在上一篇文章中，测试代码2 中的 pBaseA->AA(); 输出的内容很“奇怪”。其实，完全在情理之中。本文将简单探究一下 c++ 中的虚函数实现机制。本文主要基于 vs2013 生成的 32 位代码进行研究，相信其它编译器（比如，gcc）的实现大同小异。

假设我们有如下代码，假设 int 占 4 字节，指针占 4 字节。

输出结果如下图：

有没有觉得意外？从类定义可知，data 占 4 字节，那另外的 4 字节是哪里来的呢？data 的偏移值不应该是 0 吗？为什么是 4 呢？

如果一个类有虚函数，编译器会自动为这个类型的对象在头部增加一个虚表指针（vftable），指向虚函数表。虚函数表中存放着一个个的虚函数。

CBase 和 CDerived 类对象的内存布局如下：

注意：虚函数表中索引为 -1 的地方指向了跟动态类型转换相关的信息。

Updated 2020-09-19：
上述虚表内容中析构函数不准确，请参考下图：

vftable 是在类的构造函数中初始化的。可以在 IDA 中分别查看 CBase 类 和 CDerived 类的构造函数的反汇编代码。

CBase 构造函数的反汇编代码如下（关键部分已注释）：

由反汇编代码可知， CBase 的构造函数会把 CBase 对象开始的位置（存放虚表指针）设置为 CBase::vftable。

CDerived 构造函数的反汇编代码如下（关键部分已注释）：

由反汇编代码可知， CDerived 的构造函数会先调用 CBase 的构造函数进行基类部分的初始化，在 CBase 构造函数的内部把 CDerived 对象开始的位置设置为 CBase::vftable，然后调用自身的初始化部分，会把 CDerived::vftable 的地址放到对象开始的位置，从而替换掉了 CBase 类的虚表指针。

了解完了虚表指针的初始化过程，再来看看 vftable 里面都有哪些内容。

可以双击 ??_7CBase@@6B@ （或者直接按回车）跳转到虚表所在的地方。如下图：

说明：上侧是 CBase 类的虚表内容，下侧是 CDerived 类的虚表内容。

请注意图片上侧黄色高亮部分，也就是 vftable[-1] 的地方，是跟动态类型转换相关的信息，后面有机会介绍。

理解了类对象的内存布局及虚函数表之后，再理解虚函数的调用过程就比较简单了。

有些 C++ 基础的小伙伴儿都知道本例中的输出结果应该如下图所示：

直接看一下 pBase->VFun1() 和 pBase->VFun2() 对应的反汇编代码就应该明白一切了。如下图：

因为 pBase 指向的实际是 CDerived 类型的对象，所以虚表是 CDerived 类的。如下图所示：

Updated 2020-09-19：

上述虚表内容中析构函数不准确，请参考下图：

经过以上的分析，输出结果合情合理。

本文只是拿了一个最最简单的例子做演示。像多重继承，虚继承等比较复杂的情况，感兴趣的小伙伴可以自行研究。

虽然这个例子很简单，但是背后的机理值得了解清楚，非常有用。比如，当库中的接口与库头文件不匹配的时候，很可能莫名其妙的就崩溃了。这时可以通过查看指针对应的虚表的内容来查看库中的虚函数都有哪些，跟头文件对比后就可以比较准确的判断是否是库不匹配的问题。还可以根据虚表的内容，猜测出基类指针指向的具体的子类对象的类型。

可以在 windbg 中使用 dps 命令快速打印，如下图：

虚表指针是在类的构造函数中初始化的，相应的代码由编译器自动生成。

在生成调用虚函数的代码的时候，并没有直接把虚函数地址写死，而是通过虚表进行调用，多了一层间接层。

Any problem in computer science can be solved by anther layer of indirection. (计算机科学领域的任何问题都可以通过增加一个间接的中间层来解决)

注意：如果通过对象调用虚函数，会是另外一种情况，因为不存在多态，直接使用函数地址进行调用就可以了。感兴趣的小伙伴儿可以自行实验。

《深度探索 c++ 对象模型》

https://en.wikipedia.org/wiki/Fundamental_theorem_of_software_engineering

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)