标签：
标 题: 【原创】易语言消息机制分析(消息拦截原理)
作 者: 红绡枫叶
时 间: 2014-12-17,12:41:44
链 接: http://bbs.pediy.com/showthread.php?t=195626
我自己做了个易语言的sig签名,方便分析的时候用.易语言例子是静态编译的.版本 5.11
易语言其实是基于mfc的,它依然需要mfc的消息派发机制,只不过,自己当了系统与
用户间的代理人.所有的消息都要经它转发而已.我在MFC的消息派发函数_AfxDispatchCmdMsg
下断点,总能断下所有事件,包括按钮事件.我按下按钮,断在如下:
0045C7E0 _ /$ 55 push ebp ; ewnd._AfxDispatchCmdMsg(CCmdTarget *,uint,int,void (CCmdTarget::*)(void),void *,uint,AFX_CMDHANDLERINFO *)(guessed Arg1,Arg2,Arg3,Arg4,Arg5,Arg6,Arg7)
0045C7E1 |. 8BEC mov ebp, esp
0045C7E3 |. 8B45 20 mov eax, dword ptr ss:[arg7]
0045C7E6 |. 53 push ebx
0045C7E7 |. 56 push esi
0045C7E8 |. 6A 01 push 1
在下面不远处,消息转发到了:
只是这有点麻烦了.我才不想一步一步绕到用户事件处理的地方.
因此,我们要找到易语言给用户派发消息的地方.
往下追踪:
00411688 |. FFD0 call eax ; ewnd.ProcessNotifySys(int,ulong,ulong)
处理消息的其中一步,继续吧
004116B4 |. E8 77C7FF call CKrnlApp::Notify(int,ulong,ulong)
再继续:
0040E36D |> \8B4424 34 mov eax, dword ptr ss:[arg2] ; Case 7D8 of switch ewnd.40DE4F
0040E371 |. 8BCE mov ecx, esi
0040E373 |. 50 push eax ; /Arg1 => [Arg2]
0040E374 |. E8 67A600 call CKrnlApp::ProcessEvent(EVENT_NOTIFY *) ; \ewnd.CKrnlApp::ProcessEvent(EVENT_NOTIFY *) //处理派发消息
0040E379 |. E9 580700 jmp 0040EAD6
0040E37E |> 8B4C24 34 mov ecx, dword ptr ss:[arg2] ; Case 7EF of switch ewnd.40DE4F
0040E382 |. 51 push ecx ; /Arg1 => [Arg2]
0040E383 |. 8BCE mov ecx, esi ; |
0040E385 |. E8 06A700 call CKrnlApp::ProcessEvent(EVENT_NOTIFY2 *) ; \ewnd.CKrnlApp::ProcessEvent(EVENT_NOTIFY2 *)
0040E38A |. E9 470700 jmp 0040EAD6
0040E38F |> 8B86 4802 mov eax, dword ptr ds:[esi+248] ; Case 7DB of switch ewnd.40DE4F
来到派发事件的地方了呢!跟进:
CPU Disasm
Address Hex dump Command Comments
00418A06 |. 51 push ecx ; |Arg1 = ASCII "p"I"
00418A07 |. 8B4D E8 mov ecx, dword ptr ss:[local.6] ; |
00418A0A |. E8 419AFF call CKrnlApp::BeginProcessEvent(ulong,ulong,int,int) ;获取用户定义的消息
00418A0F |. 8945 FC mov dword ptr ss:[local.1], eax
00418A12 |. 837D FC 0 cmp dword ptr ss:[local.1], 0 ;判断这次的消息是不是用户的.
00418A16 |. 75 04 jne short 00418A1C
00418A18 |. 33C0 xor eax, eax
00418A1A |. EB 67 jmp short 00418A83
00418A1C |> 56 push esi ;是用户定义的消息,那就来到这里处理了.
00418A1D |. 57 push edi
00418A1E |. 8B55 08 mov edx, dword ptr ss:[arg1]
00418A21 |. 8B42 0C mov eax, dword ptr ds:[edx+0C]
00418A24 |. 83E8 01 sub eax, 1
00418A27 |. 8945 EC mov dword ptr ss:[local.5], eax
00418A2A |. EB 09 jmp short 00418A35
00418A2C |> 8B4D EC /mov ecx, dword ptr ss:[local.5]
00418A2F |. 83E9 01 |sub ecx, 1
00418A32 |. 894D EC |mov dword ptr ss:[local.5], ecx
00418A35 |> 837D EC 0 |cmp dword ptr ss:[local.5], 0
00418A39 |. 7C 12 |jl short 00418A4D
00418A3B |. 8B55 EC |mov edx, dword ptr ss:[local.5]
00418A3E |. 8B45 08 |mov eax, dword ptr ss:[arg1]
00418A41 |. 8B4C90 10 |mov ecx, dword ptr ds:[edx*4+eax+10]
00418A45 |. 894D F0 |mov dword ptr ss:[local.4], ecx
00418A48 |. FF75 F0 |push dword ptr ss:[local.4]
00418A4B |.^ EB DF \jmp short 00418A2C
00418A4D |> FF55 FC call dword ptr ss:[local.1] //调用用户消息处理例程.这就是所谓的事件特征码.
00418A50 |. 5F pop edi
00418A51 |. 5E pop esi
00418A52 |. 895D F4 mov dword ptr ss:[local.3], ebx
看到我的注释了没?就是这样简单.我忘记是在哪儿看到的了,前辈们总结的易语言事件特征码:FF55FC5F5E.
看来原理很简单嘛.
现在总结一下:
易语言其实是基于mfc的,它注册了所有的事件,
由MFC事件派发函数_AfxDispatchCmdMsg把所有发生的事件派发给易语言,
此时易语言相当于用户.然后易语言调用CKrnlApp::Notify(int,ulong,ulong),派发事件,
调用CKrnlApp::ProcessEvent(EVENT_NOTIFY[2] *)进一步处理派发的事件.
然后CKrnlApp::BeginProcessEvent(ulong,ulong,int,int)获取用户事件,如果匹配了,
就调用用户事件处理例程.
完美断下按钮事件:
标签：
原文地址：http://www.cnblogs.com/fuhua/p/5934696.html
