首页 > 其他分享 >滴水逆向笔记系列-win32总结2-45.esp寻址_定位回调函数-46.子窗口_消息处理函数-47.资源文件_消息断点

滴水逆向笔记系列-win32总结2-45.esp寻址_定位回调函数-46.子窗口_消息处理函数-47.资源文件_消息断点

时间：2024-03-16 23:23:11浏览次数：22  
标签：窗口 函数 esp TEXT WS 回调 断点 处理函数

第四十五课 win32 esp寻址_定位回调函数

自己vs编译的exe入口函数好像和课程视频哩的vc6不一样，没办法跟着视频走，可以用课件里给的作业exe勉强跟着视频学，前面的都差不多，课件下载地址：https://www.bcdaren.com/video/videoPlay/330318515062181888

1.win32应用程序入口识别

没加过壳的程序好找，直接打开后往下找就行了
入口程序的特征有四个参数，看看往下看看哪里有push了四个参数且call了kernel32.GetModuleHandleA函数，其返回值eax也push进去了
image.png
但是这也不能确定就是四个参数，因为windows编程默认使用内平栈，选中按回车键跟进去看看ret是不是10，十六进制10代表十进制的16个字节，刚好就是四个参数，
但是还是不能确定，因为有可能是fastcall，剩下两个参数用寄存器传参进去，所以我们进函数继续确认，
image.png
可以看到被使用的ECX和EAX都是在本函数内被赋值的，不是从外面就赋值好被使用的，说明不是fastcall

2.ESP寻址

进入一个函数，看到函数最开始的地方没有和其他的函数一样有许多开辟空间各种操作，只有一个SUB ESP,54，这种开辟空间的方式比较方便
image.png

如果现在把断点下在这一行，那么现在堆栈里就只有四个值，分别是返回地址和三个参数
比如 想找返回地址的时候直接ESP+54即可，找第一个参数则是ESP+58但是寻址比较麻烦，因为下面如果有一个push，找返回地址就需要变成ESP+58

总结：

ESP寻址会受到push和pop的影响

3.窗口回调函数的定位

回想上节课有一个地方wndclass.lpfnWndProc定义了回调函数的名字，然后又使用RegisterClass()注册了这个回调函数，所以我们现在需要去找RegisterClass()
image.png
可以看到在调用RegisterClass函数时push了eax进去，说明eax是传递进去的参数，RegisterClass(&wndclass);这是注册窗口类的代码，可以看出eax就是这个&wndclass的结构体指针，我们进堆栈看看这个结构体指针，根据wndclass结构体的结构可以知道第二个就是回调函数的地址

4.具体事件处理的定位（条件断点）

断点下到回调函数地址第一行
image.png
由于这个地方是一直在循环很多个消息id的，所以断点在这会触发很多个事件，所以我们需要给断点设置个条件，让他只关注点击左键时
image.png
所以我们点右键点空格他都会执行，不会断，当我们点左键时他就断点了
image.png
断点后直接再执行几行代码就到了点击左键时的代码了
image.png

第四十六课 win32 子窗口_消息处理函数

什么都是窗口

1.按钮是什么

HINSTANCE hAppInstance;									
void CreateButton(HWND hwnd)									
{									
	HWND hwndPushButton;								
	HWND hwndCheckBox;								
	HWND hwndRadio;								
									
	hwndPushButton = CreateWindow ( 								
		TEXT("button"), 							
		TEXT("普通按钮"),							
		//WS_CHILD | WS_VISIBLE | BS_PUSHBUTTON | BS_DEFPUSHBUTTON,							
		WS_CHILD | WS_VISIBLE | BS_PUSHBUTTON | BS_DEFPUSHBUTTON,							
		10, 10,							
		80, 20,							
		hwnd, 							
		(HMENU)1001,		//子窗口ID					
		hAppInstance, 							
		NULL);							
									
	hwndCheckBox = CreateWindow ( 								
		TEXT("button"), 							
		TEXT("复选框"),							
		//WS_CHILD | WS_VISIBLE | BS_CHECKBOX | BS_AUTOCHECKBOX,							
		WS_CHILD | WS_VISIBLE | BS_CHECKBOX |BS_AUTOCHECKBOX ,							
		10, 40,							
		80, 20,							
		hwnd, 							
		(HMENU)1002,		//子窗口ID					
		hAppInstance, 							
		NULL);							
									
	hwndRadio = CreateWindow ( 								
		TEXT("button"), 							
		TEXT("单选按钮"),							
		//WS_CHILD | WS_VISIBLE | BS_RADIOBUTTON | BS_AUTORADIOBUTTON,							
		WS_CHILD | WS_VISIBLE | BS_RADIOBUTTON  ,							
		10, 70,							
		80, 20,							
		hwnd, 							
		(HMENU)1003,		//子窗口ID					
		hAppInstance, 							
		NULL);							
}

总结：

  • 在入口函数调用时应写在父窗口后面

image.png

  • 为什么他不用定义类和注册类？因为系统已经注册好了

2.按钮事件的处理

按钮的WNDCLASS类不是我们定义的，我们可以用下面方法查看系统预定义的WNDCLASS都包含什么样的信息

//查看单个属性
TCHAR szBuffer[0x20];					
GetClassName(hwndPushButton,szBuffer,0x20);					

//放到结构体里查看
WNDCLASS wc;					
GetClassInfo(hAppInstance,szBuffer,&wc);					
OutputDebugStringF("-->%s\n",wc.lpszClassName);					
OutputDebugStringF("-->%x\n",wc.lpfnWndProc);

首先我们理解一个东西，我们在父窗口的回调函数写一个左键点击就会打印坐标的功能，那么我们点击按钮他则不会打印，所以我们可以初步分析子窗口和父窗口的回调函数是分开的且按钮的回调函数是系统写好的
image.png
然后我们可以在父窗口的回调函数种加上这段代码

case WM_COMMAND:								
{								
	switch(LOWORD(wParam))							
	{							
		case 1001:						
			MessageBox(hwnd,"Hello Button 1","Demo",MB_OK);					
			return 0;					
		case 1002:						
			MessageBox(hwnd,"Hello Button 2","Demo",MB_OK);					
			return 0;					
		case 1003:						
			MessageBox(hwnd,"Hello Button 3","Demo",MB_OK);					
			return 0;					
	}							
	return DefWindowProc(hwnd,uMsg,wParam,lParam);							
}

image.png
现在我们可以知道了按钮是怎么处理消息的
他会先执行系统提供的WinProc，然后从左键类型WM_LBUTTONDOWN转换WM_COMMAND类型再调给父窗口的WinProc（粗体字是重点）
所以子窗口和父窗口的信息处理函数最后都会转到父窗口的
image.png

3.消息堆栈

回调函数的结构

LRESULT CALLBACK WindowProc(  			
	IN  HWND hwnd,  		
	IN  UINT uMsg,     //消息代码，比如WM_COMMAND是0x111
	IN  WPARAM wParam,  		
	IN  LPARAM lParam  		
	);

回调函数的堆栈

image.png

4.按钮事件处理逻辑定位

跟之前具体消息事件的定位一样，只是判断条件改一下[esp+0x8] == WM_COMMAND&&[ESP+0XC] == 按钮id
image.png

第四十七课 win32 资源文件_消息断点

1.资源文件_DialogBox创建对话框

滴水课程里的vc6和我用的vs2019差距有点大，很多功能找不到，查了一下好像都需要mfc，暂且先跳过一些东西
a.在vs的项目右键添加资源
b.通过DialogBox创建对话框
image.png
c.在入口函数前面声明或者定义我们的DialogProc函数

#include<windows.h>
#include "resource.h"

BOOL CALLBACK DialogProc(
	HWND hwndDlg,  // handle to dialog box			
	UINT uMsg,     // message			
	WPARAM wParam, // first message parameter			
	LPARAM lParam  // second message parameter			
)
{

	switch (uMsg)
	{
	case  WM_INITDIALOG:

		MessageBox(NULL, TEXT("WM_INITDIALOG"), TEXT("INIT"), MB_OK);

		return TRUE;

	case  WM_COMMAND:

		switch (LOWORD(wParam))
		{
		case   IDOK:

			MessageBox(NULL, TEXT("IDC_BUTTON_OK"), TEXT("OK"), MB_OK);

			return TRUE;

		case   IDCLOSE:

			MessageBox(NULL, TEXT("IDC_BUTTON_OUT"), TEXT("OUT"), MB_OK);

			EndDialog(hwndDlg, 0);

			return TRUE;
		}
		break;
	}

	return FALSE;
}


int CALLBACK WinMain(
	_In_  HINSTANCE hInstance,
	_In_  HINSTANCE hPrevInstance,
	_In_  LPSTR lpCmdLine,
	_In_  int nCmdShow
)
{
	DialogBox(hInstance, MAKEINTRESOURCE(IDD_DIALOG1), NULL, DialogProc);

}

只能到这了，添加文本框什么的没找到
image.png

2.获取文本框内容

a.获取文本框句柄（通用的）
HWND hEditUser = GetDlgItem(对话框句柄,文本框ID);
b.通过文本框句柄获取里面的内容
TCHAR szUserBuff[0x50];
GetWindowText(文本框句柄,szUserBuff,0x50);

3.定位对话框回调函数（消息断点）

消息断点其实就是系统帮我们下的条件断点
**下面逆向案例的背景就是：如果一个对话框比较复杂，很难直接和之前一样通过入口找到回调函数，那么我们就通过按钮系统定义的函数，去找到我们的回调函数，因为系统定义的函数最终也会调用我们父窗口的回调函数(上节课有讲到)**

通过消息断点的逆向过程

所以我们直接在od运行一遍程序
这时按w这里就可以看到很多句柄，很多7开头的函数地址就是系统的函数，
image.png
这里选(鼠标左键按下)201还是(鼠标左键松开)202，我们可以运行程序，点登录按钮不松开，如果还没触发事件，那就不是201，松开鼠标左键触发事件，则可以确定是202
image.png
下好断点后，我们按一下登录按钮，就运行到断点处了
image.png
最笨的方法就是一步步跟下去，但是这太麻烦，有个小技巧，我们到m这里在代码段下一个内存断点，只要访问到这块内存就会断
image.png
成功断到回调函数的地方，但是我们要知道其他复杂一点的程序这时候不一定就会运行到回调函数的地址，因为不一定访问这块内存的时候就是来访问父窗口的回调函数，因为还没点击按钮之前说不定有其他消息，比如这次消息，下面的堆栈第三个是135，可以看到不是我们想要找的消息处理函数
image.pngimage.png
所以我们可以通过看此时回调函数的堆栈，看第一个参数是返回地址，但二个参数是句柄，第三个参数是消息代码，如果看起来不是，直接一直F8走回7开头地址的系统函数，然后再F9走到下次断点的地方，因为这里是消息循环，所以下次断点可能是我们想要的消息处理函数，就这样循环知道看到堆栈的第三个数是111，也就是WM_COMMAND的消息代码，可以确定这次找到的消息循环是我们要的消息处理函数
image.png

标签：窗口,函数,esp,TEXT,WS,回调,断点,处理函数
From： https://www.cnblogs.com/xiaoxin07/p/18077864

相关文章

  • 【课设】/【毕设】ESP32上传温湿度至新版Onenet云平台并由新版Onenet云平台下发命令控
    一、uniapp设计  1、APP生成token秘钥：  1.1.下载HBuider软件：     直接搜索HBuider,进入官网下载软件：  2.新建项目-选择默认模版3.打开index.vue4.点击运行至内置浏览器；2.1获取Onenet云平台API接口 2.1.1进入Onenet云平台点击服务与支持-文档......
  • Docker - 在线音乐播放器 YesPlayMusic
    原文链接：https://mp.weixin.qq.com/s/D2778fnix6jAeZlCicWGdw（本文只作为跟练，不以盈利为目的） 1、下载镜像[root@node~]#dockerpullfogforest/yesplaymusicUsingdefaulttag:latestlatest:Pullingfromfogforest/yesplaymusicf56be85fc22e:Pullcomplete2ce963c......
  • 洛谷题解 - B3850 [GESP202306 四级] 幸运数
    目录题目描述输入格式输出格式样例#1样例输入#1样例输出#1代码题目描述小明发明了一种“幸运数”。一个正整数，其偶数位不变（个位为第111位，十位为第......
  • K8S-1.23.17+Ceph+KubeSphere 一主二从部署攻略
    K8S部署攻略 此教程以一主二从为例，需要三台服务器。主机最低需求： 4核CPU，4GB内存，硬盘：20GBx2(需保留一个未分区的磁盘)从机最低需求： 4核CPU，8GB内存，硬盘：20GBx2(需保留一个未分区的磁盘) 软件版本：Ubuntu：22.04Kubesphere：3.4.1Docker：20.10.24K8s：1.23.17Rook......
  • 统一返回结构 ResponseResult
    //定义返回数据结构publicinterfaceIResult{IntegergetCode();StringgetMessage();}//常用结果的枚举publicenumResultEnumimplementsIResult{SUCCESS(2001,"接口调用成功"),VALIDATE_FAILED(2002,"参数校验失败"),COMMON_FAILED(2003,......
  • KubeSphere 社区双周报｜2024.02.29-03.14
    KubeSphere社区双周报主要整理展示新增的贡献者名单和证书、新增的讲师证书以及两周内提交过commit的贡献者，并对近期重要的PR进行解析，同时还包含了线上/线下活动和布道推广等一系列社区动态。本次双周报涵盖时间为：2024.02.29-03.14。贡献者名单新晋KubeSpherecontribu......
  • ESP32系列乐鑫官方常见资料汇总
    ESP32系列乐鑫官方常见资料汇总技术文档|乐鑫科技(espressif.com)ESP32系列32-bitMCU&2.4GHzWi-Fi&Bluetooth/BluetoothLE两个或一个可以单独控制的CPU内核，时钟频率可调，范围从80MHz到240MHz+19.5dBm天线端输出功率，确保良好的覆盖范围传统蓝牙支持L2CA......
  • ESP32编程框架
    工程结构项目配置开发者可以通过sdkconfig配置此项目的配置，并在build/config/sdkconfig.h中生成一系列宏定义构建系统idf.py管理了以下工具CMake，配置待构建的项目Ninja，用于构建项目esptool.py，烧录目标硬件设备一些常用命令idf.pycreate-project<projectname>idf.p......
  • ESP32-Cam 初步使用：网络摄像头示例
    此片意在教会你如何初步使用ESP32-cam阅读本文，你将学会：一.学会安装Arduino二.学会使用相关例程一、Arduino的下载安装及汉化1.下载Arduino（Arduino软件下载官网）2.Arduino的安装3.Arduino的汉化：左上角File-->Preferences(Ctrl+逗号也能进入)-->Settings-->Lang......
  • 数据库练习发生的error—— check the manual that corresponds to your MySQL server
    记录一下发生的错误。 checkthemanualthatcorrespondstoyourMySQLserverversionfortherightsyntaxtousenear''id'),参考链接：完美解决ERROR1064(42000):YouhaveanerrorinyourSQLsyntax...near…_responsecode:420001064r......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99