Win32汇编笔记-消息基础

WIN32的消息机制

windows系统是一个消息驱动的OS,操作通过处理各种消息来响应用户的操作。

对于每一个带有窗口的线程，系统都会给他分配一个自己的消息队列，用于处理消息派送（Dispatch）。每个线程都用自己的消息循环来接受消息。每个线程列队默认管理最大10000个消息，修改注册表下面的键值可以修改列队中的消息数。建议的最小值是4000
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\USERPostMessageLimit.

线程列队不是一个公开的数据结构(THREADINFO),其中包括登记消息队列(Posted-message queue),消息发送队列(Send-message queue),消息应答队列(reply-message queue),虚拟输入队列(virtualized-input queue),唤醒标志(wake flag)，以及用来扫描线程局部输入状态的若干变量。(参考Windows核心编程)

消息列队提取优先级

1.检查QS_SENDMESSAGE 标志 GetMessage 不处理Send消息，如果队列中没有其他send消息，关闭QS_SENDMESSAGE标志,GetMessage（）不返回检查其他消息。

2.检查QS_POSTMESSAGE 标志 GetMessage 从此列队取出消息处理并由DisPatch分发到指定窗口回调函数处理。GetMessage返回True,没有其他post消息关闭标志。

3.检查QS_QUIT 标志如果被PostQuitMessage()打开，则GetMessage返回False退出消息循环，并且关闭QS_QUIT标志

4.检查QS_INPUT 标志 GetMessage 从此列队取出消息处理由TranslateMessage()处理键盘鼠标消息，然后由DisPatch分发到指定窗口回调函数处理没有其他消息关闭标志.

5.检查QS_PAINT 标志处理同2

6.检查QS_TIME 标志首先复位计时器，GetMessage返回True,如果没有计数器，关闭QS_TIME标志。

优先级很清楚，send优先级最高，最低的是time。

Windows定义了很多消息都以WM_开头，都是用#DEFINE 定义的常量，用户可以定义自己的消息，windows规定用户的消息从WM_USER 0x0400开始。

BOOL PostMessage(HWND hwnd,UINT uMsg,WPARAM wParam,LPARAM lParam);

往进程的消息列队发送消息PostMessage，这个函数往指定进程的消息列队发送一个消息，发送完毕立即返回。调用函数无法知道发送的消息是否能被处理。如果这个指定窗口未处理完自己消息列队的所有消息前就推出了，就会处理不到post的消息。

PostMessage发送的消息参数不能包含指针参数，MSDN的说明是：
“如果发送一个低于WM_USER范围的消息给异步消息函数（PostMessage.SendNotifyMessage，SendMesssgeCallback），消息参数不能包含指针。否则，操作将会失败。函数将再接收线程处理消息之前返回，发送者将在内存被使用之前释放。”

我的理解是，就算目标进程知道你发来的是个指针地址，但是2个进程之间的寻址空间是独立的，互相不可访问,怎么能获取发送进程内存空间里的数据呢？

关于WM_QUIT消息

窗口回调函数里不可能接到WM_QUIT消息。因为从消息列队里GetMessage()收到WM_QUIT消息就返回0，消息循环就会结束，所以DispatchMessage()也不可能再把这个消息分发到窗口的回调函数。这就是为什么，书里一再强调要在WM_DESTORY的消息事件里加上PostQuitMessage()的原因。如果不加，程序只是销毁窗口，但是进程任然存在。消息循环还在运行，但是因为窗口已经销毁，所以他不可能再从消息列队里取得任何消息。

使用PostQuitMessage()与PostMessage()发送消息的不同
前者把消息列队里的QS_QUIT标志打开，并且等待程序处理完消息列队里的所有消息后才结束消息循环。
后者是把WM_QUIT直接放到消息列队，消息循环取到得下一个消息是WM_QUIT就立即退出。MSDN里不建议使用PostMessage发送WM_QUIT消息，因为这样会造成程序的收尾工作无法进行，正常退出后所需要的资源释放等操作就没法执行了。

用SendMessage无法发送WM_QUIT消息，因为SendMessage并不是吧消息放入消息列队，所以，GetMessage根本无法得到SendMessage发送的消息。

BOOL PostThreadMessage(DWORD dwThreadId,UINT uMsg,WPARAM wParam,LPARAM lParam);
这个函数和PostMessage类似，都是发送完消息立即返回，不同的是这个函数向指定的ThreadId发送一条消息。这个函数发送的消息不回被分配到目标进程窗口的回调函数，因为当消息放入列队时，MSG的hwnd被设置为NULL,没有窗口句柄，DispatchMessage能把消息分配给谁呢?PostThreadMessage也可以发送WM_QUIT消息，消息会放到队列的尾端。在qs_input之前处理该消息。
PostMessage 和PostThreadMessage发送WM_QUIT消息都会造成窗口的首尾代码无法执行。用的时候需要注意下。

LRESULT SendMessage(HWND hwnd,UINT uMsg,WPARAM wParam,LPARAM lParam)
SendMessage同步发送消息，发送进程要等待目标进程窗口的回调函数处理完成消息后才能恢复运行，调用点线程在等待SendMessage返回的过程中是挂起状态，本身也无法响应任何操作。
发送进程再等待的过程中，如果系统中其他的进程向等待进程发送消息，则发送进程立即处理消息。

Windows提供了其他的4个API来进行进程间的消息发送。

LRESULT SendMessageTimeout(HWND hwnd,UINT uMsg,WPARAM wParam,LPARAM lParam,UINT fuFlags,UINT fuTimeout,PDWORD_PTR pdwResult);

fuFlags参数由下列标志组成
SMTO_ABORTIFHUNG    如果目标进程处于挂起状态立即返回。
SMTO_BLOCK      发送进程在SendMessageTimeout返回之前不处理任何消息
SMTO_NORMAL       0值，如果不适用其他标志，就是用这个标志
SMTO_NOTIMEOUTIFNOTHUNG 如果目标进程未处于挂起状态不考虑fuTimeout限定等待值

fuTimeout参数指定等待时间单位毫秒
pdwResult 指向一段内存区域，保存返回结果。如果用SendMessageTimeout本身线程的窗口则直接调用窗口的回调函数，并且将结果保存在pdwResult中。

BOOL SendMessageCallback(HWND hwnd,UINT uMsg,WPARAM wParam,LPARAM lParam,SENDASYNCPROC lpCallback,ULONG_PTR dwData);
lpCallback 参数指向一个CALLBACK函数，定义如下
VOID CALLBACK ResultBack(HWND hwnd,UINT uMsg,ULONG_PTR dwData,LRESULT lResult);

发送线程使用SendMessageCallback发送消息到接受线程的发送消息列队，并理解返回。当接收线程处理完消息后，用一个消息登记到发送线程的应答消息队列，然后系统调用ResultBack函数通知发送进程。前2个参数是接受线程窗口的句柄，消息值，第三个参数dwData就是SendMessageCallback中最后一个参数，lResult参数是接受消息窗口回调函数的返回值。
接收进程处理完SendMessageCallback函数后先在发送进程消息列队登记应答消息，发送进程在下一次调用GetMessage,PeekMessage时，执行ResultBack函数

Bool SendNotifyMessage(HWND hwnd,UINT uMsg,WPARAM wParam,LPARAM lParam);
SendNotifyMessage将消息放到接收线程的发送消息列队(QS_SENDMESSAGE)中，并且立即返回。和PostMessage类似，但不同的是。
发送消息列队的优先级比登记列队（QS_POSTMESSAGE）的优先级高。所以SendNotifyMessage发送的消息比PostMessage发送的消息处理的早。
向进程发送窗口消息时，SendNotifyMessage效果和SendMessage完全一样，等待消息处理完之后才返回。

BOOL ReplyMessage(LRESULT lResult);
这个函数是用于接收线程窗口的回调函数中,调用ReplyMessage后，发送线程恢复运行。

判断消息类型
BOOL InSendMessage();
如果当前消息是进程间消息，返回TRUE,如果是进程内消息返回FALSE;

DWORD InSendMessageEx(PVOID pvReserved);
这个函数返回正在执行的消息类型。返回值如下:
ISMEX_NOSEND    消息是线程内部消息
ISMEX_SEND    消息是用SendMessage或SendMessageTimeout发送的进程间消息
ISMEX_NOTIFY    消息是SendNotifyMessage发送的进程间消息
ISMEX_CALLBACK 消息是SendMessageCallBack发送的进程间消息
ISMEX_REPLIED    消息是是进程间消息，并且已经调用ReplyMessage

消息队列的状态标志
DWORD GetQueueStatus(UINT fuFlags);

参数fuFlags是由一组标志联合起来的值，用来查看特定的唤醒队列标志。
QS_KEY      WM_KEYUP、WM_KEYDOWN、WM_SYSKEYUP或WM_SYSKEYDOWN
QS_MOUSE    MOVEWM_MOUSEMOVE
QS_MOUSEBUTTON WM_?BUTTON*（其中？代表L、M或R、*代表DOWN、UP或DBLCLK)
QS_MOUSE    同QS_MOUSEMOVE|QS_MOUSEBUTTON
QS_INPUT    同QS_MOUSE|QS_KEY
QS_PAINT    WM_PAINT
QS_TIMER    WM_TIMER
QS_HOTKEY    WM_HOTKEY
QS_POSTMESSAGE 登记的消息（不同于硬件输入事件）。当队列在期望的消息过滤器范围内没有登记
      的消息时，这个标志要消除。除此之外，这个标志与QS_ALLPOSTMESSAGE相同

QS_ALLPOSTMESSAGE 登记的消息（不同于硬件输入事件）。当队列完全没有登记的消息时（在任何消息
过滤器范围），该标志被清除。除此之外，该标志与QS_POSTMESSAGE相同

消息类型存放在回值的高字节中（2个字节），低字节储存还没有处理的消息类型。

上面几个函数都是用来发送消息,很多函数不是常用的，但多了解几个函数没有坏处，了解的东西越多，遇到问题解决的办法也就越多。

键盘，鼠标消息

windows程序与用户的互交都是通过鼠标键盘实现的，所以必须要了解windows是如何处理键盘鼠标消息的。

首先，发生的键盘鼠标消息是先报错在系统消息列队的（不是直接发放到应用程序列队）,当应用程序处理上一个输入消息后，系统消息队列才把下一个输入消息投放到应用程序列队。因为如果按键的输入速度比应用程序处理速度快，后来的键如果还是发往当前的焦点窗口句柄，那么切换到新窗口后后来输入的键还是会发送到先前的窗口，直到上一个窗口处理完所有的未处理的按键消息，按键才会改变发送的窗口句柄到新窗口。

其次，每一个按键产生2类消息，按键消息和字符消息。很显然，有的按键只有按键消息没有字符消息，比如Capslk,Shift等。

按键又分为系统按键和非系统按键,对于系统按键，当按下一个键发生WM_SYSKEYDOWN消息，放开这个键发生WM_SYSKEYUP消息,对于非系统间，按下和放开发生WM_KEYDOWN和WM_KEYUP消息。
很显然这些消息都成成对出现的。一个KEYDOWN,接着就是一个KEYUP,

对于系统按键，通常是windows系统本身比较关心的消息，系统按键通常由ALT快捷键产生，Alt tab Alt F4 Alt esc 等等。应用程序不处理ALT消息，而是交给DefWindowProc来处理，这就说明应用程序的菜单快捷键也是由系统处理。系统将Ctrl+s这类的快捷键，转换成菜单命令消息,不用自己去处理。

对于所有的4类按键消息WM_SYSKEYDOWN WM_SYSKEYUP WM_KEYDOWN WM_KEYUP,wParam参数保存虚拟键代码，LParam参数包含按键的其他数据。

产生虚键代码的原因是因为早期的键码是由真实键盘产生，叫做"扫描码",扫描吗是按照键盘的排列顺序产生的，比如16 是Q,17是W（数数看，呵呵)很明显这种键码会因为键盘布局的变化而变化，太过于设备话，于是通过定义虚拟键代码。
虚拟代码是一些列VK开头的定义在winuser.h里的值。例如VK_TAB,VK_RETURN(回车键)等等，键盘数字0-9和字母a-z,A-Z就是ASCII的值。小键盘上的数字是VK_NUMPAD0-VK_NUMPAD9，其他的功能键都是VK_+键的英文含义组成。

lParam参数的32位分成6个字段，用于表示不同的消息
00-15位，包含按键的从重复次数。
16-23位，包含按键的OEM扫描吗，上面说过扫描吗。
24   位，包含按键的扩充标志，这个标准被windows忽略不用
29   位，包含按键的内容代码，对于系统键盘此位是1，对于非系统键此位为0
30   位，包含按键的先前状态，如果键是先前释放的，为0，否则为1.
31   位，     包含按键的转换状态，如果键盘按按下，为0，否则为1。
25-28位未知。

short GetKeyState(int vKey)函数用来获得某个键到目前为止的状态，比如判断shift是否按下GetKeyState(VK_SHIFT)，按下高位时1，否则是0，GetKeyState(VK_CAPITAL)(Capslk键)如果打开低位返回1，注意这个GetKeyState返回short类型的值16位,不是上面说的LParam的值。GetKeyState不是实时检查状态的，指检查到目前为止的键盘状态。

short GetAsyncKeyState(int vKey)函数用来获取当前的某个键的当前状态。高位为1则当前判断的建被按下，低位返回1则，则按键在上次调用GetasyncKeystate以来状态是被按下的。

GetKeyState判断组合键比较合适，因为可以判断某个键到目前为止的状态，按下了Ctrl再按下S,那么可以在S键的处理消息上判断GetKeyState(VK_LCTRL)是否按下。

GetAsyncKeyState可以用来做个循环，当某个键现在按下，处理某些事情。

字符消息
每当一个键被按下，就产生一个按键消息和字符消息，通常我们只关心字符消息，因为同样的按键产生的字符有可能是不同的，比如，打开搜狗输入法按Shit + 4打出的字符是￥，关闭输入法打出的是$。
字符消息的wParem参数是按键的ASCII值，所以在回调函数中可以if (wParam == 'a')这样判断输入的字符。

鼠标消息

鼠标按键全使用消息,每个键有3个消息，BUTTONDOWN,BUTTONUP,BUTTONDBLCLK(双击),WM_L（左键） WM_M（中键） WM_R（右键）加上三个消息代表了鼠标显示区消息。
鼠标的移动消息是WM_MOUSEMOVE
此时wParam参数表示下列的按键是否被按下MK_CONTROL MK_LBUTTON MK_MBMTTON MK_RBUTTON MK_SHIFT
lParam低位代表鼠标X坐标，高位代表鼠标Y坐标。

可以看出SendMessage()发送的WM_CHAR消息不会被目标进程的窗口回调函数处理，因为SendMessage直接发送到回调函数,没有经过TranslateMessage翻译键盘消息。

线程间的数据共享

WM_SETTEXT消息
首先说明WM_SETTEXT消息不是一个用来做进程间发送数据用的，这个消息是用来设置窗口标题，或者按钮文本，或者Edit控件内容的。比如SetWindowText（HWND hwnd,LPCTSTR lpString）（设置窗口的标题）调用这个函数实际上就是产生了一个WM_SETTEXT消息，通常由默认回调函数DefWindowProc来处理。想想就行了，只能发送一个字符串有什么用？
但是WM_SETTEXT消息特殊的地方就是，系统为用这个消息发送的字符串开辟另外一块共享内存映射空间，使不同进程接收消息的线程也能够收到并且使用这个字符串。

对应的还有一个WM_GETTEXT消息，这个消息是从目标窗口句柄返回字符串信息，同样GetWindowText（HWND hwnd,LPCTSTR lpString，int iMaxCount）函数也是产生一个WM_GETTEXT消息由DefWindowProc来处理,参数中多了一个iMaxCount用来表示字符串的长度。

WM_COPYDATA消息
WM_COPYDATA消息把自定义的一块数据发送到目标线程，目标进程的窗口回调函数中必须有这个消息的处理方法，否则发了也没用。

WM_COPYDATA WMSETTEXT这两个数据传递消息都只能使用SnedMessage()发送，SnedMessage返回了系统就会释放开辟的内存空间，用其他的方法发送，系统不知道目标进程什么时候处理消息，所以也无法释放内存映射空间。
可以在Send.asm里加入下面代码看看如果用PostMessage返回什么错误提示。
lpBuffer db 512 dup (?) ;先定义一个buffer

invoke PostMessage,hWnd,WM_COPYDATA,0,addr stCopyData ;试用PostMessage发送,根本就没有发送消息
.if eax == 0
invoke GetLastError
invoke FormatMessage,FORMAT_MESSAGE_FROM_SYSTEM or FORMAT_MESSAGE_IGNORE_INSERTS,NULL,
eax,LANG_NEUTRAL,offset lpBuffer,sizeof lpBuffer,NULL
invoke MessageBox,NULL,offset lpBuffer,offset szCaption,MB_OK
.endif
这个方法是使用GetLastError函数先获得上一次调用函数失败的代码，然后通过FormatMessage找到错误代码的描述，参数里设置说明是中文。
大部分的winAPI在调用失败后都可以通过GetLastError获得调用失败的错误代码。这个方法很好用，可以及时了解为什么出错。

键盘消息的使用

可以使用PostMessage给目标窗口或者控件发送键盘消息，按键消息和字符消息，但是使用SendMessage只能发送字符消息，而不能发送按键消息，想想为什么？
开始练习按键消息前，必须要先了解2个函数:
HWND FindWindow(LPCTSTR lpClassName,LPCTSTR lpWindowName);通过lpClassName窗口注册类名（就是WNDCLASS里的lpszClassName名称）或者lpWindowName窗口标题名获得窗口句柄。
2个参数随便用一个就可以，不使用的给NULL。

HWND FindWindowEx(HWND,hwndParent,HWND hwndChildAfter,LPCTSTR lpszClass,LPSTSTR lpszWindow);这个函数可以通过窗口句柄和控件类名或者控件标题名获得这个控件的句柄。
先通过FindWindow得到主窗口句柄，然后通过FindWindowEx得到主窗口内某个控件的句柄。

下面看看如何通过PostMessage给windows记事本发送按键消息
首先找到记事本
szClac db 'Notepad',0 记事本主窗体的类名，可以通过Spy++获取
szEdit db 'Edit',0 内容用于写内容的Edit控件

hwndnote db ? 用于保存句柄

invoke FindWindow,offser szCalc，NULL ;找到记事本句柄
invoke FindWindowEx,eax,NULL,offset szEdit,0 ;找到edit控件的句柄
mov hwndnote,eax

下面就可以给记事本发送各种键盘消息，比如

invoke SendMessage,hwndnote,WM_KEYDOWN,VK_1,0 ;发送一个按键消息1
invoke PostMessage,hwndnote,WM_KEYDOWN,VK_2,0 ;发送一个按键消息2

invoke SendMessage,hwndnote,WM_CHAR,VK_3,0 ;用SendMessage发送一个字符消息3

想象发送后记事本上的的字符顺序是1,2,3么？

发送一个组合键Alt+E,就是打开记事本的编辑菜单
invoke PostMessage,hWndnd,WM_SYSKEYDOWN,VK_MENU,020000001h ALT键按下
invoke PostMessage,hWndnd,WM_SYSKEYDOWN,VK_E,020000001h E键按下必须要把第29位设置成1，代表alt键已经下
invoke PostMessage,hWndnd,WM_SYSCHAR,VK_E,020000001h    发送一个系统字符E
invoke PostMessage,hWndnd,WM_SYSKEYUP,VK_E,080000001h    E键放开，必须把31位设置成1，表示这个是系统键
invoke PostMessage,hWndnd,WM_KEYUP,VK_MENU,080000001h    ALT键放开，31位系统键设置成1

这组消息可以通过SPY++监视记事本的键盘输入状态得到，其实可以精简，只用下面2条就可以。
invoke PostMessage,hWndnd,WM_SYSKEYDOWN,VK_E,020000001h E键按下必须要把第29位设置成1，代表alt键已经下
invoke PostMessage,hWndnd,WM_SYSKEYUP,VK_E,080000001h E键放开，必须把31位设置成1，表示这个是系统键

因为E键的lParam参数的29位置1，已经说明这个E在这里表示系统按键，29位置1表示ALT键已经按下。
按键弹起的时候，必须把31位置1，表示这是个系统键弹起。否则会当做普通键，并且在记事本里打印出字母e。

现在想出来这组消息后，记事本上会是什么字符么？答案是:321，前面说过SendMessage的优先级高于PostMessage,所以是先打出3，然后是1，最后是2。

关于windows消息的操作还有很多，这里只举出了最基本的发送键盘消息的方法。理解这些基本的操作是位日后学习使用其他消息操作打下一个好的基础。

鼠标消息的使用

键盘消息只发送给当前拥有输入焦点的窗口，鼠标消息不同，只要鼠标达到，窗口就会收到鼠标消息。当鼠标在窗口显示区域内,鼠标消息的lParam参数是鼠标所在窗口的X,Y坐标值，当鼠标不在窗口显示区域内，参数lParam是桌面的X,Y坐标值。
显示区域:是指用户能够输出显示信息结果的区域。非显示区域是指：菜单，标题栏，滚动条

对于显示区内发送鼠按键消息,wParam参数指定鼠标按键以及Shift和Ctrl按键的状态，键值如下:
MK_CONTROL 表示ctrl按下 MK_?BUTTON 表示鼠标3个键按下 MK_SHIFT 表示shift按下
lParam参数指定鼠标的坐标值，高位Y坐标，低位X坐标

下面的例子代码是使用键盘的上下左右方向键移动鼠标光标，空格键发送鼠标单击消息。可以把SendMessage句柄改成“画图”程序句柄，这样在当前窗口按空格键，将会在画图程序的同样位置画出一个点。

_MoveMouse proc hwnd,wParam,lParam
local @szPos [128]:byte
local @stPoint:POINT
local @stRect:RECT
invoke GetCursorPos,addr @stPoint            ;获得当前鼠标屏幕坐标位置
invoke ScreenToClient,hwnd,addr @stPoint          ;将鼠标的屏幕坐标位位置转换成当前窗口内的坐标位置
invoke wsprintf,addr @szPos,offset szMsg,@stPoint.x,@stPoint.y
invoke SetWindowText,hwnd,addr @szPos
mov eax,wParam
.if eax == VK_LEFT
    sub @stPoint.x,1
.elseif eax == VK_RIGHT
    add @stPoint.x,1
.elseif eax == VK_UP
    sub @stPoint.y,1
.elseif eax == VK_DOWN
    add @stPoint.y,1
.elseif eax == VK_SPACE
    mov eax,@stPoint.y
    shl eax,16
    add eax,@stPoint.x
    invoke PostMessage,hwnd,WM_LBUTTONDOWN,MK_LBUTTON,eax
    invoke PostMessage,hwnd,WM_LBUTTONUP,0,eax
.endif
invoke ClientToScreen,hwnd,addr @stPoint          ;将当前窗口坐标位置转换成屏幕位置
invoke SetCursorPos,@stPoint.x,@stPoint.y          ;设置光标位置
ret
_MoveMouse endp

在窗口的回调函数中加入以下代码:

.elseif eax == WM_KEYDOWN
mov eax,wParam
.if wParam == VK_LEFT || wParam || VK_RIGHT || wParam == VK_UP || wParam == VK_DOWN || wParam == VK_SPACE
invoke _MoveMouse,hWnd,wParam,lParam
.endif

对于非显示区鼠标消息和显示区鼠标消息类似，消息后加"NC"代码表示非显示区消息，例如WM_NCLBUTTONCLICK
参数wParam是一些定义在winuser.h里以HT开头的的非显示区域代码,比如HTCAPTION 代表标题栏，HTCLOSE，代表窗口右上角的关闭按钮等等。
参数lParam表示屏幕坐标，不是显示区坐标，同样低位是X坐标，高位是Y坐标。

纯C写的FirstWindow和汇编FirstWindow的区别

同样的FirstWindow程序，我用C写了一个，反汇编后比较，发现反汇编结果里多了很多编译器添加的代码。尺寸也大了不少，查了一些资料，发现原来这些编译器添加的代码就是传说中的CRT,C语言运行时环境。

用C写windows程序，都知道程序从winMain开始执行，实际上在这之前，是有其他的函数来调用WinMain的。这个函数就叫做入口函数。
入口函数对运行时库和程序运行环境进行初始化，包括堆，I/O,线程等等。入口函数执行完后才回去调用main函数正式开始执行程序，WinMain执行完后，返回到入口函数，由入口函数进行清理工作。

这倒也好理解，winMain之前肯定有些东西执行了什么，比如winMain的4个参数，hInstance,szCmdLine,iCmdShow 都是从启动函数传给winMain的。
对于我现在使用的vs2008的编译器来说，入口函数的代码位于srt\src\crt0.c文件里。函数的名称是__tmainCRTStartup。现在看看里面都干了些什么关键：

首先定义了个STARTUPINFO StartupInfo结构，使用GetStartupInfo(&StartupInfo)初始化。STARTUPINFO结构包含一些进程的信息。具体细节可以查看msdn.
紧接着初始化堆 _heap_init(1)
初始化堆是很重要的，否则不能使用C++的new 或c的malloc来分配内存。
然后初始化多线程 _mtinit()
然后初始化I/O,_ioinit(),得到命令行参数GetCommandLineT();得到当前进程进程版本信息

最后调用启动函数
WinMain((HINSTANCE) & __ImageBase,NULL,lpszCommandLine,StartupInfo.dwFlags & STARTF_USESHOWWINDOW? StartupInfo.wShowWindow: SW_SHOWDEFAULT);
到这里就可以看见，winMain的参数是怎么来的了,hInsteance 就是__ImageBase（载入基址),命令行参数也是传进来的，最后的iCmdShow,参数就是STRTUPINFO里的显示方式。

就是因为编译时加入了启动函数所以使C程序编译出来的可执行文件比汇编程的大了30多K。
其实启动函数不是必须的，可以自定义一个自己的启动函数代替默认的启动函数。
比如定义一个
int WINAPI main()
{
    HINSTANCE hInstance = GetModuleHandle(NULL);      //得到当前进程的句柄，和汇编一样
    LPSTR lpszCmdLine = GetCommandLine();          //获得命令行参数
    int r = WinMain(hInstance, NULL, lpszCmdLine, SW_SHOWDEFAULT); //调用WinMain函数，就开始执行
    ExitProcess(r);                //最后结束进程
    return r; // this will never be reached.
}
需要在link.exe 后加/entry:main /nodefaultlib:msvcrt90.lib参数，/entry指定入口点函数， /nodefaultlib指定不连接运行时库。

这样编译连接后，可执行文件尺寸和汇编后的大小一样。反汇编后比较内容也基本差不多。要不说C语言执行速度快，编译后的内容和直接用汇编写的程序基本上一样。

转载于:https://www.cnblogs.com/dubingsky/archive/2009/07/08/1519317.html