三种方法取得non-virtual member function的地址时，得到也是函数的符号地址。但是当使用该方法取得virtual member function的地址时，得到的却是vcall thunk函数的符号地址，这里仍然使用了间接的调用方法。
使用vcall thunk可以使编译器在生成代码时，无需关心function ptr指向的函数是non-virtual member function还是virtual member function，都使用相同的调用方法。这种方法的过程大致如此：
1．寄存器准备
2．从右向左依次把参数压栈
3．this指针放入ecx寄存器
4．call 函数指针
对于virtual member function，函数指针指向的是vcall thunk函数的符号地址，由vcall thunk来呼叫真正的virtual member function。由于ecx中已经保存了this指针，通过它可以得到vtbl，所以只要知道virtual member function在vtbl中的index，vcall thunk就可以呼叫这个virtual member function。而这个index信息由编译器直接放在vcall thunk的代码中。所以，假设要取得A::Say，B::Tell和C::Talk三个虚函数的地址，A、B、C三个类没有任何关系，Say和Tell在vtbl中的index是0，Talk在vtbl中的index是1。那么编译器只会生成两个vcall thunk：vcall’{0, {flat}}’和vcall’{4, {flat}}’。显然，其中0和4正好是index*4，至于flat的含义我不是很清楚。Say和Tell都会使用第一个 thunk，Talk会使用第二个thunk。因此，我们会发现，通过程序的方法取得的Say和Tell函数的地址总是相同的。
vcall thunk的实现非常简单，以vcall’{4,{flat}}’为例：
004011A0 8B 01 mov eax,dword ptr [ecx]
004011A2 FF 60 08 jmp dword ptr [eax+4]
第一行代码把vtbl的指针装入eax；第二行代码跳转到index为1的virtual member function的符号地址处，eax+4正好是vtbl中的第二项。
接下来说说我的实验过程：
定义两个类：A和B，B从A派生而来：
A
B
class A
{
public:
void func1(){
printf("A::func1\n");
}
virtual void vfuncA(){
printf("A::vfuncA\n");
}
virtual void vfuncB(){
printf("A::vfuncB\n");
}
};
class B:public A
{
public:
void func2(){
printf("B::func2\n");
}
virtual void vfuncB(){
printf("B::vfuncB\n");
}
};
接下来是main()函数，这里我主要通过调试器来观察结果：
#34 int main(int argc, char* argv[])
#35 {
#36 A a;
#37 B b;
#38 void (A::*pmf1)();
#39 pmf1 = A::func1;
#40
#41 void (B::*pmf2)();
#42 pmf2 = B::func2;
#43
#44 void (A::*pmvfA)();
#45 pmvfA = A::vfuncA;
#46
#47 void (A::*pmvfB)();
#48 pmvfB = A::vfuncB;
#49
#50 void (B::*pmvfB2)();
#51 pmvfB2 = B::vfuncB;
#52
#53 (a.*pmf1)();
#54
#55 (b.*pmf2)();
#56
#57 (a.*pmvfA)();
#58
#59 (a.*pmvfB)();
#60
#61 (b.*pmvfB)();
#62
#63 (b.*pmvfB2)();
#64
#65 return 0;
#66 }
在第53行处设定断点，然后执行程序，当程序停在断点处后，打开Watch窗口
图一
我们发现第一行和第二行显示的A::func1的地址是不一样的。第一行显示的是func1的实体地址，第二行显示的是符号地址。
继续观察：
图二
vtbl
pmvfX
class::func
A::vfuncA
0x00401005
0x00401028
0x00401260
A::vfuncB
0x00401032
0x0040102d
0x004012c0
B::vfuncB
0x0040100a
0x0040102d
0x00401380
vtbl列显示的是函数的符号地址，class::func列显示的是函数的实体地址，A::vfuncA，A::vfuncB，B::vfuncB三个函数各自有自己的符号地址和实体地址。pmvfX列显示的是vcall thunk的地址，因为A::vfuncB和B::vfuncB在vtbl中的index都是1，所以它们使用相同的thunk：vcall ‘{4,{flat}}’。
接下来打开Disassembly窗口，跟踪程序的调用过程：
首先，跟踪一下non-virtual member function的调用：
004010BB 8B F4 mov esi,esp //寄存器准备
004010BD 8D 4D FC lea ecx,[ebp-4] //this指针装入ecx
004010C0 FF 55 F4 call dword ptr [ebp-0Ch]//呼叫pmf1中保存的函数地址
使用Step into(F11)，进入call指令调用的地址：
地址0x00401005开始的地方就是一张函数入口表，其中0x0040100F就是A::func1的符号地址，其中存储的5个字节，是一条JMP指令，跳转到A::func1的实体地址。可以和图一做一个比较。
继续单步执行：
我们终于到达了A::func1的函数体内部。
接下来再用同样的方法跟踪一次virtual member function的调用过程：
如果比较一下这一次的汇编代码和上一次调用的汇编代码，我们发现它们并没有什么区别，这就是vcall thunk的用处，它使的编译器在生成代码时，不用关心function ptr指向的是一个non-virtual member function，还是一个virtual member function。
继续跟踪，进入call指令调用的函数：
即使在呼叫thunk函数，编译器仍然使用的是入口表，间接调用的方法。继续
第一行用来在eax中装入vtbl的指针，第二行跳转到vtbl中的第一个地址。A::vfuncA就是vtbl中的第一个函数。继续
再一次回到函数入口表。继续
终于来到了A::vfuncA()的函数体内部。
