IDA学习笔记--VS2008按钮事件捕捉

IDA笔记--VS2008按钮事件捕捉

用到工具：

IDA Proc

C32Asm

Rescope

VS2008

LordPE

实例程序:MFCDemo.exe（附下载链接），我们目标是找到Button1对应的函数的地址处

附件包含：博客文章原文文档，文章中用到的MFCDemo程序。

下载链接：http://download.csdn.net/detail/ccnyou/5012040

1，首先，IDA载入程序，在左侧Function Name中输入 CDialog::GetMessageMap（没有输入框，只是定位到这个函数而已，其实书一部分就出来了PS,如果能找到GetThisMessageMap优选选择GetThisMessageMap），如图

2，在XREF中右键，选择“跳到交叉参考”，如图：

点进去后第一个不是我们要找的，第二个开始才是我们目标，第二个如图：

3，此处，点击IDA上面的 Structures打开结构体窗口，按键盘Insert增加一个结构体

名字使用AFX_MSGMAP_ENTRY，然后依次按D增加几个成员并一一改名，最终如图

接下来，回到刚才汇编窗口，从第一个unk_4357B8开始，按Alt+Q，将此处转为结构体变量，在弹出来的窗口选择AFX_MSGMAP_ENTRY，转化之后如图：

4，到这里，其实已经可以发现一些信息，VS2008中的AFX_MSGMAP_ENTRY结构体，对于按钮消息都是这样子的

{ WM_COMMAND, (WORD)BN_CLICKED, (WORD)IDC_BUTTON1, (WORD)IDC_BUTTON1, AfxSigCmd_v, \

(static_cast< AFX_PMSG > (&CMFCDemoDlg::OnBnClickedButton1)) },

我们用Rescope打开目标程序，打开Dialog窗口，找到目标按钮Button1，拿到按钮ID如图

这里ID = 1000 = 0x03E8，然后根据上面的信息，构造一串HEX常量

1101000000000000E8030000E8030000

其中，1101 就是 0x0111，对应WM_COMMAND， E803即是0x03E8，就是按钮ID。

将程序载入C32Asm，搜索HEX,找到一个：

右键，选择【转到对应汇编模式编辑】，拿到指令地址00436FF8，减掉基址00400000得到036FF8，将程序载入LordPE，使用位置计算器，在偏移量中输入036FF8，点击转换，得到VA=00437DF8。

4，在IDA中反汇编窗口，按G转到00437DF8，如图

这里要说明下，上面那串 

dd offset ?OnBnClickedOk@CMFCDemoDlg@@QAEXXZ ; CMFCDemoDlg::OnBnClickedOk(void)

估计是由于IDA找到了调试信息，但是一般逆向过程是没有调试信息的，这里忽略它。

我们对着db 11h按Alt+Q，选择刚才的AFX_MSGMAP_ENTRY，目标出来，如图：

在没有调试信息的情况下，这里是一个函数偏移量，双击就能到达函数代码处。文章至此结束。有问题请给我留言^_^。