首页
社区
课程
招聘
[求助]对整个程序文件求检测和,最终if语句判断的那个检测和是怎么确定的?
2012-10-29 12:46 4391

[求助]对整个程序文件求检测和,最终if语句判断的那个检测和是怎么确定的?

2012-10-29 12:46
4391
有个疑惑,假如我有个程序a.exe ,源代码里面有个函数 int calccrc32() 这个函数从磁盘读取本身文件a.exe并计算CRC32 , 我在a.exe的源代码中肯定有条类似如下语句

if( calcrc32()== XXX)
{
....
}
else
{
....
}

我想不清楚的是,这个XXX怎么得到  假如一开始我写成0x12345678 ,最后算出来的是0x87654321,我把代码改成实际的值0x87654321,而此时再重新算出来的 又不是0x87654321了。呵呵,矛盾啊!

(对磁盘文件求检验和有这个问题,对内存映象求的话,好象也有这个问题)

求指点!

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
点赞0
打赏
分享
最新回复 (6)
雪    币: 967
活跃值: (1138)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
elianmeng 1 2012-10-29 12:58
2
0
一般 只计算代码段
雪    币: 441
活跃值: (149)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
rockhard 4 2012-10-29 13:51
3
0
如果要对文件求检测呢?
雪    币: 441
活跃值: (149)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
rockhard 4 2012-10-29 14:10
4
0
这个问题论坛里面高手能不能帮忙提供一下思路?
雪    币: 291
活跃值: (208)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
thebutterfly 5 2012-10-29 14:49
5
0
记得exe头部有个校验和的field。计算初始校验值时,先给它填0,然后计算出校验值,最后修改这个field为计算出的校验值。运行时验证校验和的时候,把这个field当0处理,然后计算完的值和这个field比较即可。

当然,也不一定非得用这个field,不一定非得填0,用这种思路即可。

还有其他的方法,比如用一个dll辅助校验,校验值存放在dll里面,到时候读出来比较即可。当然也不一定非得放dll里面,只要能存放数据的地方即可。
雪    币: 441
活跃值: (149)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
rockhard 4 2012-10-29 15:52
6
0
谢谢,我想到的,也是要用一个不参与计算的地方保存这个值才行。
不然,这是个很难解的大问题。
雪    币: 1683
活跃值: (380)
能力值: ( LV15,RANK:440 )
在线值:
发帖
回帖
粉丝
hackerlzc 10 2012-10-29 16:59
7
0
其实可以完全参加运算的,不用对field作特殊处理。关键是校验算法比较二,刚从网上找了计算PE较难和的代码,顺便粘过来。

 
#if 0
[URL]http://www.opencjk.org/~scz/windows/200701102106.txt[/URL]
在某些时候可能你并不想用imagehlp!CheckSumMappedFile()去计算PE文件校验和,
这个函数或许用得上。网上ASM实现很多,C实现不好找吧。
最近因为要写个程序自动剁tcpip.sys,顺便折腾了一下PE文件校验和的计算。
#endif
/*
 * RFC 1141 : Incremental Updating of the Internet Checksum
 *
 * 2007-01-10 21:06 scz
 *
 * PE首部的CheckSum是4字节的DWORD型,计算方法与IP首部校验和非常类似,其C语
 * 言实现一直不太好找,这里给一个基于IP首部校验和C实现修改后的函数。已经处
 * 理了奇偶。形参base_sum为旧的CheckSum,无论原值是否正确,不必将内存中的
 * 该字段清零再计算,如果清零,则base_sum也要赋成零再计算。
 *
 * 2007-01-29 15:30 scz
 *
 * 更正了一个BUG,注意sum的数据类型是64-bits的。
 */
static unsigned int pe_cksum
(
    unsigned short int *addr,
    unsigned int        len,
    unsigned long long  base_sum
)
{
    unsigned int        nleft   = len;
    /*
     * 这里不同,反码加一即取负,这种变态写法仅仅是为了避免一个编译警告。
     *
     * LONGLONG
     * ULONG64
     * unsigned long long
     */
    unsigned long long  sum     = ~base_sum + 1;
    unsigned short int *w       = addr;
    unsigned short int  answer  = 0;
    /*
     * Our algorithm is simple, using a 32 bit accumulator (sum), we add
     * sequential 16 bit words to it, and at the end, fold back all the
     * carry bits from the top 16 bits into the lower 16 bits.
     */
    while ( nleft > 1 )
    {
        sum    += *w++;
        nleft  -= 2;
    }
    /*
     * mop up an odd byte, if necessary
     */
    if ( 1 == nleft )
    {
        *( unsigned char * )( &answer )     = *( unsigned char * )w ;
        sum                                += answer;
    }
    /*
     * add back carry outs from top 16 bits to low 16 bits
     *
     * add hi 16 to low 16
     */
    sum     = ( sum >> 16 ) + ( sum & 0xFFFF );
    /*
     * add carry
     */
    sum    += ( sum >> 16 );
    /*
     * truncate to 16 bits
     */
    answer  = ( unsigned short )( sum & 0xFFFF );
    /*
     * 这里不同
     *
     * add len
     */
    sum     = answer + len;
    return( ( unsigned int )sum );
}  /* end of pe_cksum */
游客
登录 | 注册 方可回帖
返回