160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）

·前言

虽然网上已经有帖子写160个CrackMe，我个人还是以正向的思路来逆向一部分的crackme，还有一些代码还原的小技巧，挑选出这160个CrackMe中由c，c++，汇编编写的程序来来写。vb，delphi现在用的少些了就不拿来写了。

·思路分析

先判断该程序是啥语言写的用工具查看一下

是vc6的mfc编写的现在先运行下程序寻

找按钮Check的按钮事件该程序是mfc编写的，我自己写个例子，来找按钮事件 vs2019创建mfc工程后增加个按钮事件

双击Button1 写一个弹出对话框的代码

mfc是怎么知道这个按钮事件的呢，实际是通过映射消息，代码为

这些都是宏定义，按下F12进去看

·把这些宏代码展开为

PTM_WARNING_DISABLE \ const AFX_MSGMAP* theClass::GetMessageMap() const \    { return GetThisMessageMap(); } \ const AFX_MSGMAP* PASCAL theClass::GetThisMessageMap() \
{ \ typedef theClass ThisClass;                            \    typedef baseClass TheBaseClass;                    \ __pragma(warning(push))                           \ __pragma(warning(disable: 4640))  \ static const AFX_MSGMAP_ENTRY _messageEntries[] =  \ { ON_WM_SYSCOMMAND() ON_WM_PAINT() ON_WM_QUERYDRAGICON()             ON_BN_CLICKED(IDC_BUTTON1, &CMFCApplication3Dlg::OnBnClickedButton1) }; \       {0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 } \ __pragma(warning(pop)) \static const AFX_MSGMAP messageMap = \ { &TheBaseClass::GetThisMessageMap, &_messageEntries[0] }; \ return &messageMap; \ }                                 \
PTM_WARNING_RESTORE

· __pragma和#pragma之间有什么区别

_Pragma操作符具有与#pragma指令相同的功能
#pragma本身就是一个预处理器指令;它不能在#define指令中使用。
因此，这就是__pragma存在的原因：它提供了一种方法，可以从扩展使用它的宏的任何地方发出编译指示。 这是一个非标准的编译器扩展（MSVC，Intel和一些C编译器在不同程度上支持它）. #define PTM_WARNING_DISABLE \ __pragma(warning( push )) \__pragma(warning( disable : 4867 )) #define PTM_WARNING_RESTORE \ __pragma(warning( pop )) __pragma(warning(push)) 等于
#pragma warning(push)是保存当前的编译器警告状态；  __pragma(warning(pop)) 等于
#pragma warning(pop)是恢复原先的警告状态。  __pragma(warning( disable : 4867 ))
warning disable 作用：让编译器忽略指定编号的警告，跳过警告直接运行程序，可用来忽略一部分不重要的警告参考资料
https://blog.csdn.net/qq_45481381/article/details/110875019

·去掉不要的宏定义与代码

const AFX_MSGMAP* theClass::GetMessageMap() const    { return GetThisMessageMap(); } \ const AFX_MSGMAP* PASCAL theClass::GetThisMessageMap()
{                   static const AFX_MSGMAP_ENTRY _messageEntries[] =   { ON_BN_CLICKED(IDC_BUTTON1, &CMFCApplication3Dlg::OnBnClickedButton1)  {0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 }
};      static const AFX_MSGMAP messageMap =  { &TheBaseClass::GetThisMessageMap, &_messageEntries[0] };       return &messageMap;  }

现在替换ON_BN_CLICKED宏

#define ON_BN_CLICKED(id, memberFxn) \ ON_CONTROL(BN_CLICKED, id, memberFxn) ON_BN_CLICKED(IDC_BUTTON1, &CMFCApplication3Dlg::OnBnClickedButton1) 等于
ON_CONTROL(BN_CLICKED, IDC_BUTTON1, CMFCApplication3Dlg::OnBnClickedButton1) 进一步替换
#define ON_CONTROL(wNotifyCode, id, memberFxn) \ { WM_COMMAND, (WORD)wNotifyCode, (WORD)id, (WORD)id, AfxSigCmd_v, \(static_cast< AFX_PMSG > (memberFxn)) }, ON_CONTROL(BN_CLICKED, IDC_BUTTON1, CMFCApplication3Dlg::OnBnClickedButton1)等于
{ WM_COMMAND, (WORD)BN_CLICKED, (WORD)IDC_BUTTON1, (WORD)IDC_BUTTON1, AfxSigCmd_v, \ (static_cast< AFX_PMSG > (CMFCApplication3Dlg::OnBnClickedButton1)) },

·替换后的代码

const AFX_MSGMAP* theClass::GetMessageMap() const    { return GetThisMessageMap(); } \ const AFX_MSGMAP* PASCAL theClass::GetThisMessageMap()
{               static const AFX_MSGMAP_ENTRY _messageEntries[] =   { { WM_COMMAND, (WORD)BN_CLICKED, (WORD)IDC_BUTTON1, (WORD)IDC_BUTTON1, AfxSigCmd_v, (static_cast< AFX_PMSG > (CMFCApplication3Dlg::OnBnClickedButton1)) }, {0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 }  };       static const AFX_MSGMAP messageMap =  { &TheBaseClass::GetThisMessageMap, &_messageEntries[0] };       return &messageMap;  }

·OnBnClickedButton1地址写在了_messageEntries数组这个结构体中，现在看看这个结构体定义

struct AFX_MSGMAP_ENTRY
{ UINT nMessage;   // windows message UINT nCode;      // control code or WM_NOTIFY code UINT nID;        // control ID (or 0 for windows messages) UINT nLastID;    // used for entries specifying a range of control id's    UINT_PTR nSig;       // signature type (action) or pointer to message # AFX_PMSG pfn;    // routine to call (or special value)
};

·那我的按钮事件就为

AFX_MSGMAP_ENTRY btn; btn.nMessage=WM_COMMAND; btn.nCode=BN_CLICKED; btn.nID=IDC_BUTTON1; btn.nLastID=IDC_BUTTON1; btn.nSig=AfxSigCmd_v;
btn.pfn=CMFCApplication3Dlg::OnBnClickedButton1; 查看WM_COMMAND，BN_CLICKED，IDC_BUTTON1宏定义的值，btn结构体的值应该为 btn.nMessage=0x0111; btn.nCode=0; btn.nID=1000; btn.nLastID=1000; btn.nSig=AfxSigCmd_v;
btn.pfn=CMFCApplication3Dlg::OnBnClickedButton1; 因为static const AFX_MSGMAP_ENTRY _messageEntries[]是静态数组，会在exe的.data段
那我直接在内存搜索结构体btn的二进制就行了 btn的内存呈现形式为
nMessage，nCode，nID，nLastID，nSig，pfn
可以不用管nSig，pfn的值，只用搜索前四项就够了，等价替换为
0x0111，  0，   1000，1000，nSig，pfn       等价替换为
11 01 00 00， 00 00 00 00， e8 03 00 00， e8 03 00 00 ，nSig，pfn 等价替换为
11 01 00 00 00 00 00 00 e8 03 00 00 e8 03 00 00

·用x64dbg打开该程序，内存搜索

·一定要用鼠标左键点击开始的00280000地址，这样搜索就会从00280000开始查找，如果你从00c94000开始的话，00280000至00c94000这段内存就不会搜索了

跟过去看看

00CA07FB就是OnBnClickedButton1函数地址

160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）相关推荐

c语言特征码搜索,[学习笔记]通过各语言特征码寻找按钮事件
今天的课件都无壳. 一 Delphi和BC++ DIE检测一下,是Delphi OD载入反汇编窗口右键---查找---二进制字符串查看一下特征码复制Delphi的特征码,粘贴进刚才打开的查找二 ...
转用特征码秒杀各程序语言按钮事件
作者:小童工具:OllyDbg.Delphi程序一个.易语言程序一个.MFC程序一个 -------------------------------------------------------- ...
用特征码秒杀各程序语言按钮事件
作者:小童工具:OllyDbg.Delphi程序一个.易语言程序一个.MFC程序一个 -------------------------------------------------------- ...
android hook截取其他程序的按钮事件_Hook技术
概述 Hook,英文直译是"钩子"的意思.在程序中将其理解为"劫持"可能会更好理解,我们可以通过hook技术来劫持某个对象,从而控制它与其他对象的交互. Hoo ...
小程序监听android返回键,如何监听小程序返回按钮事件？
写在前面为了能及时的将自己踩到的前端坑(包括ionic,angular,react,ReactNative,小程序,APICloud)分享给大家,以后会逐渐将文章转移到微信公众号:前端e家(fron ...
如何监听小程序返回按钮事件？
2020-06-09更新 //--------------------------2020-06-09更新-------------------开始-------------------------- ...
MFC程序逆向 – 消息篇(上)+(下)
费尔托斯特:单用户终生版,费尔软件杀毒软件 65.0元标题: [原创]MFC程序逆向 – 消息篇(上)+(下) 11楼作者: szdbg 时间: 2007-10-31,06:26 链 ...
MFC程序打开控制台
转自:http://blog.csdn.NET/acaiacc/article/details/5543669 利用AllocConsole() 在你的MFC程序中添加这些代码,可以获得控制台的输 ...
MFC程序的生死因果
MFC程序的来龙去脉(causal relations) MFC的程序如何运行,第一件事情就是找出MFC程序的进入点.MFC程序也是Windows程序.所以它应该也有一个WinMain.但在程序中好 ...

160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）

160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）相关推荐

最新文章

热门文章

160个CrackMe之108 mfc程序 寻找按钮事件，代码还原（上）

160个CrackMe之108 mfc程序 寻找按钮事件，代码还原（上）相关推荐

最新文章

热门文章

160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）

160个CrackMe之108 mfc程序寻找按钮事件，代码还原（上）相关推荐