-
-
[原创]通过分析调用堆栈定位MFC按钮事件
-
发表于: 2019-1-25 21:34
-
1，逆向分析这个东西的前提是你得懂这个东西，例如，就像逆飞机一样，你连飞机是什么都不知道，当然你也就逆不出来，逆之前， 你得自己会造飞机，只是你没有别人造的好。分析过程中，不需要弄懂每个细节，只需关注重点部分和整体流程。学会根据经验猜测。
2，原理：
我们新建的MFC程序，界面上就放2个按钮，事件处理函数随便写。然后我们在按钮那里设置断点。
程序运行起来后，我们点击button1，程序就断下来了，然后我们就查看它的调用堆栈，谁调用了这个按钮处理函数，找到事件分发函数。
_AfxDispatchCmdMsg就是分发函数。
双击
_AfxDispatchCmdMsg 进入到如下函数，这个就是处理过程。然后我们分析这个函数的参数，有点不太一样它有7个参数，可以作为一个特征。
_AfxDispatchCmdMsg(CCmdTarget * 0x0018fe50 {CSssDlg}, unsigned int 1000, int 0, void (void)* 0x00401014 CSssDlg::OnButton1(void), void * 0x00000000, unsigned int 12, AFX_CMDHANDLERINFO * 0x00000000) line 88 _AfxDispatchCmdMsg(CCmdTarget * 0x0018fe50 {CSssDlg}, unsigned int 1000, int 0, void (void)* 0x00401014 CSssDlg::OnButton1(void), void * 0x00000000, unsigned int 12, AFX_CMDHANDLERINFO * 0x00000000) line 88 调用堆栈已经显示了调用这个函数时的所有参数：比如nID=1000，我们需要大胆猜测这个东西是什么，nID有可能是按钮的编号。拿着这个疑问我们来试第二个按钮：
_AfxDispatchCmdMsg(CCmdTarget * 0x0018fe50 {CSssDlg hWnd=0x001d1e92}, unsigned int 1001, int 0, void (void)* 0x0040107d CSssDlg::OnButton2(void), void * 0x00000000, unsigned int 12, AFX_CMDHANDLERINFO * 0x00000000) line 88nID变成了1001，哈哈猜对了，nID基本就是窗口编号。
_AfxDispatchCmdMsg(CCmdTarget * 0x0018fe50 {CSssDlg hWnd=0x001d1e92}, unsigned int 1001, int 0, void (void)* 0x0040107d CSssDlg::OnButton2(void), void * 0x00000000, unsigned int 12, AFX_CMDHANDLERINFO * 0x00000000) line 88nID变成了1001，哈哈猜对了，nID基本就是窗口编号。
我们注意到倒数第3个参数是传递的是按钮事件函数的地址。
_AfxDispatchCmdMsg函数的特征是什么呢，特征码的选取是随机的，爱取什么就取什么，只要满足它能代表这个函数的唯一想就可以了。
3 OD分析
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2019-1-25 23:58
被毕达哥拉斯编辑
，原因： 上次未写完，现在进行补充
gaoan
