The __thiscall calling convention is used on member functions and is the default calling convention used by C++ member functions that do not use variable arguments. Under __thiscall, the callee cleans the stack, which is impossible for vararg functions. Arguments are pushed on the stack from right to left, with the this pointer being passed via register ECX, and not on the stack, on the x86 architecture.

其中心思想是，__thiscall 修飾的函數參數從右至左依次壓入堆棧，被調用者負責平衡堆棧。之后是與C語言所有參數傳遞方式均不相同的一點：成員函數所在類的this指針被存入ecx寄存器（這個特性只針對Intel x86架構）。

對比之后，我們發現類成員函數不能作為回調函數的主要原因在于類成員函數使用__thiscal參數傳遞方式，因此需要調用者(caller)通過ecx寄存器提供類對象的指針。而回調函數使用__stdcall參數傳遞方式，不具備這個特點。

如何讓類成員函數成為回調函數
根據第一節對回調函數與類成員函數各自特點的分析。不難發現，只要能想辦法在類成員函數被調用之前設置好ecx寄存器，就能在__stdcall調用的基礎上模擬出一個完好的__thiscall調用。

如何提前設置ecx寄存器呢？我們知道函數調用實際是通過匯編指令(oprand)’call 函數地址’完成的。因此我們可以提供一個中間函數。當回調發生時，先調用中間函數，再在中間函數執行過程中設置ecx寄存器，當ecx設置好后jmp到類成員函數去(注意：這里是jmp不是call)。當執行到類的成員函數時，函數上下文(function context)就和__thiscall所產生的完全一樣了。

如何制作這個中間函數呢？普通的函數是不行的。主要因為在vc++ debug版本的代碼中要使用ecx寄存器做堆棧溢出檢測(stack overflow detect)，即使是空函數都是如此。其次由于存在棧框(stack frame)效率也不高。

這時就需要使用thunk來達到我們的目的。所謂thunk就是程序自己生成并執行的一小段匯編代碼。下面通過代碼來理解thunk。

  1#include "windows.h"
  2#include "stdio.h"
  3#include "stdlib.h"
  4#include "assert.h"
  5#include "stdafx.h"
  6/**///////////////////////////////////////////////////////////////////////////
  7// 回調函數類型定義
  8typedef int (CALLBACK pfaCallBack)(int, long, char);
  9/**///////////////////////////////////////////////////////////////////////////
 10// thunk 結構定義
 11// 由于thunk 要被當作代碼來執行，因此thunk 結構必須是字節對齊的，這里使用
 12// VC++ 的修飾符號#pragma pack(push, 1) 來定義一個字節對齊的結構體
 13// 之后通過#pragma(pop) 恢復默認對齊模式
 14#pragma pack(push, 1)
 15struct Thunk
 16{
 17     BYTE op_movecx;
 18     DWORD_PTR val_ecx;
 19     BYTE op_call;
 20     DWORD_PTR val_address;
 21};
 22#pragma pack(pop)
 23/**///////////////////////////////////////////////////////////////////////////
 24// 一個類的定義，就這樣平靜的開始了
 25class Dummy {
 26// 一個成員變量
 27private:
 28     int m_id ;
 29// 定義一個thunk
 30private:
 31     Thunk m_thunk;
 32// 定義構造函數，在構造函數中設置m_id值
 33public:
 34     Dummy(int id):m_id(id)
 35     {
 36     }
 37/**///////////////////////////////////////////////////////////////////////////
 38// 定義一個回調函數，另外他還是個類的成員函數呢
 39public:
 40     int memberCallback(int intVal, long longVal, char charVal)
 41     {
 42         // 做自己想做的事情
 43         printf("\nI am a member function of class Dummy""(Dummy::memberCallback),ID = %d.""\nI got the value 0x%08x 0x%08x \'%c\'"
 44             , m_id, intVal, longVal, charVal);
 45         return m_id;
 46     }
 47/**///////////////////////////////////////////////////////////////////////////
 48// 初始化thunk 的數據，這里是關鍵
 49public:
 50     void InitThunk()
 51     {
 52         // 0xB9是‘mov ecx, 數值’的機器碼，xB9之后的個字節(32位)指定了要
 53         // 給ecx的數值.
 54         m_thunk.op_movecx = 0xB9;
 55         // 填寫要給ecx的數值為this(類對象的指針)
 56         m_thunk.val_ecx = (DWORD_PTR)this;
 57         // 0xE9是‘jmp 相對地址’的機器碼。相對地址由xE9之后的個字節(32位)
 58         // 給出。
 59         m_thunk.op_call = 0xE9;
 60         // 獲得Dummy::memberCallback的具體地址。關于成員函數與類對象的關系
 61         // 請參閱Stan Lippman 的<<Inside C++ Object Model>>
 62         // 用匯編獲得地址省去了用C++帶來的難看的語法
 63         DWORD_PTR off = 0;
 64        _asm
 65         {
 66                 mov eax, Dummy::memberCallback          
 67                 mov DWORD PTR [off], eax
 68         }
 69         // jmp后面是相對地址，因此要求出這個地址
 70         // 相對地址＝成員函數地址－跳轉點下一指令地址
 71         // 正負號不要緊，jmp自己能根據正負判斷如何跳。
 72         m_thunk.val_address = 
 73             off - ( (DWORD_PTR)(&m_thunk.val_address) + sizeof(DWORD_PTR) );
 74     }
 75/**///////////////////////////////////////////////////////////////////////////
 76// 返回thunk的地址給要回調他的函數。
 77// 那個函數還以為thunk是一個函數地址呢。根本不知道thunk是我們自己構造的
 78// 數據
 79public:
 80     pfaCallBack GetStaticEntry()
 81     {
 82         return (pfaCallBack)&m_thunk;
 83     }
 84};
 85/**///////////////////////////////////////////////////////////////////////////
 86// 一個調用回調函數的函數
 87void Trigger(pfaCallBack callback)
 88{
 89     assert(callback);
 90     int intVal = 0x1234;
 91     int longVal = 0x5678ABCD;
 92     int charVal = 'D';
 93     // 函數內部
 94     int r;
 95     // 開始回調
 96     r = callback(intVal, longVal, charVal);
 97     printf("\n Return value = %d\n", r);
 98}
 99/**///////////////////////////////////////////////////////////////////////////
100// 傳說中的主函數。VC++工程里生成的就叫_tmain不叫main。
101int _tmain(int argc, _TCHAR argv[])
102{
103     //生成一個對象
104     Dummy *dummy1 = new Dummy(9);
105     //初始化thunk
106     dummy1->InitThunk();
107     //取得thunk地址
108     pfaCallBack pCallback1 = dummy1->GetStaticEntry();
109     //給需要回調函數的函數傳遞thunk
110     Trigger(pCallback1);
111     // 按任意鍵繼續
112     system("pause");
113     return 0;
114}
115