-
-
[求助]ollydbg反汇编引擎源代码使用求助？
-
发表于: 2009-3-28 22:47
-
在用ollydbg的反汇编引擎源代码时，使用它里面的结构成员。其中我遇到两个问题：
第一。使用dump成员，在输出结果时，机器码前面总是有很多FFFFFFF，影响美观。
我是这样插入到列表视图中的：
第二，涉及到跳转指令时，由于跳转指令要在当前位置加上目的地址，而使用OD自带的result成员，则直接显示跳转数，而不是目的地址。
我的代码：
我使用的代码如下，后面是演示界面。
我反汇编的文件是Windows自带的记事本程序。程序OEP为10CC，这个大家都很熟悉了。
见下图所示：
第一。使用dump成员，在输出结果时，机器码前面总是有很多FFFFFFF，影响美观。
我是这样插入到列表视图中的：
wsprintf(szBuffer,"%s",da.dump);
pCmpDisasmDlg->m_ListCtrlDisasm.SetItemText(dwCountCode,1,szBuffer);
第二，涉及到跳转指令时，由于跳转指令要在当前位置加上目的地址，而使用OD自带的result成员，则直接显示跳转数，而不是目的地址。
我的代码：
sprintf(szBuffer,"%s",da.result);
pCmpDisasmDlg->m_ListCtrlDisasm.SetItemText(dwCountCode,2,szBuffer);
我使用的代码如下，后面是演示界面。
我反汇编的文件是Windows自带的记事本程序。程序OEP为10CC，这个大家都很熟悉了。
//反汇编处理线程
DWORD WINAPI ThreadProcDisasm(LPVOID lpParam)
{
CCmpDisasm *pCmpDisasmDlg=(CCmpDisasm*)lpParam;
HANDLE hFile; //文件句柄
TCHAR *pBuffer;
UINT nIndex=0; //当前指令位置
int nCodelen; //指令长度
WORD temp; //暂存读取字符
DWORD dwOEP; //文件OEP
DWORD dwRead; //保存实际读取的字节数
DWORD dwPeHeaderOffset; //pe文件头Offset
DWORD dwImageBase; //载入基址
DWORD dwCodeBase; //代码段起始RVA
DWORD dwSizeOfCode=0; //代码段的大小
DWORD dwCountCode=0; //反汇编代码的行数
DWORD dwNumOfJMP=0; //JMP指令的个数
t_disasm da; //反汇编后的结果
char szBuffer[TEXTLEN];
pBuffer=new TCHAR[CODESIZE];
//创建文件句柄
hFile=CreateFile(pCmpDisasmDlg->m_FileName,GENERIC_READ | GENERIC_WRITE,
FILE_SHARE_READ,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);
if (hFile==INVALID_HANDLE_VALUE)
{
AfxMessageBox("打开文件错误！");
return -1;
}
//////////////////////////////////////////////////////////////////////////
//判断文件格式
SetFilePointer(hFile,0,NULL,FILE_BEGIN);
ReadFile(hFile,&temp,2,&dwRead,NULL);
if (temp!='ZM')
{
AfxMessageBox("文件不是PE格式！");
return -1;
}
SetFilePointer(hFile,0x3C,NULL,FILE_BEGIN);
ReadFile(hFile,&dwPeHeaderOffset,4,&dwRead,NULL);
SetFilePointer(hFile,dwPeHeaderOffset,NULL,FILE_BEGIN);
ReadFile(hFile,&temp,2,&dwRead,NULL);
if (temp!='EP')
{
AfxMessageBox("文件不是PE格式！");
return -1;
}
//获取程序OEP
SetFilePointer(hFile,dwPeHeaderOffset+0x28,NULL,FILE_BEGIN);
ReadFile(hFile,&dwOEP,4,&dwRead,NULL);
if (dwOEP==0)
{
AfxMessageBox("获取OEP失败！文件不是PE格式！");
return -1;
}
//获取映像基址
SetFilePointer(hFile,dwPeHeaderOffset+0x34,NULL,FILE_BEGIN);
ReadFile(hFile,&dwImageBase,4,&dwRead,NULL);
//获取代码段地址RVA及大小
SetFilePointer(hFile,dwPeHeaderOffset+0x1C,NULL,FILE_BEGIN);//代码块大小
ReadFile(hFile,&dwSizeOfCode,4,&dwRead,NULL);
SetFilePointer(hFile,dwPeHeaderOffset+0x2C,NULL,FILE_BEGIN);//代码块其实RVA
ReadFile(hFile,&dwCodeBase,4,&dwRead,NULL);
//将指针移到代码段起始RVA
SetFilePointer(hFile,dwCodeBase,NULL,FILE_BEGIN);
ReadFile(hFile,pBuffer,dwSizeOfCode,&dwRead,NULL);
//关闭句柄
CloseHandle(hFile);
//从OEP处开始反汇编
nIndex=dwOEP-dwCodeBase;
while(nIndex<dwSizeOfCode)
{
nCodelen=Disasm(&pBuffer[nIndex],20,dwImageBase+dwCodeBase,&da,DISASM_CODE); // 调用反汇编引擎
//自定义代码
//在列表视图中显示反汇编结果代码
sprintf(szBuffer,"%08lX",da.ip+nIndex);
pCmpDisasmDlg->m_ListCtrlDisasm.InsertItem(dwCountCode,szBuffer);
wsprintf(szBuffer,"%s",da.dump);
pCmpDisasmDlg->m_ListCtrlDisasm.SetItemText(dwCountCode,1,szBuffer);
sprintf(szBuffer,"%s",da.result);
pCmpDisasmDlg->m_ListCtrlDisasm.SetItemText(dwCountCode,2,szBuffer);
//如果遇到JMP指令
if (da.jmpconst)
{
sprintf(szBuffer,"%08d",dwNumOfJMP+1);
pCmpDisasmDlg->m_ListCtrlDisasm_JmpInfo.InsertItem(dwNumOfJMP,szBuffer);
sprintf(szBuffer,"%08lX",da.ip+nIndex);
pCmpDisasmDlg->m_ListCtrlDisasm_JmpInfo.SetItemText(dwNumOfJMP,1,szBuffer);
sprintf(szBuffer,"%08lX",da.jmpconst);
pCmpDisasmDlg->m_ListCtrlDisasm_JmpInfo.SetItemText(dwNumOfJMP,2,szBuffer);
dwNumOfJMP++;
}
//设定进度条
pCmpDisasmDlg->m_ProgressDisasm.SetPos(nIndex*100/dwSizeOfCode+1);
//代码行数加一
dwCountCode++;
nIndex+=nCodelen;
}
//编辑框显示分析结果。
sprintf(szBuffer,"OEP：%08lX，代码段：%d Bytes，JMP指令：%d个，代码：%d行。",
dwOEP,dwSizeOfCode,dwNumOfJMP,dwCountCode);
pCmpDisasmDlg->SetDlgItemText(IDC_EDIT_DISASM_JMPINFO,szBuffer);
return 0;
}
见下图所示：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
san or shan?
这个专业忽悠能力很强啊 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
还是菊导厉害
|
|
|
|
|
|
|
|
|
|
