Windows函数开头的MOVEDI,EDI指令实际上是热补丁设计的一部分，允许在运行时动态更新函数行为。这两个字节的指令可以被替换为短跳转指令，配合五个NOP指令形成长跳转，实现函数修改。这么做是为了提高效率，因为执行一个MOV指令比两个NOP更快。这种设计使得系统能够在不重启的情况下修复或增强功能。
为什么Windows函数都以无意义的MOVEDI、EDI指令开始？
我们参考Windows 的反汇编，返现函数的开始都是以mov edi，edi，它看似毫无意义(该指令将寄存器复制到自己，并没有更新标志；这是完全没有意义的。)
原因是：这是故意设计的热补丁(hot-patching)。
![[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Dmx8OgZ8-1634567009041)(C:\Users\11073\AppData\Roaming\Typora\typora-user-images\image-20211018222149455.png)]](https://i-blog.csdnimg.cn/blog_migrate/8d5f834dc85c4dff728b1e06935d774b.png)
热补丁
这个MOV EDI, EDI指令是两个字节。NOP，这仅够在跳转指令中进行修补，以便可以动态更新函数，即运行时修改一个函数的行为。
修改过程如下：
把MOV EDI, EDI修改为一条短跳转指令(一条短跳转指令恰好两个字节)，把MOV EDI, EDI上面的五个NOP修改为一条长跳转指令(一条长跳转指令恰好五个字节)，短跳转指令跳到长跳转指令上，长跳转指令跳到修改后的函数体上。
为什么不直接以俩个 nop 指令作为无意义的入口指示？
答案是：为了提高效率。执行一条MOV指令比执行两条NOP指令花费更少的时间。
因为nop指令消耗一个时钟周期和一个管道。
因此其中的两个将消耗两个时钟周期和两个管道。(指令可能是成对的，每个管道中有一个，所以合并执行需要一个时钟周期。)
另一方面，MOV EDI, EDI指令消耗一个时钟周期和一个管道。(实际上，指令将占用一个管道，另一个管道可以并行执行另一条指令。您可以说指令在半个周期内执行。)无论您计算它，MOV EDI, EDI指令在两次执行的一半时间内执行。
参考资料
https://devblogs.microsoft.com/oldnewthing/20110921-00/?p=9583
扫一扫
3165
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
