MFC事件逆向分析

选用测试软件：家庭账本3.5.9

相较于Win32窗口编程，拿到消息后可以在消息处理回调函数里面寻找对应的消息处理函数不同

MFC程序的运行常常令我摸不着头脑，有时候根本就不知道如何去找到对应的处理函数，例如按钮事件的事件处理函数。

最近遇到一些MFC的ctf题目和一些MFC写的软件想要尝试破解，但是无奈按钮事件非常难找，一旦字符串加密或者没有弹窗，很难去找到对应函数体

所以特地花了很多事件去整理了下MFC程序应该如何去逆向

这篇文章前面会讲理论，后边会结合实际逆向分析例子。

MFC消息映射机制

在 Windows 编程中，窗口与系统、用户交互主要是通过消息传递的。每个窗口都有一个消息队列，系统通过向消息队列发送消息来通知窗口事件（如鼠标点击、键盘输入、窗口重绘等）。MFC 消息映射机制使得处理这些消息变得更加结构化和便捷。

MFC 中，每个支持消息映射的类都必须使用 DECLARE_MESSAGE_MAP 宏（在类声明中）和 BEGIN_MESSAGE_MAP、END_MESSAGE_MAP 宏（在类实现中）来定义消息映射。

DECLARE_MESSAGE_MAP

DECLARE_MESSAGE_MAP 是 MFC（Microsoft Foundation Classes）框架中的一个宏，它在类的声明中使用，用于声明该类支持消息映射机制。此宏与 BEGIN_MESSAGE_MAP 和 END_MESSAGE_MAP 一起使用，使得类可以响应 Windows 消息（如鼠标点击、键盘输入等）并将这些消息映射到特定的成员函数。

#define DECLARE_MESSAGE_MAP() \
public: \
    static const AFX_MSGMAP* PASCAL GetThisMessageMap(); \
    virtual const AFX_MSGMAP* GetMessageMap() const; \
private: \
    static const AFX_MSGMAP_ENTRY _messageEntries[]; \
    static const AFX_MSGMAP messageMap;

GetThisMessageMap(): 这是一个静态函数，它返回一个指向该类消息映射表的指针。因为它是静态的，所以它与特定的实例无关，可以在类层次结构中调用以获取消息映射信息。
GetMessageMap(): 这是一个虚函数，它在运行时返回一个指向消息映射表的指针。因为它是虚函数，所以在继承层次结构中可以被覆盖，以确保消息映射能够正确地在派生类和基类之间传播。
_messageEntries: 这是一个静态的 AFX_MSGMAP_ENTRY 数组的声明，数组中包含了消息到函数的映射条目。具体的映射条目是在类的实现文件中定义的。
messageMap: 这是一个静态的 AFX_MSGMAP 结构体的声明，它包含了消息映射表的元数据，包括一个指向基类消息映射表的指针和一个指向 _messageEntries 的指针。

BEGIN_MESSAGE_MAP,END_MESSAGE_MAP

那么BEGIN_MESSAGE_MAP、END_MESSAGE_MAP 这俩宏做了什么呢？

这是BEGIN_MESSAGE_MAP

#define BEGIN_MESSAGE_MAP(theClass, baseClass) \
    const AFX_MSGMAP* theClass::GetMessageMap() const { return &theClass::messageMap; } \
    const AFX_MSGMAP theClass::messageMap = \
    { &baseClass::messageMap, theClass::_messageEntries }; \
    const AFX_MSGMAP_ENTRY theClass::_messageEntries[] = \
    {

theClass::GetMessageMap(): 定义了一个返回类的消息映射表指针的函数。

theClass::messageMap: 声明了一个 AFX_MSGMAP 结构体，包含基类的消息映射表指针和当前类的消息映射表条目指针。

theClass::_messageEntries[]: 声明了一个 AFX_MSGMAP_ENTRY 数组，用于存储消息与对应处理函数的映射。

这是END_MESSAGE_MAP

#define END_MESSAGE_MAP() \
    { 0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 } \
    };

{ 0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 }: 这是一个终止项，表示消息映射表的结束。

}: 关闭数组的定义。

1724830179641

所以以上就是对上面几个消息进行了消息映射。

上面没有参数的宏是消息交给了父类进行消息处理，并未进行消息处理的重载
1724830331321

如何获取AFX_MSGMAP表

由上面的分析我们可以知道，一旦掌握了这个AFX_MSGMAP表，我们就可以找到所有事件的消息处理函数

那么问题来了，如何获取到这个AFX_MSGMAP表呢？

这里我给出两种方法：

第一种：内存搜索法

缺点：只能碰运气/(ㄒoㄒ)/~~

struct AFX_MSGMAP
{
    const AFX_MSGMAP* pBaseMessageMap;
    const AFX_MSGMAP_ENTRY* lpEntries;
};
 
struct AFX_MSGMAP_ENTRY
{
    UINT nMessage;        // 消息类型
    UINT nCode;           // 消息代码（例如通知代码）
    UINT nID;             // 控件 ID，或命令 ID
    UINT nLastID;         // 最后一个控件 ID（用于范围命令）
    UINT nSig;            // 函数签名类型
    AFX_PMSG pfn;         // 指向成员函数的指针
};