5.4.3 RtlIsGenericTableEmpty

作者: [美]Eldad Eilam 著 韩琪 等译 出处:电子工业出版社博文视点 　2008-01-07 08:47　   砖    好    评论  条 　进入论坛

阅读提示：《Reversing：逆向工程揭密》第五章主要讨论的是为获得互操作性的逆向工程。并通过演示相对比较极端的案例剖析API中的各个函数。本文主要介绍的是RtlIsGenericTableEmpty。

5.4.3  RtlIsGenericTableEmpty

在generic table API还有另外一个简单的函数（希望如此），或许从这个函数也能得到一些有关这个数据结构的信息，这个函数是：RtlIsGenericTableEmpty。当然，也有可能这个函数用的就是RtlNumberGenericTableElements函数中所使用的NumberOfElements成员。我们来看一下。

正如我们所希望的，RtlIsGenericTableEmpty的确很简单。这个函数将第一个参数的值（它应该是前边所说的根数据结构）加载到ECX寄存器中，并将EAX寄存器清零。这个函数接着比较了该数据结构的第一个成员（在偏移地址+0处）与EAX，如果相等就用SETE指令将AL置1。（有关SETE指令的详细信息见附录A）

实际上这个函数所做的就是检查该数据结构中偏移地址+0处是不是0，如果是0，则函数返回TRUE，如果不是则函数返回零。现在你知道在偏移地址+0处有一个重要的成员，只要table中有元素这个成员就总是非零。我们再向这个数据结构添加一些信息。

回书目   上一节   下一节