问题描述
我最近写了一个小程序，它使用winapi简单地显示一个弹出对话框。我在 x64dbg 调试器中启动它，看看它是如何编译的，并学习了一些汇编知识。
我注意到的第一件事是主线程没有在我的代码的入口点开始执行：它开始在 ntdll.dll 中的某处执行。这段代码似乎在最终调用调用入口点的 kernel32 之前进行了几次函数调用。
在入口点，寄存器已经加载了一些值。我知道它们一定很重要，因为在调试器中将它们归零会导致我的程序崩溃。 rax 似乎加载了入口点，但我不确定其他人的值是做什么的。
那么所有代码在我的入口点之前到底做了什么，以及它加载到寄存器中的值是什么？
解决方法
Windows 进程执行在 NT 加载器中开始，这就是 ntdll.dll / kernel32.dll 中发生的事情。如果您想了解所有这些的详细信息，您应该查看 Windows Internals 书籍。
对于 Visual C++ 程序，进程的“入口点”是 mainCRTstartup，它位于 Visual C/C++ 运行时内。它初始化 CRT，处理全局初始化，然后分派到 main、wmain、WinMain 等。
CRT 的源代码可以在 Visual Studio 安装中找到：C:\Program Files (x86)\Microsoft Visual Studio\201?\<edition>\VC\ools\MSVC\<msvctoolset>\crt\src\vcruntime。注意这个函数实际上不带任何参数。
只定义了一个名为 __fastcall 的 x64“ABI”，它记录在 Microsoft Docs 上。根据这个定义：RCX、RDX、R8 和 R9 是函数的前四个参数（除非它是一个浮点数/双精度数，它不会是入口点）。 RAX、RCX、RDX、R8、R9、R10、R11 都是易变的，{{1}是返回值。因为这个函数不接受任何参数，所以它不关心任何这些寄存器的值是什么。任何其他寄存器如果被归零，都会导致问题——详情参见this page。
Visual C++ 也有一个 RAX，但这仅用于内部 SIMD 过程调用，而不用于跨进程或系统调用。见Microsoft Docs