用WinDbg探索CLR世界 [4] 方法的调用机制

http://www.blogcn.com/user8/flier_lu/index.html?id=1745355

http://www.blogcn.com/user8/flier_lu/index.html?id=1745373

http://www.blogcn.com/user8/flier_lu/index.html?id=1745407

Don Box在《.NET本质论第1卷：公共语言运行库》的第6章里，详细地解说了 CLR 中方法地调用机制的原理；qqchen在其 BLog 上也有一篇不错的介绍 CLR 中方法调用分类的文章《CLR Drilling Down: The Overhead of Method Calls 》。但因为他们文章的目的不同，故而没有足够深入到让我满足的内部细节，呵呵，只好自己接着分析。:D

我在《用WinDbg探索CLR世界 [3] 跟踪方法的 JIT 过程》一文中介绍了如何使用 WinDbg 跟踪 Don Box 所描述的 JIT 过程。本文中将使用前文所介绍的 WinDbg 功能进一步分析 CLR 中方法的调用机制。

首先我们来看一个简单的例子，其中有两个类和一个接口的定义，并使用了几种不同的调用类型进行方法调用：

以下为引用：

using System;

namespace flier

{

public interface IFoo

{

void CallFromIntfBase();

void CallFromIntfDerived();

}

public class Base : IFoo

{

public void CallFromObjBase()

{

System.Console.WriteLine("Base.CallFromObjBase");

}

public virtual void CallFromObjDerived()

{

System.Console.WriteLine("Base.CallFromObjDerived");

}

public void CallFromIntfBase()

{

System.Console.WriteLine("Base.IFoo.CallFromIntfBase");

}

public virtual void CallFromIntfDerived()

{

System.Console.WriteLine("Base.IFoo.CallFromIntfDerived");

}

public class Derived : Base, IFoo

{

public new void CallFromObjBase()

{

System.Console.WriteLine("Derived.CallFromObjBase");

}

public override void CallFromObjDerived()

{

System.Console.WriteLine("Derived.CallFromObjDerived");

}

public override void CallFromIntfDerived()

{

System.Console.WriteLine("Derived.IFoo.CallFromIntfDerived");

}

class EntryPoint

{

[STAThread]

static void Main(string[] args)

{

Base b = new Base(),

d = new Derived();

b.CallFromObjBase();

d.CallFromObjBase();

d.CallFromObjDerived();

IFoo i = (IFoo) b;

i.CallFromIntfBase();

i = (IFoo)d;

i.CallFromIntfDerived();

}

将之编译成 CallIt.exe 后用 WinDbg 启动调试之。进入调试后，可以使用 sos 的 !name2ee 命令查看指定类型的当前状态，如：

以下为引用：

0:000> !name2ee CallIt.exe flier.Derived

--------------------------------------

MethodTable: 00975288

EEClass: 06c63414

Name: flier.Derived

使用 !dumpclass 命令进一步查看类型详细信息：

以下为引用：

0:000> !dumpclass 06c63414

Class Name : flier.Derived

mdToken : 02000004 ()

Parent Class : 06c6334c

ClassLoader : 0015ee08

Method Table : 00975288

Vtable Slots : 9

Total Method Slots : b

Class Attributes : 100001 :

Flags : 1000003

NumInstanceFields: 0

NumStaticFields: 0

ThreadStaticOffset: 0

ThreadStaticsSize: 0

ContextStaticOffset: 0

ContextStaticsSize: 0

可以发现 Derived 类型有 11 个 Method Slot，但只有 9 个 Vtable Slot。使用 !dumpmt 进一步查看之：

以下为引用：

0:000> !dumpmt -md 00975288

EEClass : 06c63414

Module : 00167d98

Name: flier.Derived

mdToken: 02000004 (D:TempCallItCallItinDebugCallIt.exe)

MethodTable Flags : 80000

Number of IFaces in IFaceMap : 1

Interface Map : 009752e0

Slots in VTable : 11

--------------------------------------

MethodDesc Table

Entry MethodDesc JIT Name

79b7c4eb 79b7c4f0 None [DEFAULT] [hasThis] String System.Object.ToString()

79b7c473 79b7c478 None [DEFAULT] [hasThis] Boolean System.Object.Equals(Object)

79b7c48b 79b7c490 None [DEFAULT] [hasThis] I4 System.Object.GetHashCode()

79b7c52b 79b7c530 None [DEFAULT] [hasThis] Void System.Object.Finalize()

0097525b 00975260 None [DEFAULT] [hasThis] Void flier.Derived.CallFromObjDerived()

009751ab 009751b0 None [DEFAULT] [hasThis] Void flier.Base.CallFromIntfBase()

0097526b 00975270 None [DEFAULT] [hasThis] Void flier.Derived.CallFromIntfDerived()

// 以下开始为 IFoo 接口方法表

009751ab 009751b0 None [DEFAULT] [hasThis] Void flier.Base.CallFromIntfBase()

0097526b 00975270 None [DEFAULT] [hasThis] Void flier.Derived.CallFromIntfDerived()

// 以下开始为非虚方法表

0097524b 00975250 None [DEFAULT] [hasThis] Void flier.Derived.CallFromObjBase()

0097527b 00975280 None [DEFAULT] [hasThis] Void flier.Derived..ctor()

可以看到正如 Don Box 在书中所说，类型的方法表是分为虚方法表和非虚方法表两部分的。前面 9 个 Method Slot 组成 Derived 的 VTable，后两个 Slot 保存非虚方法。检查 Base 类的情况也是类似：

以下为引用：

0:000> !name2ee CallIt.exe flier.Base

--------------------------------------

MethodTable: 009751d8

EEClass: 06c6334c

Name: flier.Base

0:000> !dumpclass 06c6334c

Class Name : flier.Base

mdToken : 02000003 ()

Parent Class : 79b7c3c8

ClassLoader : 0015ee08

Method Table : 009751d8

Vtable Slots : 7

Total Method Slots : 9

Class Attributes : 100001 :

Flags : 1000003

NumInstanceFields: 0

NumStaticFields: 0

ThreadStaticOffset: 0

ThreadStaticsSize: 0

ContextStaticOffset: 0

ContextStaticsSize: 0

0:000> !dumpmt -md 009751d8

EEClass : 06c6334c

Module : 00167d98

Name: flier.Base

mdToken: 02000003 (D:TempCallItCallItinDebugCallIt.exe)

MethodTable Flags : 80000

Number of IFaces in IFaceMap : 1

Interface Map : 00975228

Slots in VTable : 9

--------------------------------------

MethodDesc Table

Entry MethodDesc JIT Name

79b7c4eb 79b7c4f0 None [DEFAULT] [hasThis] String System.Object.ToString()

79b7c473 79b7c478 None [DEFAULT] [hasThis] Boolean System.Object.Equals(Object)

79b7c48b 79b7c490 None [DEFAULT] [hasThis] I4 System.Object.GetHashCode()

79b7c52b 79b7c530 None [DEFAULT] [hasThis] Void System.Object.Finalize()

0097519b 009751a0 None [DEFAULT] [hasThis] Void flier.Base.CallFromObjDerived()

// 以下开始为 IFoo 接口方法表

009751ab 009751b0 None [DEFAULT] [hasThis] Void flier.Base.CallFromIntfBase()

009751bb 009751c0 None [DEFAULT] [hasThis] Void flier.Base.CallFromIntfDerived()

// 以下开始为非虚方法表

0097518b 00975190 None [DEFAULT] [hasThis] Void flier.Base.CallFromObjBase()

009751cb 009751d0 None [DEFAULT] [hasThis] Void flier.Base..ctor()

而对于每个接口，实际上 CLR 是单独维护了一个方法表的。如 Base 类的方法表中指出，地址 0x009752e0 处有一个接口方法映射表，查看其内容如下：

以下为引用：

0:000> dd 0x009752e0

009752e0 00975138 00070001 00000000 00000000

每个接口映射表表项由2个DWORD组成，头一个DWORD就是接口方法表的地址。

以下为引用：

0:000> !dumpmt -md 00975138

EEClass : 06c633b0

Module : 00167d98

Name: flier.IFoo

mdToken: 02000002 (D:TempCallItCallItinDebugCallIt.exe)

MethodTable Flags : 80000

Number of IFaces in IFaceMap : 0

Interface Map : 0097516c

Slots in VTable : 2

--------------------------------------

MethodDesc Table

Entry MethodDesc JIT Name

009750eb 009750f0 None [DEFAULT] [hasThis] Void flier.IFoo.CallFromIntfBase()

00975113 00975118 None [DEFAULT] [hasThis] Void flier.IFoo.CallFromIntfDerived()

比较一下就会发现，Base 和 Derived 类的接口映射表指向的接口方法表都是一样的。

以下为引用：

0:000> dd 009752e0

009752e0 00975138 00070001 00000000 00000000

0:000> dd 00975228

00975228 00975138 00050001 00000000 00000000

只是接口映射表表项第2个 DWORD 的高 WORD 指名此接口在原方法表中的起始索引(Base 为 5，Derived 为 7)不同。这正符合《本质论》中167页那张图所示的接口映射表结构。

在了解了方法表的物理结构后，我们接着分析方法的动态调用机制。

从方法的调用类型来分，CLR支持直接调用、间接调用和很少见的 tail call 模式。

直接调用最为常见，又可分为使用虚方法表的 callvirt 指令和不使用虚方法表的 call 和 jmp 指令。

间接调用稍微少见，通过 ldftn/calli 和 ldvirtftn/calli 两组指令，从栈中获取方法描述 (Method Desc)，语义上等同于 call/callvirt 指令。

tail call 调用更为少见，类似于 jmp，但是作为前缀指令附加在 call/calli/callvirt 指令上的。

下面我们对最常见的直接调用方式做一个简单的分析，首先看看一个例子程序 Virt_not.il：

以下为引用：

.assembly extern mscorlib { }

.assembly virt_not { }

.module virt_not.exe

.class public A

{

.method public specialname void .ctor() { ret }

.method public void Foo()

{

ldstr "A::Foo"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.method public virtual void Bar()

{

ldstr "A::Bar"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.method public virtual void Baz()

{

ldstr "A::Baz"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.class public B extends A

{

.method public specialname void .ctor() { ret }

.method public void Foo()

{

ldstr "B::Foo"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.method public virtual void Bar()

{

ldstr "B::Bar"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.method public virtual newslot void Baz()

{

ldstr "B::Baz"

call void [mscorlib]System.Console::WriteLine(string)

ret

}

.method public static void Exec()

{

.entrypoint

newobj instance void B::.ctor() // create instance of derived class

castclass class A // cast it to base class

dup // we need 3 instance pointers

dup // on stack for 3 calls

call instance void A::Foo()

callvirt instance void A::Bar()

callvirt instance void A::Baz()

ret

}

上述代码是使用 IL 汇编直接编写，其 Exec 函数将被编译成 IL 代码如下：

以下为引用：

.method public static void Exec() cil managed

// SIG: 00 00 01

{

.entrypoint

// Method begins at RVA 0x209c

// Code size 28 (0x1c)

.maxstack 8

IL_0000: /* 73 | (06)000006 */ newobj instance void B::.ctor()

IL_0005: /* 74 | (1B)000001 */ castclass class A

IL_000a: /* 25 | */ dup

IL_000b: /* 25 | */ dup

IL_000c: /* 28 | (06)000003 */ call instance void A::Foo()

IL_0011: /* 6F | (06)000004 */ callvirt instance void A::Bar()

IL_0016: /* 6F | (06)000005 */ callvirt instance void A::Baz()

IL_001b: /* 2A | */ ret

} // end of method 'Global Functions'::Exec

可以看到直接调用时 call 和 callvirt 指令，都是以方法的 Token 为参数的。但不同之处在于实现上，call指令使用类型的方法表，而 callvirt 使用对象的方法表。

在 WinDbg 载入 Virt_not.exe 后，可以在 Exec 被 JIT 编译后，使用 !ip2md 命令查看其方法描述信息，如

以下为引用：

0:000> g; !clrstack

Breakpoint 0 hit

Thread 0

ESP EIP

0012f694 791d6a4a [FRAME: PrestubMethodFrame] [DEFAULT] [hasThis] Void A.Foo()

0012f6a4 06d90088 [DEFAULT] Void Exec()

0012f9b0 791da717 [FRAME: GCFrame]

0012fa94 791da717 [FRAME: GCFrame]

0:000> !ip2md 06d90088

MethodDesc: 0x00975070

Jitted by normal JIT

Method Name : [DEFAULT] Void Exec()

MethodTable 975078

Module: 15cd20

mdToken: 06000001 (C:DevelopMS.NetBooksInside Microsoft .NET IL Assembler CodeVirt_not.EXE)

Flags : 10

Method VA : 06d90058

反汇编 Exec 方法的代码如下：

以下为引用：

0:000> u 06d90058

06d90058 55 push ebp

06d90059 8bec mov ebp,esp

// newobj instance void B::.ctor()

06d9005b 56 push esi

06d9005c b9a8519700 mov ecx,0x9751a8 // 类 B 的方法表地址

06d90061 e8b21fbdf9 call 00962018

06d90066 8bf0 mov esi,eax

06d90068 8bce mov ecx,esi

06d9006a ff15ec519700 call dword ptr [009751ec]

// castclass class A

06d90070 8bd6 mov edx,esi

06d90072 b900519700 mov ecx,0x975100 // 类 A 的方法表地址

06d90077 e8a00b4672 call mscorwks!JIT_ChkCastClass (791f0c1c)

06d9007c 8bf0 mov esi,eax // 对象地址

06d9007e 90 nop

06d9007f 90 nop

// call instance void A::Foo()

06d90080 8bce mov ecx,esi

06d90082 ff1544519700 call dword ptr [00975144]

// callvirt instance void A::Bar()

06d90088 8bce mov ecx,esi

06d9008a 8b01 mov eax,[ecx]

06d9008c ff5038 call dword ptr [eax+0x38]

// callvirt instance void A::Baz()

06d9008f 8bce mov ecx,esi

06d90091 8b01 mov eax,[ecx]

06d90093 ff503c call dword ptr [eax+0x3c]

06d90096 90 nop

06d90097 5e pop esi

06d90098 5d pop ebp

06d90099 c3 ret

可以看到 call 指令是通过一个绝对地址的间接寻址调用函数的，此调用指向代码如下：

以下为引用：

0:000> dd 00975144

00975144 009750d3 00000000 00000000 00000000

0:000> u 009750d3

009750d3 e808857dff call 0014d5e0

0:000> u 0014d5e0

0014d5e0 52 push edx

0014d5e1 68f0301b79 push 0x791b30f0

0014d5e6 55 push ebp

0014d5e7 53 push ebx

0014d5e8 56 push esi

0014d5e9 57 push edi

0014d5ea 8d742410 lea esi,[esp+0x10]

0014d5ee 51 push ecx

0014d5ef 52 push edx

0014d5f0 648b1d2c0e0000 mov ebx,fs:[00000e2c]

0014d5f7 8b7b08 mov edi,[ebx+0x8]

0014d5fa 897e04 mov [esi+0x4],edi

0014d5fd 897308 mov [ebx+0x8],esi

0014d600 56 push esi

0014d601 e844940879 call mscorwks!PreStubWorker (791d6a4a)

0014d606 897b08 mov [ebx+0x8],edi

呵呵，这不正是上次分析的调用JIT的包装代码吗？

在进行了 JIT 之后，上面的 Exec 代码调用 A::Foo 方法体被JIT修改为：

以下为引用：

0:000> dd 975144

00975144 009750d3 00000000 00000000 00000000

0:000> u 009750d3

009750d3 e9f8af4106 jmp 06d900d0

0:000> !ip2md 06d900d0

MethodDesc: 0x009750d8

Jitted by normal JIT

Method Name : [DEFAULT] [hasThis] Void A.Foo()

MethodTable 975100

Module: 15cd20

mdToken: 06000003 (C:DevelopMS.NetBooksInside Microsoft .NET IL Assembler CodeVirt_not.EXE)

Flags : 0

Method VA : 06d900d0

也就是说 call 指令实际上是直接对 JIT 后的 A::Foo 方法体的代码进行了调用。

而 callvirt 指令则使用两段的间接寻址来调用方法。

以下为引用：

// callvirt instance void A::Bar()

06d90088 8bce mov ecx,esi

06d9008a 8b01 mov eax,[ecx]

06d9008c ff5038 call dword ptr [eax+0x38]

这里的 esi 是指向对象的指针，而对象结构的第一个 DWORD 保存指向实际类型方法表的指针，也就是《本质论》中所说的 RuntimeTypeHandle （具体分析请参看我以前的一篇文章《Type, RuntimeType and RuntimeTypeHandle 》）。而方法表的 0x38 偏移处内容如下：

以下为引用：

0:000> !dumpmt -md 00975100

EEClass : 06c63344

Module : 0015cd20

Name: A

mdToken: 02000002 (C:DevelopMS.NetBooksInside Microsoft .NET IL Assembler CodeVirt_not.EXE)

MethodTable Flags : 80000

Number of IFaces in IFaceMap : 0

Interface Map : 0097514c

Slots in VTable : 8

--------------------------------------

MethodDesc Table

Entry MethodDesc JIT Name

79b7c4eb 79b7c4f0 None [DEFAULT] [hasThis] String System.Object.ToString()

79b7c473 79b7c478 None [DEFAULT] [hasThis] Boolean System.Object.Equals(Object)

79b7c48b 79b7c490 None [DEFAULT] [hasThis] I4 System.Object.GetHashCode()

79b7c52b 79b7c530 None [DEFAULT] [hasThis] Void System.Object.Finalize()

009750e3 009750e8 None [DEFAULT] [hasThis] Void A.Bar()

009750f3 009750f8 None [DEFAULT] [hasThis] Void A.Baz()

009750c3 009750c8 None [DEFAULT] [hasThis] Void A..ctor()

009750d3 009750d8 None [DEFAULT] [hasThis] Void A.Foo()

0:000> dd 00975100

00975100 00080000 0000000c 06c63344 00000000

00975110 00120000 0015cd20 0006ffff 0097514c

00975120 00000000 00000008 79b7c4eb 79b7c473

00975130 79b7c48b 79b7c52b 009750e3 009750f3

00975140 009750c3 009750d3 00000000 00000000

可以看到 00975100+0x38 正好是 A.Bar() 方法的入口地址

以下为引用：

0:000> u 009750e3

009750e3 e8f8847dff call 0014d5e0

0:000> u 14d5e0

0014d5e0 52 push edx

...

0014d600 56 push esi

0014d601 e844940879 call mscorwks!PreStubWorker (791d6a4a)

0014d606 897b08 mov [ebx+0x8],edi

0:000> !dumpmd 009750e8

Method Name : [DEFAULT] [hasThis] Void A.Bar()

MethodTable 975100

Module: 15cd20

mdToken: 06000004 (C:DevelopMS.NetBooksInside Microsoft .NET IL Assembler CodeVirt_not.EXE)

Flags : 0

IL RVA : 0000205e

因此 callvirt 指令实际上是使用变量实际保存对象的类型的方法表在进行调用，也就是我们所说的虚函数语义。

再回头看前面那个 C# 代码的例子，在 JIT 完成之后：

以下为引用：

.method private hidebysig static void Main(string[] args) cil managed

// SIG: 00 01 01 1D 0E

{

.entrypoint

.custom instance void [mscorlib]System.STAThreadAttribute::.ctor() = ( 01 00 00 00 )

// Method begins at RVA 0x2120

// Code size 47 (0x2f)

.maxstack 1

.locals init ([0] class flier.Base b,

[1] class flier.Base d,

[2] class flier.IFoo i)

IL_0000: /* 73 | (06)000007 */ newobj instance void flier.Base::.ctor()

IL_0005: /* 0A | */ stloc.0

IL_0006: /* 73 | (06)00000B */ newobj instance void flier.Derived::.ctor()

IL_000b: /* 0B | */ stloc.1

IL_000c: /* 06 | */ ldloc.0

IL_000d: /* 6F | (06)000003 */ callvirt instance void flier.Base::CallFromObjBase()

IL_0012: /* 07 | */ ldloc.1

IL_0013: /* 6F | (06)000003 */ callvirt instance void flier.Base::CallFromObjBase()

IL_0018: /* 07 | */ ldloc.1

IL_0019: /* 6F | (06)000004 */ callvirt instance void flier.Base::CallFromObjDerived()

IL_001e: /* 06 | */ ldloc.0

IL_001f: /* 0C | */ stloc.2

IL_0020: /* 08 | */ ldloc.2

IL_0021: /* 6F | (06)000001 */ callvirt instance void flier.IFoo::CallFromIntfBase()

IL_0026: /* 07 | */ ldloc.1

IL_0027: /* 0C | */ stloc.2

IL_0028: /* 08 | */ ldloc.2

IL_0029: /* 6F | (06)000002 */ callvirt instance void flier.IFoo::CallFromIntfDerived()

IL_002e: /* 2A | */ ret

} // end of method EntryPoint::Main

0:000> !ip2md 06d900a7

MethodDesc: 0x00975070

Jitted by normal JIT

Method Name : [DEFAULT] Void flier.EntryPoint.Main(SZArray String)

MethodTable 975088

Module: 167d98

mdToken: 0600000c (D:TempCallItCallItinDebugCallIt.exe)

Flags : 10

Method VA : 06d90058

0:000> u 06d90058

06d90058 55 push ebp

06d90059 8bec mov ebp,esp

06d9005b 83ec10 sub esp,0x10

06d9005e 57 push edi

06d9005f 56 push esi

06d90060 53 push ebx

06d90061 894dfc mov [ebp-0x4],ecx

06d90064 c745f800000000 mov dword ptr [ebp-0x8],0x0

06d9006b 33f6 xor esi,esi

06d9006d 33ff xor edi,edi

// newobj instance void flier.Base::.ctor()

06d9006f b9d8519700 mov ecx,0x9751d8 // 类 flier.Base 的方法表

06d90074 e89f1fbdf9 call 00962018

06d90079 8bd8 mov ebx,eax

06d9007b 8bcb mov ecx,ebx

06d9007d ff1520529700 call dword ptr [00975220] // call flier.Base::.ctor()

06d90083 895df8 mov [ebp-0x8],ebx // stloc.0

// newobj instance void flier.Derived::.ctor()

06d90086 b988529700 mov ecx,0x975288 // 类 flier.Derived 的方法表

06d9008b e8881fbdf9 call 00962018

06d90090 8bd8 mov ebx,eax

06d90092 8bcb mov ecx,ebx

06d90094 ff15d8529700 call dword ptr [009752d8] // call flier.Derived::.ctor()

06d9009a 8bf3 mov esi,ebx // stloc.1

06d9009c 8b4df8 mov ecx,[ebp-0x8] // ldloc.0

06d9009f 3909 cmp [ecx],ecx

06d900a1 ff151c529700 call dword ptr [0097521c] // callvirt instance void flier.Base::CallFromObjBase()

06d900a7 8bce mov ecx,esi // ldloc.1

06d900a9 3909 cmp [ecx],ecx

06d900ab ff151c529700 call dword ptr [0097521c] // callvirt instance void flier.Base::CallFromObjBase()

06d900b1 8bce mov ecx,esi // ldloc.1

06d900b3 8b01 mov eax,[ecx]

06d900b5 ff5038 call dword ptr [eax+0x38] // callvirt instance void flier.Base::CallFromObjDerived()

06d900b8 8b7df8 mov edi,[ebp-0x8] // ldloc.0

06d900bb 8bcf mov ecx,edi // stloc.2

06d900bd 8b01 mov eax,[ecx]

06d900bf 8b400c mov eax,[eax+0xc]

06d900c2 8b402c mov eax,[eax+0x2c]

06d900c5 ff10 call dword ptr [eax] // callvirt instance void flier.IFoo::CallFromIntfBase()

06d900c7 8bfe mov edi,esi // ldloc.1

06d900c9 8bcf mov ecx,edi // stloc.2

06d900cb 8b01 mov eax,[ecx]

06d900cd 8b400c mov eax,[eax+0xc]

06d900d0 8b402c mov eax,[eax+0x2c]

06d900d3 ff5004 call dword ptr [eax+0x4] // callvirt instance void flier.IFoo::CallFromIntfDerived()

06d900d6 90 nop

06d900d7 5b pop ebx

06d900d8 5e pop esi

06d900d9 5f pop edi

06d900da 8be5 mov esp,ebp

06d900dc 5d pop ebp

06d900dd c3 ret

除了刚刚分析过的 call 和对虚函数的 callvirt 指令外，这里又多出一种对接口虚函数进行调用的操作。

以下为引用：

06d900bb 8bcf mov ecx,edi // stloc.2

06d900bd 8b01 mov eax,[ecx] // 载入对象地址指向对象结构头部(04aa1b4c)字段指向的类型信息地址

06d900bf 8b400c mov eax,[eax+0xc] // 载入全局接口偏移量表基址

06d900c2 8b402c mov eax,[eax+0x2c] // 获取 IFoo 接口映射表偏移量

06d900c5 ff10 call dword ptr [eax] // callvirt instance void flier.IFoo::CallFromIntfBase()

使用 WinDbg 动态跟踪到上述指令处

以下为引用：

0:000> !dumpstackobjects

ESP/REG Object Name

ebx 04aa1b74 flier.Derived

ecx 04aa2804 System.IO.TextWriter/SyncTextWriter

esi 04aa1b74 flier.Derived

edi 04aa1b68 flier.Base

0012f6a0 04aa1b68 flier.Base

0012f6a4 04aa1b4c System.Object[]

0012f6d8 04aa1b4c System.Object[]

0012f928 04aa1b4c System.Object[]

0012f92c 04aa1b4c System.Object[]

edi 指向 flier.Base 类型的对象实例(0x04aa1b68)

以下为引用：

0:000> !dumpobj 04aa1b68

Name: flier.Base

MethodTable 0x009751d8

EEClass 0x06c6334c

Size 12(0xc) bytes

mdToken: 02000003 (D:TempCallItCallItinDebugCallIt.exe)

0:000> dd 04aa1b68

04aa1b68 009751d8 00000000 00000000 00975288

04aa1b78 00000000 80000000 79b7daf8 00000015

而此对象的偏移 0 处保存着此对象的类型信息地址(0x009751d8)

以下为引用：

0:000> !dumpmt 009751d8

EEClass : 06c6334c

Module : 00167d98

Name: flier.Base

mdToken: 02000003 (D:TempCallItCallItinDebugCallIt.exe)

MethodTable Flags : 80000

Number of IFaces in IFaceMap : 1

Interface Map : 00975228

Slots in VTable : 9

0:000> dd 009751d8

009751d8 00080000 0000000c 06c6334c 0097bff0

009751e8 00120001 00167d98 0008ffff 00975228

类型信息的 0xC 偏移处是全局接口偏移量表的入口基址 (0x0097bff0)

以下为引用：

0:000> dd 0097bff0

0097bff0 ???????? ???????? ???????? ????????

0097c000 00000000 0097c000 00004000 00000000

0097c010 00000000 000003e8 00000001 00975214

0097c020 009752cc 00000000 00000000 00000000

而 IFoo 接口的物理地址就在此偏移量表的 0x2C 偏移处(0x00975214)。这个地址是直接指向 flier.Base 类的虚方法表。