码迷,mamicode.com
首页 > 编程语言 > 详细

MFC程序逆向 – 消息篇(上)

时间:2015-04-14 02:01:30      阅读:275      评论:0      收藏:0      [点我收藏+]

标签:

标 题: 【原创】MFC程序逆向 – 消息篇(上)+(下) 11楼
作 者: szdbg
时 间: 2007-10-31,06:26:02
链 接: http://bbs.pediy.com/showthread.php?t=54150

前言:
记得前一段时间,我刚接触软件破解和逆向这一行时,对于一些软件不知从何处跟踪按钮消息,试了好多方法,就是断不下来,在系统模块中经常转得晕头转向,而一无所获。

MFC程序是一种常见类型的程序,我静下心来,潜心研究了一下MFC消息流程。弄清原委之后,一切豁然开朗,发现跟踪MFC程序和消息处理原来是如此。。。,跟踪按钮事件处理也由此变得特别简单。 

于是,我将这些研究整理成文,以备后忘。并希望对和我一样的菜鸟有所帮助,有误之处,请高手指正。

本文目的就是以一个MFC的标准对话框程序为例,同时从源码和反汇编代码两方面来研究MFC消息的流程走向,弄清MFC消息路径的所有站点,这样就可以任意定位MFC的所有消息事件,可以从任一站点切入,进行跟踪分析MFC的处理过程。甚至可以从PumpMessage大本营出发,一直全程跟踪,做到心中有数,不慌不乱。

关于对话框的启动过程,其过程很简单,程序进入WinMain函数之后,会调用对话框的DoModal函数,然后就进入RunModalLoop函数,消息循环在这里就开始了,限于篇幅,本文不作多说,有兴趣者可看看MFC源码。本篇重点在于分析MFC的消息分发处理的过程。
先看一下RunModalLoop函数部分源码:

int CWnd::RunModalLoop(DWORD dwFlags)
{  ...
  for (;;)
  {  ...
    do
    {  if (!AfxGetThread()->PumpMessage())    // pump message, but quit on WM_QUIT
      {
        AfxPostQuitMessage(0);
        return -1;
}
      ...
    } while (::PeekMessage(pMsg, NULL, NULL, NULL, PM_NOREMOVE));
  }
  ...
}

这里,AfxGetThread()->PumpMessage()是MFC消息处理的大本营,MFC程序的所有消息就是从这里开始,经过重重路径转换,翻山越岭,中途直达Windows系统内核,再返回到MFC地界,又途经不少周折,才找到最终目的地 – 消息函数地址。可谓是山重水复疑无路,柳暗花明又一村。

一个按钮点击事件的过程如下:
CWinThread::PumpMessage -> CWnd::PretranslateMessage -> CWnd::WWalkPreTranslateMessate -> CD1Dlg::PreTranslateMessage -> CDialog::PreTranslateMessage -> CWnd::PreTranslateInput  -> CWnd::IsDialogMessageA -> USER32内核 -> AfxWndProcBase -> AfxWndProc -> AfxCallWndProc -> CWnd::WindowProc -> CWnd::OnWndMsg -> CWnd::OnCommand -> CDialog::OnCmdMsg -> CCmdTarget::OnCmdMsg -> _AfxDispatchCmdMsg -> CD1Dlg::OnButton1()

VC下,可以随手写一个标准的对话框程序,上面放一个按钮,点击按钮后,弹出一个消息框。我们现在就从PumpMessage()开始,来分析这中间的消息流程:

1. CWinThread::PumpMessage函数 (消息泵)
BOOL CWinThread::PumpMessage()
{     //GetMessage 当消息为WM_QUIT时,返回0,其它消息时,返回TRUE,有错误时,返回-1
   if (!::GetMessage(&m_msgCur, NULL, NULL, NULL))  return FALSE;   
   if (m_msgCur.message != WM_KICKIDLE && !PreTranslateMessage(&m_msgCur))
{
    ::TranslateMessage(&m_msgCur);
    ::DispatchMessage(&m_msgCur); 
}
   return TRUE;
}
PumpMessage只有在接收到WM_QUIT消息时,才返回FALSE,其它情况,返回TRUE。由于CWinThread::PumpMessage()函数负责从消息队列中获取消息、翻译消息以及分发消息等,因此习惯将此函数称之为“消息泵”。
在PumpMessage函数中,PreTranslateMessage函数至关重要,正是有了这个PreTranslateMessage(),才使得MFC能够灵活的控制消息的分发模式,可以说,PreTranslateMessage()就是MFC的实现消息分发模式的工具。

PumpMessage函数反汇编代码:
73D31194 >  56                    PUSH ESI
...
73D311A1    FF15 B0B6DC73         CALL DWORD PTR DS:[<&USER32.GetMessageA>]
73D311A7    85C0                  TEST EAX,EAX
73D311A9    74 26                 JE SHORT MFC42.73D311D1    ;收到WM_QUIT,退出程序
73D311AB    817E 38 6A030000      CMP DWORD PTR DS:[ESI+38],36A
73D311B2    74 1A                 JE SHORT MFC42.73D311CE
73D311B4    8B06                  MOV EAX,DWORD PTR DS:[ESI]
73D311B6    57                    PUSH EDI
73D311B7    8BCE                  MOV ECX,ESI
73D311B9    FF50 60               CALL DWORD PTR DS:[EAX+60]    ; PreTranslateMessage (消息预处理)
73D311BC    85C0                  TEST EAX,EAX
73D311BE    75 0E                 JNZ SHORT MFC42.73D311CE
73D311C0    57                    PUSH EDI          ;消息预处理返回FALSE
73D311C1    FF15 ACB6DC73         CALL DWORD PTR DS:[<&USER32.TranslateMessage>]
73D311C7    57                    PUSH EDI
73D311C8    FF15 30B6DC73         CALL DWORD PTR DS:[<&USER32.DispatchMessageA>]
;
73D311CE    6A 01                 PUSH 1            ;返回TRUE
73D311D0    58                    POP EAX
73D311D1    5F                    POP EDI
73D311D2    5E                    POP ESI
73D311D3    C3                    RETN

提示: 
a. OD加载程序后,调出MFC42.dll模块,定位到PumpMessage代码入口处。
b. 在CALL DWORD PTR DS:[EAX+60]这一条语句上设置条件断点[[esp]+4]==202,即可设置鼠标左键释放断点。
   说明:call [eax+60]是调用PreTranslateMessage函数,入口参数为:MSG* pMsg,所以:
   [esp]就是pMsg,而[[esp]]就是pMsg->hWnd  , [[esp]+4]就是pMsg->Message  
c. [[esp]]==002407B4 && [[esp]+4]==202 可以为指定按钮设置点击断点。这里002407B4是目标按钮的句柄.

2. CWinThread::PreTranslateMessage函数
BOOL CWinThread::PreTranslateMessage(MSG* pMsg)
{  // if this is a thread-message, short-circuit this function
  if (pMsg->hwnd == NULL && DispatchThreadMessageEx(pMsg))    return TRUE;
  CWnd* pMainWnd = AfxGetMainWnd();
  // 通过WalkPreTranslateTree 进行消息分发
  if (CWnd::WalkPreTranslateTree(pMainWnd->GetSafeHwnd(), pMsg))  return TRUE;  // 消息分发处理关键
  if (pMainWnd != NULL)
  {
     CWnd* pWnd = CWnd::FromHandle(pMsg->hwnd);
     if (pWnd->GetTopLevelParent() != pMainWnd)
      return pMainWnd->PreTranslateMessage(pMsg);  //程序主框架处理消息
  }
  return FALSE;   // no special processing


PreTranslateMessage函数反汇编部分代码   
73D313D0 >   PUSH ESI
73D313D1     PUSH EDI
73D313D2     MOV EDI,DWORD PTR SS:[ESP+C]
73D313D6     CMP DWORD PTR DS:[EDI],0
73D313D9     JE MFC42.73D8E9A1
73D313DF     CALL MFC42.#6575_?AfxGetMainWnd@@YGPAVCW>
73D313E4     MOV ESI,EAX
73D313E6     TEST ESI,ESI
73D313E8     JE SHORT MFC42.73D313ED
73D313EA     MOV EAX,DWORD PTR DS:[ESI+20]
73D313ED     PUSH EDI
73D313EE     PUSH EAX
73D313EF     CALL MFC42.#6367_?WalkPreTranslateTree@C>
73D313F4     TEST EAX,EAX
73D313F6     JNZ SHORT MFC42.73D31415
73D313F8 >   TEST ESI,ESI
73D313FA     JE SHORT MFC42.73D3140E
73D313FC     PUSH DWORD PTR DS:[EDI]
73D313FE     CALL MFC42.#2864_?FromHandle@CWnd@@SGPAV>
73D31403     MOV ECX,EAX
73D31405     CALL MFC42.#3815_?GetTopLevelParent@CWnd>
73D3140A     CMP EAX,ESI
73D3140C     JNZ SHORT MFC42.73D3141A
73D3140E     XOR EAX,EAX
73D31410     POP EDI
73D31411     POP ESI
73D31412     RETN 4
提示: 
a. OD加载程序后,调出MFC42.dll模块,定位到PreTranslateMessage代码入口处。
b. 在函数入口处设置条件断点[[esp+4]+4]==202,即可设置鼠标左键释放断点。
   说明:此函数的入口参数为:MSG* pMsg,在入口处时,[esp]是函数返回地址,所以:
   [esp+4]就是pMsg,而[[esp+4]]就是pMsg->hWnd  , [[esp+4]+4]就是pMsg->Message  
c. [[esp+4]]==002407B4 && [[esp+4]+4]==202 可以为指定按钮设置点击断点。这里002407B4是目标按钮的句柄.

3. CWnd::WalkPreTranslateTree函数
CWnd::WalkPreTranslateTree()的所使用的策略很简单,拥有该消息窗口最先获得该消息的处理权,如果它不想对该消息进行处理(该窗口对象的PreTranslateMessage()函数返回FALSE),就将处理权交给它的父亲窗口,如此向树的根部遍历,直到遇到hWndStop(在CWinThread::PreTranslateMessage()中,hWndStop表示的是线程主窗口的句柄)。
记住这个消息处理权的传递方向,是由树的某个一般节点或叶子节点向树的根部传递!

BOOL PASCAL CWnd::WalkPreTranslateTree(HWND hWndStop, MSG* pMsg)
{  for (HWND hWnd = pMsg->hwnd; hWnd != NULL; hWnd = ::GetParent(hWnd))  //从当前窗口到父窗口,逐层往上
  {  CWnd* pWnd = CWnd::FromHandlePermanent(hWnd);
    if (pWnd != NULL)
    {  // target window is a C++ window
      if (pWnd->PreTranslateMessage(pMsg))  return TRUE;  //消息被某一窗口处理了,返回
    }    
    if (hWnd == hWndStop)  break;    // got to hWndStop window without interest
  }
  return FALSE;       // no special processing

正是这个if (pWnd->PreTranslateMessage(pMsg))  return TRUE; 才实现了MFC灵活的消息分发处理机制。MFC程序各个窗口类中重载的PreTranslateMessage虚函数,都是从这里进来的。
MFC从当前消息窗口类逐级向上搜索执行各个类的PreTranslateMessage函数,只要有一个PreTranslateMessage函数
返回TRUE,WalkPreTranslateTree就中止搜索,并返回TRUE,否则返回FALSE。
   在PumpMessage函数中最终就是根据WalkPreTranslateTree函数的返回值决定是否要由Windows系统进行消息处理与分发。

WalkPreTranslateTree函数反汇编代码如下:
73D31389  MOV EDI,EDI                                        ;  D1.0040308C
73D3138B  PUSH ESI
73D3138C  PUSH EDI
73D3138D  MOV EDI,DWORD PTR SS:[ESP+10]
73D31391  MOV ESI,DWORD PTR DS:[EDI]
73D31393  JMP SHORT MFC42.73D313BD
73D31395  /PUSH ESI
73D31396  |CALL MFC42.#2867_?FromHandlePermanent@CWnd@@SGPAV>        ;取得CWnd 指针值
73D3139B  |TEST EAX,EAX              ;CWnd * 值不为NULL时,则调用CWnd::PreTranslateMessage()
73D3139D  |JE SHORT MFC42.73D313AE
73D3139F  |MOV EDX,DWORD PTR DS:[EAX]        
73D313A1  |PUSH EDI
73D313A2  |MOV ECX,EAX
73D313A4  |CALL DWORD PTR DS:[EDX+98]  ;<JMP.&MFC42.#5280_?PreTranslateMessage > ;通过虚函数方式调用
73D313AA  |TEST EAX,EAX
73D313AC  |JNZ SHORT MFC42.73D313C8        ;消息被处理了,返回TRUE
73D313AE  |CMP ESI,DWORD PTR SS:[ESP+C]
73D313B2  |JE SHORT MFC42.73D313C1
73D313B4  |PUSH ESI                                          ; /hWnd
73D313B5  |CALL DWORD PTR DS:[<&USER32.GetParent>]           ; \GetParent
73D313BB  |MOV ESI,EAX
73D313BD   TEST ESI,ESI
73D313BF  \JNZ SHORT MFC42.73D31395
73D313C1  XOR EAX,EAX              ;返回FALSE
73D313C3  POP EDI
73D313C4  POP ESI
73D313C5  RETN 8
73D313C8  XOR EAX,EAX
73D313CA  INC EAX                ;返回 TRUE
73D313CB  JMP SHORT MFC42.73D313C3
跟踪说明:
在上面一句73D313A4  CALL DWORD PTR DS:[EDX+98] 设置按钮点击条件断点: [[esp]]==002407B4 && [[esp]+4]==202
可以发现:当点击按钮后,按钮点击事件函数代码就会在这条语句后执行,当按钮事件函数代码执行完毕后,CALL才会返回TRUE。

4. CD1Dlg::PreTranslateMessage函数
BOOL CDialog::PreTranslateMessage(MSG* pMsg)
{    ...
  return CDialog::PreTranslateMessage(pMsg);
 }
若接收消息的窗口类重载了PreTranslateMessage函数,则此时会调用它,否则就进入第5步。实际应用中,这里很有可能是消息流程的一个分水岭,可能走向两条不同的道路。这完全取决于应用程序新增的代码,若应用程序在这里返回TRUE,消息流程就返回去了。否则,就会继续往下执行。
    在跟踪按钮消息时,此处应作为一个注意点,而设置断点的最佳位置是在上一步WalkPreTranslateTree函数中所说的位置,跟踪下来,注意消息流程的走向。

5. CDialog::PreTranslateMessage函数
BOOL CDialog::PreTranslateMessage(MSG* pMsg)
{
  if (CWnd::PreTranslateMessage(pMsg)) return TRUE;
  CFrameWnd* pFrameWnd = GetTopLevelFrame();
  if (pFrameWnd != NULL && pFrameWnd->m_bHelpMode) return FALSE;
  if (pMsg->message == WM_KEYDOWN && (pMsg->wParam == VK_ESCAPE || pMsg->wParam == VK_CANCEL) &&
     (::GetWindowLong(pMsg->hwnd, GWL_STYLE) & ES_MULTILINE) &&_AfxCompareClassName(pMsg->hwnd, _T("Edit")))
  {
    HWND hItem = ::GetDlgItem(m_hWnd, IDCANCEL);
    if (hItem == NULL || ::IsWindowEnabled(hItem))
    {
      SendMessage(WM_COMMAND, IDCANCEL, 0);
      return TRUE;
    }
  }
  return PreTranslateInput(pMsg);      // 消息流入此处
}

CDialog::PreTranslateMessage()反汇编代码如下:
73D468A4 >  PUSH ESI
73D468A5    PUSH EDI
73D468A6    MOV EDI,DWORD PTR SS:[ESP+C]
73D468AA    MOV ESI,ECX
73D468AC    PUSH EDI
73D468AD    CALL MFC42.#5290_?PreTranslateMessage@CWnd@@UAEHPAUtagMSG@>
73D468B2    TEST EAX,EAX
73D468B4    JNZ MFC42.73D8D490
73D468BA    MOV ECX,ESI
73D468BC    CALL MFC42.#3813_?GetTopLevelFrame@CWnd@@QBEPAVCFrameWnd@@>
73D468C1    TEST EAX,EAX
73D468C3    JNZ MFC42.73D8D429
73D468C9    CMP DWORD PTR DS:[EDI+4],100
73D468D0    JE SHORT MFC42.73D468DF
73D468D2    PUSH EDI
73D468D3    MOV ECX,ESI
73D468D5    CALL MFC42.#5278_?PreTranslateInput@CWnd@@QAEHPAUtagMSG@@@>     ;消息从流入此处
73D468DA    POP EDI
73D468DB    POP ESI
73D468DC    RETN 4

6. CWnd::PreTranslateInput函数
BOOL CWnd::PreTranslateInput(LPMSG lpMsg)
{
  if ((lpMsg->message < WM_KEYFIRST || lpMsg->message > WM_KEYLAST) &&
    (lpMsg->message < WM_MOUSEFIRST || lpMsg->message > WM_MOUSELAST))  // 过滤消息
    return FALSE;
  return IsDialogMessage(lpMsg);
}
从源码中可以看出,这个函数是对消息进行过滤,对于按键消息和鼠标消息,直接返回FALSE,然后再返回到PumpMessge函数中,调用TranslageMessage()和DispatchMessage()函数,进行消息转换和分发,再进入MFC。对于其它消息,则调用CWnd::IsDialogMessage()函数进行下一步处理。
CWnd::PreTranslateInput()函数反汇编代码如下:
73D34009 >  MOV EDX,DWORD PTR SS:[ESP+4]
73D3400D    MOV EAX,DWORD PTR DS:[EDX+4]
73D34010    CMP EAX,100
73D34015    JNB SHORT MFC42.73D34023
73D34017    CMP EAX,200
73D3401C    JNB SHORT MFC42.73D34032
73D3401E    XOR EAX,EAX
73D34020    RETN 4
73D34023    CMP EAX,108
73D34028  ^ JA SHORT MFC42.73D34017
73D3402A    PUSH EDX
73D3402B    CALL MFC42.#4047_?IsDialogMessageA@CWnd@@QAEHPAUtagMSG@@@Z
73D34030  ^ JMP SHORT MFC42.73D34020
73D34032    CMP EAX,209
73D34037  ^ JBE SHORT MFC42.73D3402A
73D34039  ^ JMP SHORT MFC42.73D3401E
7. CWnd::IsDialogMessageA函数
BOOL CWnd::IsDialogMessage(LPMSG lpMsg)
{
  if (m_nFlags & WF_OLECTLCONTAINER)
    return afxOccManager->IsDialogMessage(this, lpMsg);
  else
    return ::IsDialogMessage(m_hWnd, lpMsg);
}
这里会转进User32.IsDialogMessageA函数,从而转入系统内核,由Windows系统再来负责将消息的分发传送到各个目标窗口。
注:User32.IsDialogMessage并不是象它的名字那样用来检查对话框消息的,而是用来解释或转换消息的。更贴切的名字应该是TranslateDialogMessage。CWnd::IsDialogMessage实际上是一个以LPMSG作为参数,再加上内部的m_hWnd参数来调用User32.IsDialogMessage的打包函数。这样,MFC中每一个对话框都会解释自己的输入。所以,若同时运行五个对话框,每一个对话框的PreTranslateMessage都会自动调用User32.IsDialogMessage,而且运转良好,完全可以不用我们编程处理,MFC真是太牛了。

CWnd::IsDialogMessageA函数反汇编代码:
73D468F5 > PUSH ESI
73D468F6   MOV ESI,ECX
73D468F8   TEST BYTE PTR DS:[ESI+29],1
73D468FC   JNZ MFC42.73D8E273
73D46902   PUSH DWORD PTR SS:[ESP+8]
73D46906   PUSH DWORD PTR DS:[ESI+20]
73D46909   CALL DWORD PTR DS:[<&USER32.IsDialogMessageA>]      ;进入系统内核
73D4690F   POP ESI
73D46910   RETN 4
提示: 
1 . OD中设断: bp IsDialogMessageA MSG==202 , 则当鼠标左键释放时,会中断在User32.IsDialogMessageA函数入口上。
2.  若已知按钮的句柄,且要求当点击该按钮时,程序中断在IsDialogMessageA上,则可以作如下设断: 
bp IsDialogMessageA [[esp+8]]==00060350 && MSG==202.
  3. 中断后,可以通过堆栈返回到CWnd::IsDialogMessageA函数代码处。
=========================================================================================================
8. User32 内核处理,不分析
这里面的过程,我们就当作一个黑匣子吧,不管它,一般情况下,也无需管它。因为我们百分之百相信它。
=========================================================================================================
当消息到达此处时,又进入了MFC地界 .第8步之前,可以说是经常峰回路转,山重水复。第8步之后,是柳暗花明,可以一路高歌,直奔目的地了。

欲知后事如何,且听下回分解! 

MFC程序逆向 – 消息篇(上)

标签:

原文地址:http://www.cnblogs.com/mayingkun/p/4423787.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!