VBS技术内幕：CreateObject函数详解

很多人一开始也不理解，为什么在 CreateObject 函数里传一个不同的字符串，就能变出各种功能不同的对象来。后来有资料详细拆解了 CreateObject 的执行流程，这才明白它创建的是 COM 对象，第一个参数就是 COM 对象的 ProgID。再进一步，用纯 C 语言编写 COM 组件的思路也被公开出来，整个机制才变得清晰。

COM（组件对象模型）这个概念本身就挺复杂，厚书才能讲明白，而且没有 C++ 和面向对象背景很难啃。像《COM原理与应用》《COM技术内幕》《COM本质论》这些都是经典，不过现在基本绝版了。

但对 VBScript 使用者来说，其实没必要深究 COM 的底层原理。简单讲，COM 就是别人写好的模块，我们只需要调用它，不用管里面怎么实现的——这本来就是 COM 设计的一个初衷。ProgID 可以理解成开发者为 COM 对象起的名字，你把名字传给 CreateObject，它就把对象的指针返回给你。

举个例子，如果我用 VB 写一个 COM 组件，起名叫 demon.tw，注册之后就能直接用 CreateObject 来创建：

Set blog = CreateObject("demon.tw")
blog.Open '假设我的COM对象实现了Open方法

我们平时用的 Scripting.FileSystemObject、WScript.Shell、ADODB.Stream 这些，无非是微软开发并随系统自带的 COM 对象的名字而已。

那么 CreateObject 内部究竟是怎么工作的？用 OllyDbg 跟了一下，核心过程大概分四步：

第一步，调用 CLSIDFromProgIDEx 从 ProgID 获取对应的 CLSID。如果找不到，就会报错“ActiveX 部件不能创建对象”。

可以手工在注册表里查找 CLSID。比如要获取 WScript.Shell 的 CLSID，打开注册表编辑器，找到 HKEY_CLASSES_ROOT\WScript.Shell\CLSID 的默认值即可。需要注意的是，某些教程里给出的流程是：

1. CreateObject 函数先检查注册表 HKEY_CLASSES_ROOT\WScript.Shell 下的子键 CurVer 的默认值，结果为 WScript.Shell.1，从而知道最新版本；

2. 读 HKEY_CLASSES_ROOT\WScript.Shell.1，下面有一个子键 CLSID，默认值为 {72C24DD5-D70A-438B-8A42-98424B88AFB8}；

这个说法其实有误。CreateObject（准确说是内部调用的 CLSIDFromProgIDEx）会先检查子键 HKEY_CLASSES_ROOT\WScript.Shell\CLSID 是否存在。只要这个子键存在，哪怕默认值为空或者不是合法的类标识符，都不会转向 CurVer。只有 CLSID 子键不存在时，才会检查 CurVer。

第二步，调用 CoGetClassObject 函数获取 IClassFactory 接口指针。如果获取不到，会报错“ActiveX 部件不能创建对象”或者“类不支持 Automation 操作”，具体信息取决于 COM 的实现。

第三步，调用 IClassFactory 接口的 CreateInstance 方法获取 IUnknown 接口指针。所有 COM 对象都必须支持 IUnknown，这一步基本不会出错。

最后，调用 IUnknown 接口的 QueryInterface 方法，查询该 COM 对象是否支持 IDispatch 接口。只有支持 IDispatch 的 COM 对象才能用 CreateObject 创建。如果成功获取到 IDispatch 接口指针，就可以给 VARIANT 变量赋值了；如果不支持，报错“类不支持 Automation 操作”（或其他类似错误）。

说了这么多，一个关键问题还没回答：VBS 到底能调用哪些对象？或者说，哪些字符串可以作为 CreateObject 的第一个参数？这个问题留到后面细说。

VBS深入CreateObject函数

本篇要讲的是对象的创建过程，主要涉及 COM 的内容。这里不可能展开太多，感兴趣的可以找 COM 方面的书来看，或者查阅其他关于 COM 的文章（比如 ATL、WebBrowser 应用等）。最常见的对象有 WScript.Shell、Scripting.FileSystemObject、Scripting.Dictionary 等，这里以 WScript.Shell 为例。

直接看创建过程：执行语句 Set objWSH = CreateObject("WScript.Shell")：

1. CreateObject 函数先检查注册表 HKEY_CLASSES_ROOT\WScript.Shell 下的子键 CurVer 的默认值，结果为 WScript.Shell.1，从而知道最新版本是 WScript.Shell.1；

2. 读 HKEY_CLASSES_ROOT\WScript.Shell.1，下面有一个子键 CLSID，默认值为 {72C24DD5-D70A-438B-8A42-98424B88AFB8}；

3. 找到 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8}，子键 InProcServer32 的默认值说明服务程序是 C:\WINDOWS\system32\wshom.ocx；

4. 对于脚本可调用的 COM 对象，类型库（TypeLib）是必需的。该 CLSID 下 TypeLib 的默认值是 {F935DC20-1CF0-11D0-ADB9-00C04FD58A0B}，而 HKEY_CLASSES_ROOT\TypeLib\{F935DC20-1CF0-11D0-ADB9-00C04FD58A0B}\1.0\0\win32 的默认值说明类型库位于 C:\WINDOWS\system32\wshom.ocx。

支持脚本调用的 COM 对象必然实现了 IDispatch 接口。从 wshom.ocx 的“资源 – TYPELIB”里可以验证：每个对象开头 7 个函数分别是 QueryInterface、AddRef、Release、GetTypeInfoCount、GetTypeInfo、GetIDsOfNames、Invoke，前三个是 IUnknown 接口的函数。PE 文件里的 TYPELIB 资源是 IDL 源码编译后的类型库二进制数据，可以反编译回去。不过更简单的方法是用 eXeScope 打开 wshom.ocx，查看“资源 – TYPELIB”，就能看到每个接口函数的参数和返回值定义。

VB 开发环境就是通过这种方式知道对象里有什么函数的。所以，如果你知道一个对象名，却不知道它有哪些函数可用，用上述方法就能查出来。

有人问过：“系统中存在哪些对象？对象有哪些函数可以调用？”后半部分已经回答了，现在来说前半部分。对象的注册信息 HKEY_CLASSES_ROOT\CLSID\{GUID} 下可能有一些子键，比如 Control 表示是 ActiveX 控件，Programmable 表示支持自动化，Insertable 表示可以嵌入到 OLE 文档容器中。如果找到 Programmable，说明支持 IDispatch，脚本语言就能用。不过这种方式比较老了，现在更常用的是 Implemented Categories 子键下的 GUID。例如 HKEY_CLASSES_ROOT\CLSID\{72C24DD5-D70A-438B-8A42-98424B88AFB8}\Implemented Categories\{40FC6ED5-2438-11CF-A3DB-080036F12502}，而 HKEY_CLASSES_ROOT\Component Categories\{40FC6ED5-2438-11CF-A3DB-080036F12502} 下的 409 字符串值为“Automation Objects”，即“自动化对象”。

查找“自动化对象”可以用 Visual Studio 自带的 oleview.exe，它专门用来查看 OLE/COM 对象的注册信息，界面如下：

（这里应有 oleview 的界面截图，但因为原文没有提供具体图片链接，仅保留描述）

总结一下：组件类属为 {40FC6ED5-2438-11CF-A3DB-080036F12502}（Automation Objects）的对象都可以被脚本调用。后续的创建过程（如加载 DLL、实例化等）已经超出脚本需关心的范围，有兴趣深入研究 COM 的话，这确实是一个值得学习的机制。