首页
论坛
专栏
课程
1

[调试逆向] [原创]windbg 脚本简单入门

evileagle 2013-10-31 23:04 22098
在Windows调试器这个圈子里,Windbg作为微软的亲儿子,其名气可谓无人不知,就算你没用过,那你肯定也听说过。Windbg的功能自然不必说,集内核调试,应用程序调试,远程调试,dump分析等于一身,真是杀人灭口必备利器。但是也由于其太过强大,命令太多,导致很多新手对windbg望而生畏,觉得Windbg很高深。好在已经有很多有识之士将Windbg的基础用法分享了出来,入门应该不是一件难事了。今天就不再重复谈Windbg如何入门,来探讨一下高级点的用法:脚本。其实,脚本不应该是一个很复杂的东西,但是,在Windbg的帮助里想过的内容却太过于分散了,导致学习起来颇有些海底捞针的感觉,所以我觉得有必要把我的心得跟大家分享一下。

先来解释一下,Windbg的脚本是什么?你可以理解为脚本就是一种语言,就像c或者汇编,但是他不需要编译器将其编译为可执行文件,而是由解释器将其内容翻译为对应的动作。而Windbg的脚本就是利用Windbg作为解释器,将脚本内容翻译为实际的动作。也许这个解释还是有些晦涩,那让我们跳过这些晦涩的概念,来一个简单的例子:
.echo “hello windbg”

这条命令会显示“hello windbg”这个字符串,把它保存到c:\1.txt文件,然后在Windbg的命令窗口里输入:$$><c:\1.txt回车,看看屏幕上出现了什么?没错,Windbg将1.txt里的内容当做一条Windbg的命令执行了。这就是一个简单的脚本。

也许有人说,这确实是一个脚本,但是他太弱了,只能打印字符串而已。别急,饭要一口一口吃,脚本要一点一点扩展。先来看看这个$$><,根据前面的例子,很容易看出他的作用是将脚本文件交给Windbg解释,由他完成了将一个txt变成Windbg命令的关键转换。其实你知道了这个,Windbg脚本就算入门了,因为你可以把很多命令写在这个文件里,然后用$$><装载执行。这应该能完成一些功能,不过,这样的用法充其量应该叫做batch,而不是script,因为他只能批量执行命令。那么怎么才能升级到script呢?接下来我们一步一步分解,不过在此之前,还是先把$$><了解透彻。$$>< 其实有5个孪生兄弟,在windbg中给出的形式和用法如下:

$<Filename 
$><Filename 
$$< Filename 
$$>< Filename 
$$>a< Filename [arg1 arg2 arg3 ... ]


妈呀,眼都花了,看上去长得都很像。别急,他们是有规律的,归纳一下:

1.'$'的表示'<'和脚本名之间不可以有空格。
2.'$$'的表示可以有空格(其实我有点不太理解这个操蛋设定,为什么不能自动检测)。
3.'<'表示不会自动把脚本文件压缩为一行。
4.'><'表示会把他们压缩为一行,并将原来的换行变成';'。
5.最后一个表示可以给脚本传递参数。

为什么要压缩成一行?问的好,Windbg执行某些命令的时候需要他们是一行,比如bp后面可以添加其他命令,但是所有命令写一行又太长了,不容易阅读,于是帮你压缩一下。一般我们用$$><就够了。

好了,接下来是脚本的时刻了。要用好脚本,先要转变自己的态度,要像学习一门编程语言一样学习他,像写代码一样写他,总之,你的思路应该和编程的思路一样。写Windows的应用程序需要哪些知识?首先需要一门编程语言,比如c,另外需要了解Windows的API。好了,我们现在对应到Windbg的脚本。Windbg提供了一些脚本的语法,相当于一门编程语言,而脚本里用到的那些命令相当于系统的API。要学好开发,先要学好一门编程语言,而语言学好以后,API就是现用现查的,所以我们就主要从语法入手。

新学一门编程语言,入门的时候都会学以下几个方面:数据类型,变量,表达式,语句,内建函数,我们也从这几个方面来了解Windbg的脚本。

1.  数据类型:
关于数据类型,Windbg的帮助里没有明确列举,但是,在使用时一般会遇到,数值和字符串这两种。

数值
数值没有太多需要解释的,和所有编程语言里的整数含义一样,在表示的时候有进制之分。
2进制  0x
8进制  0n
10进制  0t
16进制  0y



字符串

字符串用一对 ” 括起来。比如上面的 ”hello windbg”。

2.  变量:
在windbg中变量的定义很特别,实际上,他并没有变量这个概念,所以,你学习的时候会觉得很别扭。不过,我们换个思路就容易了,变量实际上就是为了保存临时结果, 如果你只想保存一些数值,那么伪寄存器应该是比较好的选择,windbg提供了20个伪寄存器$t0-$t19,供命令保存临时数值变量。称他们为伪寄存器是有原因的,首先对他们的操作和寄存器一样,都是使用r命令,在C++表达式里都前面需要加@符,但是他们又不是真正的寄存器,只是windbg定义的名字而已。使用这些伪寄存器也是很方便的:

0:000>[COLOR="red"] r $t0=0x123[/COLOR]
0:000>[COLOR="red"] r $t0[/COLOR]
$t0=00000123

0:000>[COLOR="red"] r eax[/COLOR]
eax=004c1b89

0:000>[COLOR="red"] r $t0=@eax[/COLOR]
0:000>[COLOR="red"] r $t0[/COLOR]
$t0=004c1b89

  从上面的例子也可以看出r命令后面的@是可以省略的。

3.  别名
别名和变量还有些区别,变量是在执行过程中取他的值,而别名更像是宏,在解释时直接用内容替换原始操作数。别名有两种,一种是固定名字的,一种是自定义的。


固定名字别名

固定名字别名和伪寄存器很类似,Windbg提供了10个,$u0-$u9。使用的时候依然是r命令,不过要在“u”前面加个“.”,像下面这样:

0:000>[COLOR="red"] r $.u0 = "123"[/COLOR]
0:000>[COLOR="red"] .echo $u0[/COLOR]
123


从上面的例子可以看出一旦别名被定义了,到使用他的时候,Windbg会把别名替换为内容。


自定义别名

自定义别名会复杂一些,但是,有了它的存在,我们才可以为内存中的一些字符串定义别名。操作自定义别名有3个命令:as,ad,al
As 定义一个别名,其强大之处在于,可以指定一个内存地址,然后将内存中的内容定义为别名。

0:000> [COLOR="red"].dvalloc 10[/COLOR]
Allocated 1000 bytes starting at 00010000
0:000> [COLOR="red"]ea 00010000 "123456"[/COLOR]
0:000> [COLOR="red"]as /ma ${/v:test} 0x00010000[/COLOR]
0:000>[COLOR="red"] .echo test[/COLOR]
123456


上面的命令将0x00010000地址的定义为一个别名,由于as使用了/ma选项,所以将内容当做一个’\0’结尾的ASCII字符串来解析,${}是别名解释器,后面再讲。除了/ma选项以外as还有一些其他强大的选项:

/ma  参数指定的内存地址当做ASCII字符串。
/mu  参数指定的内存地址当做Unicode字符串。
/msa  参数指定的内存地址当做ANSI_STRING字符串。
/msu  参数指定的内存地址当做UNICODE_STRING字符串。
/f  别名等于参数指定文件的内容。
/e  别名等于参数指定的环境变量。


al显示已经定义的别名,ad删除已经定义的别名,接着刚才的例子继续输入以下命令:
0:000> [COLOR="red"]al[/COLOR]
  Alias            Value  
 -------          ------- 
 test             123456 
0:000> [COLOR="red"]ad ${/v:test}[/COLOR]
0:000> [COLOR="red"]al[/COLOR]
No aliases


可以看的很明显吧。
现在我们来解释一下例子里那个长得很奇怪的${},这个东西叫别名解释器,把别名放在后面的大括号里面,Windbg就知道里面是个别名,需要被翻译。其实不用这个符号也可以,不过写到复杂脚本的时候就可能出问题,谁用谁知道,我就不再发散了,建议是最好用。这个解释器也有选项,上面的/v:就是一个。
/v:  保持别名原样,不翻译,在定义和删除的时候用。
/n:  如果别名定义就翻译为内容,否则不做任何翻译。
/f:  如果别名定义就翻译为内容,否则翻译为空。
/d:  如果别名被定义,翻译为1,否则翻译为0,相当于#ifdef。

4.  表达式
Windbg提供了两种表达式:汇编表达式和C++表达式。两种表达式的操作符和操作数都略有区别。

默认是汇编表达式,求汇编表达式的值用?,求C++表达式的值用??。
汇编表达式里能用的操作符除了+、-、*、/这些算数运算符以外还有一些类似转型运算符,比如poi,有时候大家断到一个函数,第一参数是个字符串指针,想打印这个字符串怎么办?可以这样 dd esp+4,然后再从结果中da一次,有了poi,一行命令就可以做到,dd poi(esp+4)。

C++表达式就更加丰富了,几乎所有的C++表达式都可以用,包括.和->操作符,想让Windbg将表达式按C++方式解释,需要在表达式前面加@@c++()。

5.  语句
都说了脚本要按照编程的思想来写,既然是编程,怎么能少得了流程控制语句呢?Windbg支持以下流程控制语句。
.if
.else
.elif
.for
.while
.break
.continue
.do

我觉得都可以不用解释,看名字就应该知道是什么,大家都是写程序的嘛,对吧。
另外还有几个比较有用的语句
.printf  格式化输出,熟悉吧。
.block  语句块
$$  注释,长得好奇怪

这里面,.block要单独说说,所谓语句块,其实就是用{}括起开的一堆语句,包括.if、.else后面的语句其实都是语句块,语句块内部的别名(还记得吗)在进入块的时候会被翻译,进入块以后,如果修改了别名的定义,那么在本块内的后续语句中是无效的(还记得别名是原样替换吗),所以,如果需要在后续语句中生效,需要把后面的语句放到一个单独的语句块里,也就是用{}把他们包含起来,但是Windbg又不能识别直接用{}包含起来的东西,于是就出现了.block,看到这里,请切记,如果需要别名被翻译,一定要把他放到语句块里。

6.  内建函数
这里只讲两个内建函数$scmp和$sicmp都是字符串比较,一个区分大小写,一个不区分大小写。这两个函数有一个毛病,那就是参数只接受字符串字面量,就是说,你只能写$scmp(“123”,”123”),不能写$scmp(poi(esp+4),”123”),好了,有人急了,不能这样写,要这两个函数有什么用?不急,我们可以利用别名(这就是别名最有用的地方),还是接着刚才那个例子:

0:000> [COLOR="red"]as /ma ${/v:test} 00010000[/COLOR]
0:000> [COLOR="red"]? $scmp("${test}","123456")[/COLOR]
Evaluate expression: 0 = 00000000
0:000> [COLOR="red"]? $scmp("${test}","123457")[/COLOR]
Evaluate expression: -1 = ffffffff


这样就可以比较变量字符串了。

好了,有了以上知识,写一个windbg脚本应该就有基础了,剩下的就是要看大家知道多少“API”了,更详细的信息需要在Windbg的帮助里挖掘了。

最后贴一个完整的例子,利用脚Hook CreateFileW,这个例子虽然不长,但是都是精华啊,哈哈。

.dvalloc /b 0x79990000 30
ew 0x79990000 0xc033
ed 0x79990002 0x00001cc2
bp kernel32!CreateFileW "
as /mu ${/v:filename} poi(esp+4);
.block{
    .if ($sicmp(\"${filename}\", \"c:\\1.txt\") == 0){
        .echo \"open 1.txt\";
        r eip=0x79990000
    }
}
ad ${/v:filename};
gc;
"


稍微解释一下,一开始分配了一段内存,选了一个几乎不会被用到的地址,然后填充为

xor eax,eax
ret 0x1c


之后设置一个条件断点,断到以后判断参数中的文件名,如果文件是c:\1.txt就将执行流程转移到分配的指令处,相当于直接返回,于是打开文件失败。效果如下:


码了这么多字,还是挺累的,本文作者evil.eagle,转载的时候烦请注明出处,如果大家希望继续交流,欢迎加QQ群151843490,另外吐槽一下,看雪的排版真的好难用啊。


快讯:看雪智能设备漏洞挖掘公开课招生中!

上传的附件:
最新回复 (33)
ddlx 2013-10-31 23:15
2
春哥发力了,前排占座学习
ddlx 2013-10-31 23:29
3
有个问题,
/v: 保持别名原样,不翻译,在定义和删除的时候用。
/n: 如果别名定义就翻译为内容,否则不做任何翻译。
/f: 如果别名定义就翻译为内容,否则翻译为空。
/d: 如果别名被定义,翻译为1,否则翻译为0,相当于#ifdef。

这里,翻译与保持原样有啥区别。一直不明白翻译有啥用
evileagle 2013-10-31 23:32
4
比如你把 ${test} 定义为 “123456”,那么在你用到${test}且被替换时,原来写${test}的地方就变成了“123456”,比如.echo ${test}就变成了 .echo "123456",是命令都直接变了, 但是如果写.echo {/v:test} 就还是保持.echo {/v:test} ,这就是保持原样
AioliaSky 2013-11-1 02:37
5
Windbg命令是够多的了
a糊涂虫 2013-11-1 06:52
6
horse jacket ,站位学习
cqzj70 2013-11-1 07:28
7
不错,谢谢奉献
feifei飞 2013-11-1 09:26
8
此贴必顶!多谢共享啦!
DriverAsm 2013-11-1 10:55
9
虽然不明白、但是觉得很叼的样子。
cailiaock 2013-11-1 14:21
10
春哥给力贴。。。。
yanyuyao 2013-11-1 15:41
11
顶 目前就知道一些简单的命令 这文章正是时候啊
qiouqfz 2013-11-1 18:14
12
讲的真不错,通俗易懂。
啤酒肚 2013-11-1 19:15
13
这个讲得真不错,应该申精。
游人啊k 2013-11-1 19:43
14
补个优秀吧。。管理咋不给呢?
asdli 2013-11-1 23:27
15
mark ~~
jaix 2013-11-2 00:35
16
占座手机标记。
天高 2013-11-2 21:22
17
mark
花渐欲 2013-11-2 22:07
18
mark 不明觉厉
vvLinker 2013-11-3 00:17
19
讲的很好啊
evilor 2013-11-3 20:42
20
支持一个 好帖
XPoy 2013-11-3 22:15
21
好贴顶加学习
jpys 2013-11-4 09:26
22
mark
旧信纸 2013-11-4 22:43
23
精华帖子  不错。。。
tihty 2013-11-5 09:26
24
占位学习,谢谢分享
itcity 2013-11-6 18:03
25
收藏先,春哥等待你的下一帖啊
itcity 2013-11-6 22:39
26
春哥,能否讲解一下!handle 的用法,我想查看一个窗口的句柄改怎样写脚本呢?
zmimg 2014-10-11 15:35
27
2进制  0x
8进制  0n
10进制  0t
16进制  0y

应该改为
the 0x prefix (hexadecimal), the 0n prefix (decimal), the 0t prefix (octal), or the 0y prefix (binary)
sky东 2014-10-11 16:41
28
mark下,学习
幽叶无情 2014-10-22 06:42
29
一直对windbg命令很陌生例子太少
稻天 2014-12-30 13:24
30
擦,这么久了,都没人看出错误来??

0x 16进制(0x10 = 0x10)

0n 10进制 (0n10 = 0xa)

0t  8进制(0t10 = 0x8)

0y 2进制(0y10 = 0x2)
JackJoker 2014-12-30 15:41
31
楼主讲解的很好,多谢啦。
Riverhac 2015-9-4 09:58
32
这篇文章应该给优秀或者精华的
bjdxwgb 2015-9-8 07:09
33
学习了.
要是softice还有更新该有多好啊.
方振箱包 2017-3-24 09:50
34
此楼层已删除
陈chenwei 2018-8-10 18:09
35
通俗易懂
返回