-
-
[分享]必杀技公布——用特征码定位关键代码，秒杀MFC程序
-
发表于: 2009-2-23 21:20
-
|
|
|---|---|
|
|
|
|
|
|
|
|
哈哈！谢谢！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
随便找一个MFC42的CM，用OD载入，有壳，不用管，直接F9，然后ALT+E，双击MFC42.DLL，CTRL+F，输入CALL [EBP+14]，在第一个找到的地址处F2下断点。
 真够简洁明了的 |
|
|
|
|
|
本来就是看好这MFC有点花指令的作用才学MFC的.
刚用几天就被必杀了,我不用MFC了还不行吗?
|
|
|
|
|
|
理解错了，
 MFC90UD.dll所说的特征码是 call [esp-8] 原理应该很简单，看下面的源码就知道了。 实际上在IDE中在按钮响应函数里下个断点，断下来之后看一看call stack，很快就能找到这里。 然后查看Byte code，就能看到"特征码"了 至于为什么是第一个，这点不大明白 比reversing mfc application里说的方法更彻底一些，
AFX_STATIC BOOL AFXAPI _AfxDispatchCmdMsg(CCmdTarget* pTarget, UINT nID, int nCode,
AFX_PMSG pfn, void* pExtra, UINT_PTR nSig, AFX_CMDHANDLERINFO* pHandlerInfo)
// return TRUE to stop routing
{
ENSURE_VALID(pTarget);
UNUSED(nCode); // unused in release builds
union MessageMapFunctions mmf;
mmf.pfn = pfn;
BOOL bResult = TRUE; // default is ok
if (pHandlerInfo != NULL)
{
// just fill in the information, don't do it
pHandlerInfo->pTarget = pTarget;
pHandlerInfo->pmf = mmf.pfn;
return TRUE;
}
switch (nSig)
{
default: // illegal
ASSERT(FALSE);
return 0;
break;
case AfxSigCmd_v:
// normal command or control notification
ASSERT(CN_COMMAND == 0); // CN_COMMAND same as BN_CLICKED
ASSERT(pExtra == NULL);
(pTarget->*mmf.pfnCmd_v_v)(); //VS2008此处按F11进入按钮
//处理函数
break;
部分反汇编 case AfxSigCmd_v: // normal command or control notification ASSERT(CN_COMMAND == 0); // CN_COMMAND same as BN_CLICKED ASSERT(pExtra == NULL); 78AAD5E5 cmp dword ptr [pExtra],0 78AAD5E9 je $LN36+17h (78AAD5FCh) 78AAD5EB push 50h 78AAD5ED push offset string "f:\\dd\\vctools\\vc7libs\\ship\\atlmf"... (789F1398h) 78AAD5F2 call AfxAssertFailedLine (78A26460h) 78AAD5F7 test eax,eax 78AAD5F9 je $LN36+17h (78AAD5FCh) 78AAD5FB int 3 (pTarget->*mmf.pfnCmd_v_v)(); 78AAD5FC mov ecx,dword ptr [pTarget] 78AAD5FF call dword ptr [mmf] |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
