使用IDA定位基于MFC的CrackMe的按钮函数-----实践篇（一）

最新推荐文章于 2023-06-08 16:56:57 发布

银翼魔术师

最新推荐文章于 2023-06-08 16:56:57 发布

阅读量5k

点赞数 3

分类专栏：逆向技巧

本文链接：https://blog.csdn.net/SilverMagic/article/details/40622413

版权

逆向技巧专栏收录该内容

6 篇文章 1 订阅

订阅专栏

我将用实践的方式来展示如何将理论运用到实际~

找类名

我以对话框为例（大家可以使用VC新建一个对话框程序，然后拖入一个按钮，然后添加处理函数比如弹窗，或者直接使用我提供的附件）。我们自己的创建的对话框类是继承自CDialog的，而且我们自定义的对话框类默认是没有实现RTTI的，所以我们要先找到父类即CDialog的RTTI结构，然后找到父类的消息映射表，然后通过数据交叉引用找到我们自定义对话框类的消息映射表。

首先将程序载入IDA，等待程序分析完成，打开字符串子窗口，如下所示：

找到CDialog字符串，如下所示

双击跟踪字符串到数据段，然后查看字符串的交叉引用，如下所示：

向下翻动很快就能找到我们的消息映射表结构了，消息映射表结构非常特殊，消息条目数组就紧跟着消息映射表结构

我们还可以使用IDA的自定义数据结构功能来提高代码的可读性，首先打开本地类型子窗口

然后右键插入AFX_MSGMAP_ENTRY和AFX_MSGMAP数据结构体，直接插入MFC源码里面的这两个结构是有问题的，需要修改成如下格式(注意插入顺序)：

struct AFX_MSGMAP_ENTRY
{
	UINT nMessage;
	UINT nCode;
	UINT nID;
	UINT nLastID;
	UINT_PTR nSig;
	void (*pfn)(void);
};

struct AFX_MSGMAP
{
  const AFX_MSGMAP *(__stdcall *pfnGetBaseMap)();
  const AFX_MSGMAP_ENTRY *lpEntries;
};

插入完成后同步到idb中

然后我们回到刚才找到的结构体，将鼠标移到off_5B4A78处，按下ALT+Q，然后选择我们添加的第二个结构体AFX_MSGMAP

效果如下：

同理转换unk_5B4A80为第一个结构体，效果如下：

但是我们stru_584A80其实是一个结构体数组，所以我们还要将其转成数组，在结构体上右键选择Array

额，这个时候看脸了，有些时候IDA能正确识别数组大小，但是有些时候不行，需要我们自己计算，不过这个数组的结尾有个特征，就是全部都是0，只要依次将后面的结构全都转换成AFX_MSGMAP_ENTRY，当出现全0的AFX_MSGMAP_ENTRY结构说明数组到末尾了，这次演示的时候脸不好，所以自己转换了下，效果如下，然后我们再转数组（当然这个时候不转也没关系了）