Het zien van een aanroep in de vorm CALL <JMP.&KERNEL32.SetUnhandledExceptionFilter> suggereert dat het binaire bestand is gecompileerd met de optie / INCREMENTAL van Visual C ++, dus de tabel met jump thunks.

... een incrementeel gekoppeld uitvoerbaar (.exe) bestand of dynamic-link library (DLL):

...

• Kan jump thunks bevatten om verplaatsing van functies naar nieuwe adressen af ​​te handelen.

...

je hebt gelijk, het kan direct worden aangeroepen in plaats van te worden gesprongen na een oproep.

Het maakt het echter gemakkelijker als het adres van de API maar één keer wordt verwezen, en deze enkele verwijzing zou een JMP zijn (anders zou het de stapel veranderen).

Er is dus maar één geheugenreferentie naar de API, via een enkele JMP . Elke keer dat de API wordt gebruikt, wordt deze JMP CALL -ed, dus de uitvoering wordt transparant overgedragen en aan het einde van de API is het oorspronkelijke adres van de beller nog steeds op de stapel, zal de beller transparant worden teruggestuurd naar.

De reden is voor de laadprestaties - de sprongen worden verzameld in een enkele regio die tijdelijk schrijfbaar is gemaakt met het doel de API-adressen te plaatsen, en is meestal slechts een enkele pagina groot. Dit vermijdt meerdere aanroepen van VirtualProtect () door de lader, om de hele coderuimte naar elke verwijzing naar een bepaalde API te schrijven.