010脚本编写入门
学过C/C++的您会发现010 Editor的文件解析脚本(即010脚本)看起来跟C/C++的结构体定义比较相似。然而文件解析脚本不是结构体,而是一个自上而下执行的程序,所以它可以使用if、for、while等语句。
在010脚本中,声明的每个变量都对应着文件的相应字节。比如以下声明:
char header[4];
int numRecords;
这意味着,文件的首4个字节将会映射到字符数组header中,下4个字节则会映射到整型变量numRecords中,并最终显示在解析结果中。
然而,在编写010脚本时可能会遇到这种情况:需要定义一些变量,但是这些变量并不对应着文件中的任何字节,而仅仅是程序运行中所需要的,这时可以使用local关键字来定义变量。比如以下声明:
local int i, total = 0;
int recordCounts[5];
for(i=0; i < 5; i++)
total+= recordCounts[i];
double records[total];
这样,i和total就不会映射到文件中去,也不会在解析结果中显示出来。
另外,在数据的定义中,可以加上一些附加属性,如格式、颜色、注释等。附加属性用尖括号<>括起来。常用的属性包括以下几种:
<format=hex|decimal|octal|binary,fgcolor=<color>, bgcolor=<color>, comment= "<string>",open=true|false|suppress, hidden=true|false,
read=<function_name>,write=<function_name> >
下面给出一个简单的实例。假设有一种文件格式如图17.3.2所示,我们可以看出,它由一个Header和若干个Record数据块组成。在Header中,numRecords表示Record的个数,而在Record中,根据Header中version值的不同,data的类型也不同。
根据文件格式,我们可以写出如下脚本:
struct FILE {
structHEADER {
char type[4];
int version;
int numRecords;
} header;
struct RECORD {
int len;
charname[20];
if( file.header.version == 1 )
char data[len];
if( file.header.version == 2 )
byte data[len];
} record[ file.header.numRecords ];
} file;
本文节选自《0day安全:软件漏洞分析技术(第2版)》一书。
图书详细信息:http://blog.csdn.net/broadview2006/article/details/6596921