PEid 0.95 Cave 查找功能逆向
在学习CCDebuger前辈的OllyDBG入门系列七之汇编功能的时候,其中有一个部分用到了PEid的Cave查找功能,一开始不知道这个Cave查找是什么意思,CCDebuger前辈的截图使用的中文翻译版PEiD,里面显示的是‘搜索全0处’这个功能,如图所示
但是根据查找结果以及与文件对比,在文件该偏移处的size块内容并不是全0,在WinHex下查看如图所示
在我使用的从52pojie论坛下载的v0.95版本,这里显示的则是Cave 查找功能,如下图所示
不太理解这里是为什么,正好又一直在学习使用ollydbg,于是将PEid拖进了调试器,进行了简单的逆向以尝试解决疑问。
打开OD,载入PEid,执行后将任意文件拖进PEid中,这里我使用的是CCDebuger前辈用来做实例的myuninst程序,PEid先对该PE文件做了简单的查找分析,结果如下图所示
由于不知道怎么通过Ollydbg给右键菜单下断点,于是一开始我想在上图所示的按钮下Button的202 WM_LBUTTONUP断点,但是实际上程序断下来的地方是显示区段消息的一个界面,这个界面再通过右键菜单才能到Cave 查找功能,距离想要查找的地方太远,于是放弃。后来偶然想到,程序在显示Cave 查找结果的时候貌似是使用了MessageBox函数进行展示的,于是尝试着对MessageBoxA这个函数下断点,最终断在了0x44BDC6处,该函数部分如下
0044BC50 /$ 55 push ebp
0044BC51 |. 8BEC mov ebp, esp
0044BC53 |. 83E4 F8 and esp, FFFFFFF8
0044BC56 |. 6A FF push -1
0044BC58 |. 68 7BCB4600 push 0046CB7B ; SE handler installation
0044BC5D |. 64:A1 0000000>mov eax, dword ptr fs:[0]
0044BC63 |. 50 push eax
0044BC64 |. 64:8925 00000>mov dword ptr fs:[0], esp
0044BC6B |. 81EC 18050000 sub esp, 518
0044BC71 |. 53 push ebx
0044BC72 |. 56 push esi
0044BC73 |. 57 push edi
0044BC74 |. B9 0A000000 mov ecx, 0A
0044BC79 |. BE 186C4000 mov esi, 00406C18 ; 区段\t\t rva\t\t 偏移 MessageBoxA的各个项目的项目名称
0044BC7E |. 8DBC24 200100>lea edi, dword ptr [esp+120]
…………
0044BCB3 |. 6A 01 push 1
0044BCB5 |. 50 push eax ; 文件路径指针
0044BCB6 |. B9 001E4000 mov ecx, 00401E00 ; this 指针
0044BCBB |. E8 E04BFFFF call 004408A0 ; 打开文件,并且将文件map映射到堆中
0044BCC0 |. 84C0 test al, al
0044BCC2 |. 0F84 0E010000 je 0044BDD6
0044BCC8 |. 8B0D 101E4000 mov ecx, dword ptr [401E10] ; [401E10] 文件大小
0044BCCE |. 8B15 0C1E4000 mov edx, dword ptr [401E0C] ; [401E0C] 映射的基地址
0044BCD4 |. 51 push ecx
0044BCD5 |. 52 push edx
0044BCD6 |. B9 280D4700 mov ecx, 00470D28
0044BCDB |. E8 E0760000 call 004533C0 ; 检查文件正确性,并且构造一个文件结构,该结构存储在0x470d28处,保存文件一些属性
…………
0044BCE8 |. 6A 20 push 20
0044BCEA |. 8D4424 14 lea eax, dword ptr [esp+14]
0044BCEE |. 68 280D4700 push 00470D28 ; 上面建立的文件结构指针
0044BCF3 |. 50 push eax ; 栈缓冲区变量,函数返回结果保存在这个变量中
0044BCF4 |. E8 B7B2FEFF call 00436FB0 ; 关键!需要步进
…………
下面是一个循环,对每个section调用了wsprintf构造格式化字符串,生成结果字符串,最后使用MessageBoxA打印输出结果。wsprintf使用的参数部分是通过上面的sub_00436FB0函数计算得到的,后面我们只需要着重分析该函数即可知道我们想要的结果。
0044BD38 |. 8B1D 4C124000 mov ebx, dword ptr [<&USER32.wsprint>; USER32.wsprintfA
0044BD3E |. 8BFF mov edi, edi
0044BD40 |> /8378 28 10 /cmp dword ptr [eax+28], 10
0044BD44 |. |72 05 |jb short 0044BD4B
0044BD46 |. |8B48 14 |mov ecx, dword ptr [eax+14]
0044BD49 |. |EB 03 |jmp short 0044BD4E
0044BD4B |> |8D48 14 |lea ecx, dword ptr [eax+14]
0044BD4E |> |8B50 08 |mov edx, dword ptr [eax+8]
0044BD51 |. |52 |push edx ; size
0044BD52 |. |8B50 04 |mov edx, dword ptr [eax+4]
0044BD55 |. |8B00 |mov eax, dword ptr [eax]
0044BD57 |. |52 |push edx ; offset
0044BD58 |. |50 |push eax ; RVA
0044BD59 |. |51 |push ecx ; section name
0044BD5A |. |8D4C24 30 |lea ecx, dword ptr [esp+30] ; output buffer
0044BD5E |. |68 006C4000 |push 00406C00 ; %8s\t\t%08x\t%08x\t%08x\n\n
0044BD63 |. |51 |push ecx
0044BD64 |. |FFD3 |call ebx ; 调用wsprintf格式化构造MessageBoxA函数的输出字符串
0044BD66 |. |8D4424 38 |lea eax, dword ptr [esp+38]
0044BD6A |. |83C4 18 |add esp, 18
0044BD6D |. |8BC8 |mov ecx, eax
0044BD6F |. |90 |nop
0044BD70 |> |8A10 |/mov dl, byte ptr [eax]
0044BD72 |. |40 ||inc eax
0044BD73 |. |84D2 ||test dl, dl
0044BD75 |.^|75 F9 |\jnz short 0044BD70
0044BD77 |. |8DBC24 200100>|lea edi, dword ptr [esp+120]
0044BD7E |. |2BC1 |sub eax, ecx
0044BD80 |. |8BF1 |mov esi, ecx
0044BD82 |. |4F |dec edi
0044BD83 |> |8A4F 01 |/mov cl, byte ptr [edi+1]
0044BD86 |. |47 ||inc edi
0044BD87 |. |84C9 ||test cl, cl
0044BD89 |.^|75 F8 |\jnz short 0044BD83
0044BD8B |. |8BC8 |mov ecx, eax
0044BD8D |. |C1E9 02 |shr ecx, 2
0044BD90 |. |F3:A5 |rep movs dword ptr es:[edi], dword >
0044BD92 |. |8BC8 |mov ecx, eax
0044BD94 |. |A1 4C104700 |mov eax, dword ptr [47104C]
0044BD99 |. |83E1 03 |and ecx, 3
0044BD9C |. |F3:A4 |rep movs byte ptr es:[edi], byte pt>
0044BD9E |. |8B0D 58104700 |mov ecx, dword ptr [471058]
0044BDA4 |. |83C0 2C |add eax, 2C
0044BDA7 |. |3BC1 |cmp eax, ecx
0044BDA9 |. |A3 4C104700 |mov dword ptr [47104C], eax
0044BDAE |.^\75 90 \jnz short 0044BD40
0044BDB0 |> 8B45 0C mov eax, dword ptr [ebp+C]
0044BDB3 |. 68 00000400 push 40000 ; /Style = MB_OK|MB_APPLMODAL|40000
0044BDB8 |. 68 F46B4000 push 00406BF4 ; |cave 信息 从这个title我们也可以猜到,这个MessageBoxA函数的调用就是我们输出我们想要的结果的
0044BDBD |. 8D9424 280100>lea edx, dword ptr [esp+128] ; |
0044BDC4 |. 52 push edx ; |Text
0044BDC5 |. 50 push eax ; |hOwner
0044BDC6 |. FF15 70134000 call dword ptr [<&USER32.MessageBoxA>>; \MessageBoxA
sub_436FB0比较长,而且对PE文件做了很多安全检查,包括各种size大小是否正确,文件类型是否正确,target machine字段是否正确等,这里只对部分关键代码进行分析,其他部分则是通过查找然后cmp目标值进行判断的。
00437016 |> /8B8C24 A40000>/mov ecx, dword ptr [esp+A4]
0043701D |. |8D49 00 |lea ecx, dword ptr [ecx]
00437020 |> |8B01 mov eax, dword ptr [ecx] ; eax == 文件映射基地址
00437022 |. |8B7D 00 |mov edi, dword ptr [ebp] ; RawOffset / PointToRawData
00437025 |. |03F8 |add edi, eax ; 获取文件映射内存处该section的起始地址
00437027 |. |8B4424 14 |mov eax, dword ptr [esp+14]
0043702B |. |50 |push eax
0043702C |. |E8 4FC30100 |call 00453380 ; 在VirtualSize、RawDataSize、FileSize-PointToRawData三个量之间计算得到最小值
00437031 |. |8BF0 |mov esi, eax
00437033 |. |3BF3 |cmp esi, ebx
00437035 |. |0F84 C9010000 |je 00437204
0043703B |. |8B8C24 A40000>|mov ecx, dword ptr [esp+A4]
00437042 |. |8B41 04 |mov eax, dword ptr [ecx+4]
00437045 |. |3945 00 |cmp dword ptr [ebp], eax ; 判断SizeOfRawData与FileSize的大小,如果FileSize 小,则跳过该section
00437048 |. |0F83 B6010000 |jnb 00437204
0043704E |. |8B49 14 |mov ecx, dword ptr [ecx+14]
00437051 |. |8B41 24 |mov eax, dword ptr [ecx+24] ; FileAlignment的值
00437054 |. |8D4C30 FF |lea ecx, dword ptr [eax+esi-1]
00437058 |. |48 |dec eax
00437059 |. |F7D0 |not eax
0043705B |. |23C8 |and ecx, eax ; SizeOfRawData 以 FileAlignment值 向上对齐,比如 .text 的大小为9411, 处理之后为9600
0043705D |. |8D49 00 |lea ecx, dword ptr [ecx]
00437060 |> |385C37 FF |/cmp byte ptr [edi+esi-1], bl ; 从section的尾部(section_start + section_size - 1)开始寻找,直到找到第一个0值,或者找到section头部位置
00437064 |. |75 03 ||jnz short 00437069
00437066 |. |4E ||dec esi
00437067 |.^|75 F7 |\jnz short 00437060
00437069 |> |8B9424 A80000>|mov edx, dword ptr [esp+A8] ; [esp+A8] is a constant, pushed in 44BCE8 to call sub_436FB0
00437070 |. |8BF9 |mov edi, ecx
00437072 |. |2BFE |sub edi, esi ; 这里就是我们的关键点了,将对齐后的SizeOfRawData 与上面寻找到的最尾部的0做差,就是cave的大小了,结果放在edi寄存器中作为直到后面处理,以及输出
00437074 |. |83C2 08 |add edx, 8
00437077 |. |3BFA |cmp edi, edx
00437079 |. |0F86 85010000 |jbe 00437204
上面通过计算得到的值,在后面又做了一个-8操作,才是最终真正输出的cave size,至此也弄清楚了整个cave 查找的方法了,CCDebuger前辈的PEid中汉化的注释并不正确,不是所谓的搜索全0处,而是搜索section的0结束处,一直到section最后文件块的结束处的大小。
附件是分析的样本PEid。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!