函数调用之mov edi, edi

很多函数前面几个指令都是下面这样：
mov     edi, edi
push    ebp
mov     ebp, esp

第一行指令，是不是没用呢？

你还会在上面发现5个没用的nop

这样的做法是方便做hook，比如你要挂钩这个函数，你可以用一个2字节的短jmp（eb xx）转移到那5个nop那里，然后在那5个nop那里做一个大的jmp(e9 xx xx xx xx) 跳到任意地址完成你的jmp

至于为什么是mov edi,edi而不是2个nop，因为mov edi,edi比2个nop执行起来快

-------------------------------------------
补充一下，这样做还可以防止多线程引起的意外，比如是2个nop或者不用这种方法直接修改5个字节来hook的话，有可能引起这样的问题。在你修改了其中一部分，而剩下的那部分未完成的情况下，另一个线程执行到了这里，就会因为错误的代码导致程序崩溃或者产生预期之外的结果。