学习记录----2020.07.18

学习记录

1. 看了一些虚函数以及虚函数的逆向，有点似懂非懂的感觉，或许还是写少了
2. 看了一点Windows内核的基础

虚函数
虚函数最重要的莫过于虚表。
如果一个类有一个虚函数，那么编译器就会产生一个虚表，相同的类会共用一个虚表。

1. 单重继承
   单重继承下，存在一个基类以及一个派生类，那么虚表就有两个，即基类一个虚表派生类一个虚表。派生类的虚表会先复制基类虚表，如果存在覆盖基类的虚函数就会用虚函数地址覆盖基类虚表的表项，最后将新增虚函数放到表尾。
   程序的主要流程可以参考ida反编译的结果
   

2. 多重继承
   多重继承与单重继承差别不大，虚表的布局也与单重继承类似。

3. 菱形继承
   菱形继承可用下图表示
   
   在逆向过程中可以留意一点：如上图中Base1与Base2的构造函数有两个参数，主要是为了防止Base的构造函数被多次调用

内核
学的东西都很基础，感觉没啥特别好记的，这里就记录一下ssdt的函数索引查找方法
x86下计算方法为：
FuncAddr = KeServiceDescriptorTable + 4 * index
x64:
FuncAddr = (KeServiceDescriptorTable + index * 4) >> 4 + KeServiceDescriptorTable
(x64下SSDT存放的是索引号对应的函数地址和SSDT表基地址偏移量*16的值)

后记

感觉自己还是有点摸鱼，如果更专心一点或许还能看更多的东西