windbg调试窗口过程WindowProc(winxp 32bit)

调试 同时被 2 个专栏收录
122 篇文章 2 订阅
68 篇文章 1 订阅

    ollydbg在调试窗口程序方面做得很便捷,虽然windbg在这方面不如od,但通过命令的组合也能达到类似的效果。我借winxp的calc.exe为例来谈谈如何用windbg调试窗口过程。

    od在查找窗口过程(WindowProc)时相当方便,几步操作就够了,但windbg需要通过断点和函数堆栈来搜索这个用户定义的回调函数。该回调函数由RegisterClass(Ex)注册:

RegisterClassEx(
  const WNDCLASSEX* lpWndClass
); 
参数中WNDCLASSEX!lpfnWndProc域存放了注册的回调函数。因此,只要在这个函数上下断点当windbg停下后,搜索WNDCLASSEX!lpfnWndProc域的值即可。

    windbg加载calc.exe后,调试器会中断到用户,这时可以搜索符号并下断点:

0:000> x user32!RegisterClassEx*
77d1a401 USER32!RegisterClassExWOWA = <no type information>
77d1af7f USER32!RegisterClassExW = <no type information>
77d27c39 USER32!RegisterClassExA = <no type information>
77d1a164 USER32!RegisterClassExWOWW = <no type information>
0:000> bp user32!RegisterClassExA
breakpoint 1 redefined
0:000> bp user32!RegisterClassExW
breakpoint 0 redefined
    继续运行,调试器会在calc.exe的主窗口出现之前再一次中断到用户:

0:000> .lastevent  @windbg遇到RegisterClassExW而中断
Last event: 17c.370: Hit breakpoint 0
  debugger time: Sat May  6 00:49:05.901 2017 (UTC + 8:00)
0:000> kb 
ChildEBP RetAddr  Args to Child              
0007ed94 771fb59e ->0007edac<-函数的第一个参数 0000012c 0007ee08 USER32!RegisterClassExW
0007ede0 771840cb 77180000 00000001 0007ee30 comctl32!InitScrollBarClass+0x77
0007edfc 771841f8 13700002 00000008 0000ffff comctl32!InitCommonControlsEx+0x43
0007ee10 77184277 77180000 0007ee3c 7c92118a comctl32!_ProcessAttach+0x71
0007ee1c 7c92118a 77180000 00000001 00000000 comctl32!LibMain+0x21
0007ee3c 7c93c4da 77184256 77180000 00000001 ntdll!LdrpCallInitRoutine+0x14
0007ef44 7c936351 00000000 00000000 00000000 ntdll!LdrpRunInitializeRoutines+0x344
0007f1f0 7c9364b3 00000001 000a4908 0007f4e4 ntdll!LdrpLoadDll+0x3e5
0007f498 7c801bbd 000a4908 0007f4e4 0007f4c4 ntdll!LdrLoadDll+0x230
0007f500 7c80aeec 7d5a2e50 00000000 00000000 kernel32!LoadLibraryExW+0x18e
0007f514 7d5f6740 7d5a2e50 0007fd30 7d5a2e50 kernel32!LoadLibraryW+0x11
0007f54c 7d5b7603 7d5a2e50 7d590000 7d5f66f9 SHELL32!SHFusionLoadLibrary+0x2a
0007f558 7d5f66f9 00000020 00000008 0007f7a0 SHELL32!DelayLoadCC+0x15
0007f78c 7d5f666b 0007f7a0 0000007c 00000001 SHELL32!SHFusionInitializeIDCC+0x92
0007f9ac 7d5f65a9 7d590000 0000007c 00000001 SHELL32!SHFusionInitializeFromModuleID+0x3a
0007f9c0 7d5f6566 7d590000 00000001 0007f9f0 SHELL32!_ProcessAttach+0x34
0007f9d0 7d5b751e 7d590000 00000001 0007fd30 SHELL32!DllMain+0x27
0007f9f0 7c92118a 7d590000 00000001 0007fd30 SHELL32!_DllMainCRTStartup+0x52
0007fa10 7c93c4da 7d5b74d6 7d590000 00000001 ntdll!LdrpCallInitRoutine+0x14
0007fb18 7c941194 0007fd30 7ffdf000 7ffd9000 ntdll!LdrpRunInitializeRoutines+0x344
0007fc94 7c94108f 0007fd30 7c920000 0007fce0 ntdll!LdrpInitializeProcess+0x1131
0007fd1c 7c92e437 0007fd30 7c920000 00000000 ntdll!_LdrpInitialize+0x183
上面kb的结果显示程序向USER32!RegisterClassExW参数的WNDCLASSEX*为0x7edac,我们只要在这个地址上以WNDCLASSEX结构转储内存,就能获得WNDCLASSEX!lpfnWndProc域的值:

0:000> dt USER32!WNDCLASSEX 0007edac 
Symbol USER32!WNDCLASSEX not found.
很可惜,windbg找不到这个结构的符号定义,那只能参考MSDN,肉眼搜索了。关于这个结构,MSDN定义为

typedef struct tagWNDCLASSEX {
  UINT      cbSize;
  UINT      style;
  WNDPROC   lpfnWndProc;
  int       cbClsExtra;
  int       cbWndExtra;
  HINSTANCE hInstance;
  HICON     hIcon;
  HCURSOR   hCursor;
  HBRUSH    hbrBackground;
  LPCTSTR   lpszMenuName;
  LPCTSTR   lpszClassName;
  HICON     hIconSm;
} WNDCLASSEX, *PWNDCLASSEX;
很好,第三个DWORD所在的地址保存了WNDCLASSEX!lpfnWndProc域的值,那就直接用dd命令转储:

0:000> dd 0007edac L4
0007edac  00000030 0000408b 771fad26 00000000
0:000> ln 771fad26 @windbg显示地址0x771fad26保存了消息回调函数,我查看一下符号确认一下
(771fad26)   comctl32!CUxScrollBarCtl::WndProc   |  (771fb527)   comctl32!InitScrollBarClass
Exact matches:
    comctl32!CUxScrollBarCtl::WndProc = <no type information> @从符号的结果来看,还有点像窗口过程
    地址0x771fad26保存了消息回调函数,那就接着在这个地址上下断点,当窗口过程响应消息时使windbg中断下来:

0:000> bp 771fad26 

当我让windbg继续运行后,调试器多次在RegisterClassExA(W)中断但直到calc.exe的主界面出现,windbg都没有在窗口过程0x771fad26处中断:

0:000> g
Breakpoint 0 hit
USER32!RegisterClassExW:
77d1af7f 8bff            mov     edi,edi
0:000> g
ModLoad: 74680000 746cc000   C:\WINDOWS\system32\MSCTF.dll
Breakpoint 1 hit
USER32!RegisterClassExA:
77d27c39 8bff            mov     edi,edi
0:000> g
ModLoad: 73640000 7366e000   C:\WINDOWS\system32\msctfime.ime
Breakpoint 0 hit
USER32!RegisterClassExW:
77d1af7f 8bff            mov     edi,edi
0:000> g
Breakpoint 0 hit
USER32!RegisterClassExW:
77d1af7f 8bff            mov     edi,edi
0:000> g
这让我意识到calc.exe存在不止一个窗口,而我只给其中一个窗口过程下了断点......看来,我还得参考od调试窗口程序:先搜索主窗口,然后在对应的WindowProc上下断点。

下图是在ollydbg中点击查看-窗口后得到的calc.exe程序的窗口列表,其中包含了各个窗口的句柄,类名等信息。

为了准确定位主窗口注册的WindowProc回调函数,需要先判断WNDCLASSEX!lpszClassName域值是否与ollydbg获得的窗口类名相同。一旦找到目标窗口类,再在WNDCLASSEX!lpfnWndProc域值上下断点。

0:000> x USER32!RegisterClassExW
77d1af7f USER32!RegisterClassExW = <no type information>
0:000> bp 77d1af7f ".if(1){du poi(poi(esp+4)+0xa*4)}"
breakpoint 0 defined
0:000> g
01014018  "SciCalc"
USER32!RegisterClassExW:
解释一下上面条件断点的作用:这个条件断点用于打印字符串WNDCLASSEX!lpszClassName的内容。当windbg在断点USER32!RegisterClassExW处中断后,esp+4是函数的第一个参数,这个参数的类型是WNDCLASSEX*。poi(esp+4)取得指针指向的结构变量,poi(esp+4)+0x0a*4相当于取WNDCLASSEX!lpszClassName域并用du命令输出。

    现在,已经成功获得了主窗口的WNDCLASSEX结构,我们顺藤摸瓜,即可获得主窗口的窗口过程的地址:

0:000> dd poi(esp+4) L8 @取RegisterClassEx的参数,可以通过kb命令验证一下取出的参数是否正确
0007fdd8  00000030 00000000 01006118 00000000
0007fde8  0000001e 01000000 03900147 00010011
0:000> kb
ChildEBP RetAddr  Args to Child              
0007fdc8 0100183c 0007fdd8 <----传递给函数的结构的地址,和上面dd poi(esp+4)相同 000a1efc 00000030 USER32!RegisterClassExW
0007fe08 01001fc0 00000000 7c80b731 000a1efc calc!InitializeWindowClass+0x75
0007ff1c 010125e9 01000000 00000000 000a1efc calc!WinMain+0x6f
0007ffc0 7c817067 0176f6ee 0176f742 7ffd8000 calc!WinMainCRTStartup+0x174
0007fff0 00000000 01012475 00000000 78746341 kernel32!BaseProcessStart+0x23
0:000> ln 01006118 @取WNDCLASSEX!lpfnWndProc的域值,查看其符号信息
(01006118)   calc!CalcWndProc   |  (0100652a)   calc!SubDispEditProc
Exact matches:    @该地址正好是calc的窗口过程CalcWndProc,可以在这个位置下断点,用以处理消息
    calc!CalcWndProc = <no type information>
上面获得的主窗口过程calc!CalcWndProc的值为0x1006118,这和ollydbg分析得到的值一致,这说明目前为止,我的分析还算靠谱~
    接下来给窗口过程下断点,并在收到左键按下消息时往调试窗口打印一串字符串:

0:000> bc *
0:000> bp 01006118 ".if(dwo(esp+8)==202){.echo LButton};gc"
breakpoint 0 redefined
解释一下上面条件断点的作用,根据MSDN对WindowProc的接口定义:

LRESULT CALLBACK WindowProc(
  HWND hwnd, 
  UINT uMsg, 
  WPARAM wParam, 
  LPARAM lParam 
); 
其中第二个参数为消息值。当windbg在断点处中断后esp+8处保存了第二个参数,通过dwo命令将其值转储出来并与WM_LBUTTON(值为202)比较,如果相同则往windbg输出窗口打印输出字符串"LButton"

最后,展示一下效果截图,如下:










  • 0
    点赞
  • 0
    评论
  • 1
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值