首页
论坛
专栏
课程

[调试逆向] [原创]在MFC中快速定位按钮事件的新方式

毕达哥拉斯 2019-1-4 21:05 711
    我在上一篇文章《 如何在MFC中定位按钮事件 》采用了寻找虚函数表的方法来寻找按钮事件,但是用不同版本的VS编译器编译出来的MFC程序,在进入afxWinMain入口前做了非常多的工作,而且在不同版本中所做的内容是不尽相同的。下图左边是vs6.0的MFC的调用堆栈,右边是vs2010的MFC的调用堆栈。

   在MFC程序中,有且仅有一个继承自CWinApp的类,而且这个类是全局的,只有一个,程序运行的时候已经初始化了。

  1,原理:
继承自CWinApp的类和窗口的类在内存中有 static const AFX_MSGMAP_ENTRY _messageEntries[]消息映射数组,我们知道消息映射的结构是
struct AFX_MSGMAP_ENTRY 
  { 
   UINT nMessage; // windows message 
   UINT nCode; // control code or WM_NOTIFY code 
   UINT nID; // control ID (or 0 for windows messages) 
   UINT nLastID; // used for entries specifying a range of control id's 
   UINT nSig; // signature type (action) or pointer to message # 
   AFX_PMSG pfn; // routine to call (or special value) 
  };
那么,我们就可以在内存中搜索这个特征。
默认的MFC程序会添加如下的消息映射,当我们添加按钮事件的时候入右图所示。

ON_WM_SYSCOMMAND的定义如下,WM_SYSCOMMAND对应的数字就是0x112;按钮按下形成的数字是0x111,然后我们就利用这些特征搜索数据。

2,OD分析
经过大量的实验发现, _messageEntries是全局静态数组,基本都存在于程序的 .rdata段。

双击这个.rdata段,进入到内存中,然后我们查找二进制字符串。

找到了如下数据,内存中有可能存在多个这样的结构,每个都要试一下。

然后我们在内存里面查看这些数据,发现它刚好符合 AFX_MSGMAP_ENTRY 的结构体,说明我们找到了。

然后我们往下找0x111这个数据,并在反汇编窗口中定位代码,程序执行函数是0x013315ea,跟上面的01354fe0不一样,为什么呢?因为 0x013315ea处就是一个跳转jmp到 01354fe0处。我在这个按钮事件中只写了一个函数Messagebox(0,"2010",0),大家分析这段代码可以发现正是按钮的响应事件函数。



   


[推荐]看雪企服平台,提供APP等级保护加固等安全服务!

本主题帖已收到 1 次赞赏,累计¥1.00
最新回复 (3)
junkboy 2019-1-4 21:39
2

0

支持
柒雪天尚 2019-1-5 21:35
3

0

支持 
实都 2019-1-8 15:09
4

0

通杀 哈哈哈
返回