热补丁：为什么Windows API都以无意义的 mov edi,edi 开头？

Posted 2021-11-06 CodeBowl

为什么Windows函数都以无意义的MOVEDI、EDI指令开始？

我们参考Windows 的反汇编，返现函数的开始都是以mov edi，edi，它看似毫无意义(该指令将寄存器复制到自己，并没有更新标志；这是完全没有意义的。)

原因是：这是故意设计的热补丁(hot-patching)。

热补丁

这个MOV EDI, EDI指令是两个字节。NOP，这仅够在跳转指令中进行修补，以便可以动态更新函数，即运行时修改一个函数的行为。

修改过程如下：

把MOV EDI, EDI修改为一条短跳转指令(一条短跳转指令恰好两个字节)，把MOV EDI, EDI上面的五个NOP修改为一条长跳转指令(一条长跳转指令恰好五个字节)，短跳转指令跳到长跳转指令上，长跳转指令跳到修改后的函数体上。

为什么不直接以俩个 nop 指令作为无意义的入口指示？

答案是：为了提高效率。执行一条MOV指令比执行两条NOP指令花费更少的时间。

因为nop指令消耗一个时钟周期和一个管道。

因此其中的两个将消耗两个时钟周期和两个管道。(指令可能是成对的，每个管道中有一个，所以合并执行需要一个时钟周期。)

另一方面，MOV EDI, EDI指令消耗一个时钟周期和一个管道。(实际上，指令将占用一个管道，另一个管道可以并行执行另一条指令。您可以说指令在半个周期内执行。)无论您计算它，MOV EDI, EDI指令在两次执行的一半时间内执行。

参考资料

https://devblogs.microsoft.com/oldnewthing/20110921-00/?p=9583