C++ 的 try throw catch 反汇编方法

最新推荐文章于 2017-12-15 09:27:00 发布
最新推荐文章于 2017-12-15 09:27:00 发布
阅读量2.2k 收藏 3
点赞数 1
分类专栏： 病毒汇编和调试逆向技术加脱壳 文章标签： 汇编 c++ exception class c list
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/iiprogram/article/details/2417859
版权
C++代码中如果包括了 try - throw - catch ，分析起来很不方便，不容易搞懂．可惜我非要搞懂
一段这种代码，只好分析一下，简单笔记．

为了方便区分各部分，起它们起名叫TAG_1,TAG_2等等．

反汇编代码中，一个包含try throw catch的函数通常是这样的结构：
                push    ebp
                mov     ebp, esp
                push    0FFFFFFFFh
                push    offset TAG_2
                mov     eax, dword ptr fs:__except_list
                push    eax
                mov     dword ptr fs:__except_list, esp
                sub     esp, 20h
                push    ebx
                push    esi
......
                lea     ecx, [ebp+var_18]
                push    offset TAG_A
                push    ecx
                mov     [ebp+var_18], TAG_ThrowValue
                call    _CxxThrowException(x,x)
......


                mov     ecx, [ebp-0Ch]
                pop     edi
                pop     esi
                mov     dword ptr fs:__except_list, ecx
                pop     ebx
                mov     esp, ebp
                pop     ebp
                retn

上面的TAG_ThrowValue是throw的值，类型要看TAG_A
TAG_2是这么个东东：
TAG_2:
                mov     eax, offset TAG_3
                jmp     ___CxxFrameHandler
TAG_3是这么个东东：
TAG_3           dd 19930520h            ; 这叫 magic
                dd 4                    ; 这是 TAG_4 的数目
                dd offset TAG_4         
                dd 2                    ; 这是 TAG_5 的数目
                dd offset TAG_5
                dd 0
                dd 0
TAG_4是：
TAG_4           dd 0FFFFFFFFh
                dd 0
                dd 0FFFFFFFFh
                dd 0
                dd 0FFFFFFFFh
                dd 0
                dd 0FFFFFFFFh
                dd 0
TAG_5是：
TAG_5           dd 0
                dd 0
                dd 1
                dd 4
                dd offset TAG_6_first
                dd 2
                dd 2
                dd 3
                dd 4
                dd offset TAG_6_second
这里有两个 TAG_6 表示本函数中有两份 try-throw-catch
TAG_6是：
TAG_6_first     dd 0
                dd offset TAG_8_char    ;char `RTTI Type Descriptor'
                dd -13h
                dd offset TAG_7_catch_char
                dd 0
                dd offset TAG_8_int     ;int `RTTI Type Descriptor'
                dd -28h
                dd offset TAG_7_catch_int
                dd 1
                dd offset TAG_8_pchar   ;char * `RTTI Type Descriptor'
                dd -2Ch
                dd offset TAG_7_catch_pchar
                dd 0
                dd 0
                dd 0
                dd offset TAG_7_catch_all

TAG_7就是catch处理程序 label 了．
上面 TAG_7_catch_all 前面是３个 dd 0 表示它是 catch(...)

TAG_8是这样的：
TAG_8_char      dd offset const type_info::`vftable'
                dd 0
                db '.D',0
上面的".D"表示它的类型是 char，还有其它的类型：
        ".D"    char
        ".H"    int
        ".PAD"  char *
        ".PAX"  void *
        ".?AVmyexception@@"     class myexception
        ".PAVCException@@"      class CException *


TAG_A 是:
TAG_A           dd 0
                dd 0
                dd 0
                dd offset TAG_B
TAG_B 是：
TAG_B           dd    1
                dd offset TAG_C
TAG_C 是
TAG_C           dd 1                    
                dd offset TAG_8_char    ;char `RTTI Type Descriptor'
                dd 0
                dd 0FFFFFFFFh
                dd 0
                dd 1
                dd 0
以上是简单的分析．对于一般简单的try-throw-catch知道这些足够了．
下面进一步分析复杂一些的．如果对代码：
#include <iostream>
#include <exception>
using namespace std;

class myexception: public exception
{
public:
  virtual const char* what() const
  {
    return "My exception happened";
  }
} ;

int kkmain () {
  try
  {
      myexception myex;
    throw myex;
  }
  catch (myexception& e)
  {
    cout << e.what() << endl;
  }
  return 0;
}
则它的 TAG_4 会变成
TAG_4           dd 0FFFFFFFFh   
                dd 0
                dd 0
                dd offset TAG_42
                dd 0FFFFFFFFh
                dd 0
上面的 TAG_42 是一个 label:
TAG_42:         lea     ecx, [ebp-20h]
                jmp     myexception::~myexception(void)
因为上面 throw 了一个class，这个class是需要析构的．这就是它的析构．
TAG_A 变成了；
TAG_A           dd 0
                dd offset myexception::~myexception(void)       ; 看来这里是throw对象的析构函数
                dd 0
                dd offset TAG_B
而TAG_B 变成了以下，看来不管有多少层父class都会在这里展开：
TAG_B           dd 2             
                dd offset TAG_C_me      ;__CT??_R0?AVmyexception@@@8??0myexception@@QAE@ABV0@@Z12
                dd offset TAG_C_parent  ;__CT??_R0?AVexception@@@8??0exception@@QAE@ABV0@@Z12
而 TAG_C 也复杂了：
TAG_C_me        dd 0
                dd offset TAG_8_myexcepton      ;myexception `RTTI Type Descriptor'
                dd 0
                dd 0FFFFFFFFh
                dd 0
                dd 0Ch
                dd offset myexception::myexception(myexception const &) ; 看来这里是我的构造函数

以上我尽我所能写了一些复杂的try throw catch，编译为OBJ，用 IDA 打开分析．可以对付一般的情况了．非
常可惜我正在研究的一个软件就不包括在这里，它的 TAG_3 是这样子的：
stru_45C2E0     dd 19930520h            ; Magic
                dd 14                   ; Count
                dd offset stru_45C2E0.Info; InfoPtr
                dd 0                    ; CountDtr
                dd 0                    ; DtrPtr
                dd 3 dup(0)             ; _unk
                dd -1                   ; Info.Id
                dd offset sub_453050    ; Info.Proc
                dd 0                    ; Info.Id
                dd offset sub_45305B    ; Info.Proc
                dd 1                    ; Info.Id
                dd offset sub_453066    ; Info.Proc
                dd 2                    ; Info.Id
                dd offset sub_453071    ; Info.Proc
                dd 3                    ; Info.Id
                dd offset sub_45307C    ; Info.Proc
                dd 4                    ; Info.Id
                dd offset sub_453087    ; Info.Proc
                dd 5                    ; Info.Id
                dd offset sub_453092    ; Info.Proc
                dd 6                    ; Info.Id
                dd offset sub_45309D    ; Info.Proc
                dd 5                    ; Info.Id
                dd offset sub_4530A5    ; Info.Proc
                dd 8                    ; Info.Id
                dd offset sub_4530B0    ; Info.Proc
                dd 5                    ; Info.Id
                dd offset sub_4530B8    ; Info.Proc
                dd 10                   ; Info.Id
                dd offset sub_4530C3    ; Info.Proc
                dd 5                    ; Info.Id
                dd offset sub_4530CB    ; Info.Proc
                dd 12                   ; Info.Id
                dd offset sub_4530D6    ; Info.Proc

不可理解．IDA 认识它，还知道它的结构叫 _msExcept :

00000000 _msExcept       struc ; (sizeof=0x20, variable size)
00000000 Magic           dd ?                    ; base 16
00000004 Count           dd ?                    ; base 10
00000008 InfoPtr         dd ?                    ; offset
0000000C CountDtr        dd ?                    ; base 10
00000010 DtrPtr          dd ?                    ; offset
00000014 _unk            dd 3 dup(?)
00000020 Info            _msExcInfo 0 dup(?)
00000020 _msExcept       ends

但我在网上搜索 _msExcept 没找到．什么样的代码才能产生这样的汇编输出呢？研究中．．．

我知道了！其实上面的一段应该这么理解
TAG_3:
stru_45C2E0     dd 19930520h            ; Magic
                dd 14                   ; Count
                dd offset stru_45C2E0.Info; InfoPtr 实际上这是指向 TAG_4
                dd 0                    ; CountDtr
                dd 0                    ; DtrPtr　这里是 TAG_5
                dd 3 dup(0)             ; _unk

有两个问题．一是它的 TAG_4 有很多项．这是因为这个函数有很多变量需要析构．TAG_4中
的各项就是它们的析构．一般情况下，TAG_4并不产生 C++ 代码．

第二是它的 TAG_5 怎么为空呢？分析表明，只要有一个 catch 就会有一个 TAG_5 项．没有
TAG_5 项只能有一个解释，就是它没有 catch 项！而try与catch是要配对的，没有 catch 
也就没有 try．就是说，这个函数没有 try 也没有 catch 只有 throw 
iiprogram
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
C++反汇编揭秘1 – 一个简单C++程序反汇编解析 (Rev. 3)
张羿的CSDN专栏
11-14 1万+
如果想要了解C++内部的实现原理，没有什么比观察C++代码对应的汇编代码来的更直接了。本系列主要从汇编角度研究C++代码和汇编的对应关系，揭示C++内部的机制和原理。在第一篇文章中我将从一个简单的C++程序着手快速解释一下C++反汇编代码的基本的结构和内容，相当于一个简单的Preview。而在后续的文章中，我将根据不同的Topic，详细解释C++代码对应的反汇编代码。一个简单的C++程序示
C++异常的抛出和捕获（try、catch、throw）详解
最新发布
程序猿老樊的博客
05-31 785
通过使用try、catch和throw关键字，C++提供了一种强大的机制来处理运行时错误。理解和正确使用这些关键字，可以帮助我们编写更加健壮和可靠的程序。希望本文对您理解C++中的异常处理有所帮助。
C++反汇编第六讲,认识C++中的Try catch语法,以及在反汇编中还原
weixin_30700977的博客
12-15 157
　　　　　　　　　　　C++反汇编第六讲,认识C++中的Try catch语法,以及在反汇编中还原 我们以前讲SEH异常处理的时候已经说过了,C++中的Try catch语法只不过是对SEH做了一个封装. 如果不懂SEH异常处理,请点击博客链接熟悉一下,当然如果不想知道,也可以直接往下看.因为异常处理所以做了封装,但是不影响我们还原. 这里有两种解决方法, 第一种,小白也能明白了还原方式,...
C++虚函数调用的反汇编解析
热门推荐
阮建辉的专栏
08-23 1万+
C++虚函数调用的反汇编解析     作者：阮建辉 虚函数的调用如何能实现其“虚”？作为C++多态的表现手段，估计很多人对其实现机制感兴趣。大约一般的教科书就说到这个C++强大机制的时候，就是教大家怎么用，何时用，而不会去探究一下这个虚函数的真正实现细节。（当然，因为不同的编译器厂家，可能对虚函数有自己的实现，呵呵，这就算是虚函数对于编译器的“多态”了：）。 作为编译型语言，C
C++反汇编揭秘1 – 一个简单C++程序反汇编解析 (Rev. 3) - [C/C++]
杨德龙的专栏
06-28 1079
版权声明：转载时请以超链接形式标明文章原始出处和作者信息及本声明http://joshuafan.blogbus.com/logs/10066721.htmlhttp://blog.csdn.net/ATField/archive/2006/11/14/1382694.aspx 如果想要了解C++内部的实现原理，没有什么比观察C++代码对应的汇编代码来的更直接了。本系列主要从汇
C++内嵌汇编（一）：反汇编分析C++代码
chuanwang66的专栏
03-01 567
注：本文是“百度文库”中下载的文章^^谢谢作者   Sam: 使用binutils-2.23.1这个软件中的小工具objdump -d *.o 可以对一个目标文件进行反汇编：） 了解反汇编的一些小知识对于我们在开发软件时进行编程与调试大有好处，下面以 VS2008 环境下的 VC++ 简单介绍一下反汇编的一些小东西！ 1 、新建简单的 VC 控制台应用程序 A 、打开 Micr...
c++反汇编教程！经典！
12-14
c++反汇编中文教程,国外大牛非常经典之作，教你如何用IDA逆向C++。
C++中try throw catch异常处理的用法示例
01-21
所以借此记录下c++关于try,throw,catch的用法。 程序运行时常会碰到一些异常情况，例如： 做除法的时候除数为 0； 用户输入年龄时输入了一个负数； 用 new 运算符动态分配空间时，空间不够导致无法分配； 访问...
c++中try catch的用法小结
08-28
在 C++ 中，try catch 机制由三个部分组成：try 块、catch 块和 throw 语句。try 块是用于包围可能抛出异常的代码的代码块；catch 块是用于捕捉和处理异常的代码块；throw 语句是用于抛出异常的语句。 try 块 try ...
C++编程异常处理中try和throw以及catch语句的用法
09-02
异常处理的核心在于`try`、`throw`和`catch`这三个关键字。 1. **try块**：`try`关键字用来封装可能会抛出异常的代码段。当在`try`块中的代码抛出异常时，控制流会立即跳转到相应的`catch`块。例如： ```cpp try ...
C++中的虚函数调用原理的反汇编实例分析(2)
webcenterol
06-14 205
C++中的虚函数调用原理的反汇编实例分析(2) write by 九天雁翎(JTianLing) -- blog.csdn.net/vagrxie 因为昨天的第一节中我其实感觉并没有太透彻的理解其原理，也对VC6的实现是否会继续抱有怀疑态度，所以今天特意用VS2005编译并分析了一下，只能说，从反汇编的角度来看都可以看出微软的进步实在是很大的，有钱嘛：）呵呵，也许Stanley B.Lip...
MFC 消息逆向分析 (看雪PDF文档) [评价可免费]
08-25
首先关于 [评价可免费] 的严重声明: 一、评价=评论加评价（评星星）； 二、评价必须是下载完了该资源后的评价，没下载就评论无效； 三、如果正确评价了，返还积分可能需要等等，系统需要反应下。呵呵 评论时记得要评分。然后会返回给你花费的分再加1分.理论上有十分就可以下载完所有的资源了。一般人我不告诉他。 MFC 程序逆向 – 消息篇(上) 作者：szdbg Email:szdbg@sina.com 前言： 记得前一段时间，我刚接触软件破解和逆向这一行时，对于一些软件不知从何处跟踪按钮消息，试了好多方法，就是断 不下来，在系统模块中经常转得晕头转向，而一无所获。 MFC 程序是一种常见类型的程序，我静下心来，潜心研究了一下MFC 消息流程。弄清原委之后，一切豁然开朗，发现跟 踪MFC 程序和消息处理原来是如此。。。，跟踪按钮事件处理也由此变得特别简单。 于是，我将这些研究整理成文，以备后忘。并希望大家有所帮助，失误之处，请高手指正。 的确, .Net之类的程序必定是大势所趋,不过,就目前来说,MFC程序在软件市场还是占有重要的一席之地,所以,了解它,对于逆向和破解此类程序还是很有必要的. MFC之所以显的复杂,就在于它隐藏了它的消息的处理机制,可以说, 程序员基本上不需要懂得它的消息处理过程,就可以写出一套满足应用的软件来.这有好有坏,好的是大大简化了程序员写程序的过程,坏的一方面是,给一般程序员留下了一个迷团: 我只知道这样做,而不知道为什么这样做.心里老是觉得不踏实.
用IDA反汇编DLL文件心得
04-19
最近在学习如何用IDA 反汇编DLL文件，由于是初步接触，水平有限，错误在所难免，不过如果能对像我同样的初学者有点帮助，那就倍感欣慰。由于是原创，收取点资源分安慰自己吧，哈哈，大家不要砖头之哦
win32 C++ main()反汇编
记事本
01-19 686
在Visual Studio 2013中，新建一个空的32位C++工程，只有一个main(）方法，如下： void main() { } 点鼠标右键，反汇编以后如下： void main() { 01301380 push ebp 01301381 mov ebp,esp 01301383 sub esp,0C0h 0
逆向 C++-- 识别类及其构造函数
FISH 的专栏
09-22 1万+
逆向 C++这些年来，逆向工程分析人员一直是凭借着汇编和 C 的知识对大多数软件进行逆向工程的，但是，现在随着越来越多的应用程序和恶意软件转而使用 C++语言进行开发，深入理解 C++ 面向对象方式开发的软件的反汇编技术就显得越发的必要。本文试图通过分析在反汇编时如何手工识别 C++对象，进而讨论如何自动完成这一分析过程最终介绍我们自己开发的自动化 工具，一步一步的帮助读者掌握逆向 C++程序
汇编语言超浓缩教程
07-07 1572
对初学者而言，汇编的许多命令太复杂，往往学习很长时间也写不出一个漂漂亮亮的程序，以致妨碍了我们学习汇编的兴趣，不少人就此放弃。所以我个人看法学汇编，不一定要写程序，写程序确实不是汇编的强项，大家不妨玩玩DEBUG，有时CRACK出一个小软件比完成一个程序更有成就感（就像学电脑先玩游戏一样）。某些高深的指令事实上只对有经验的汇编程序员有用，对我们而言，太过高深了。为了使学习汇编语言有个好的开始，你必
[C++/CLI编程宝典][5]编译与反汇编
weixin_34399060的博客
01-05 203
  通过上次的第一个简单的C++/CLI实例，我们已经对C++/CLI的基本语法有了一定的认识，一些新的关键字也混了个眼熟。其实如果你有ISOC++背景，了解一些.NET相关概念，且使用VS2008 IDE开发的话，相信到现在你已经可以使用C++/CLI写一些简单的小程序了。本次继续上次的sample来深入了解它的编译和反编译。  1）编译 在安装了VS2008或WinSDK后，我们就拥有了...
[转载]OllyDbg完全教程
J0y4n的专栏
02-03 2136
一，什么是 OllyDbg？ OllyDbg 是一种具有可视化界面的 32 位汇编-分析调试器。它的特别之处在于可以在没有源代码时解决问题，并且可以处理其它编译器无法解决的难题。 Version 1.10 是最终的发布版本。 这个工程已经停止，我不再继续支持这个软件了。但不用担心：全新打造的 OllyDbg 2.00 不久就会面世！ 运行环境： OllyDbg 可以以在任何采用奔腾
汇编中try catch的实现
dasgk的专栏
10-14 1709
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> ;平台定义 .386 .Model Flat,StdCall Option CaseMap:None ; ;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> ;文件包含 include
try throw catch在C++中区别
05-20
在 C++ 中，try、throw 和 catch 是异常处理机制的关键字。 `try` 块用于标识可能抛出异常的代码块。`throw` 用于抛出异常，而 `catch` 用于捕获并处理异常。 区别如下： - `try` 块用于包含可能会抛出异常的代码...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值