MFC程序逆向—消息篇资源-CSDN文库

共1个文件

pdf：1个

MFC程序

5星 · 超过95%的资源需积分: 10 21 浏览量 2010-01-05 10:52:27 上传评论收藏 203KB RAR 举报

资源推荐

资源详情

资源评论

收起资源包目录

MFC程序逆向—消息篇.rar （1个子文件）

MFC程序逆向—消息篇

MFC程序逆向–消息篇.pdf 220KB

1 / 18

MFC 程序逆向 – 消息篇(上)

作者：szdbg

Email:szdbg@sina.com

前言：

记得前一段时间，我刚接触软件破解和逆向这一行时，对于一些软件不知从何处跟踪按钮消息，试了好多方法，就是断

不下来，在系统模块中经常转得晕头转向，而一无所获。

MFC 程序是一种常见类型的程序，我静下心来，潜心研究了一下 MFC 消息流程。弄清原委之后，一切豁然开朗，发现跟

踪 MFC 程序和消息处理原来是如此。。。，跟踪按钮事件处理也由此变得特别简单。

于是，我将这些研究整理成文，以备后忘。并希望大家有所帮助，失误之处，请高手指正。

本文目的就是以一个 MFC 的标准对话框程序为例,同时从源码和反汇编代码两方面来研究 MFC 消息的流程走向，弄清 MFC

消息路径的所有站点，这样就可以任意定位 MFC 的所有消息事件，可以从任一站点切入，进行跟踪分析 MFC 的处理过程。甚

至可以从 PumpMessage 大本营出发，一直全程跟踪，做到心中有数，不慌不乱。

关于对话框的启动过程，其过程很简单，程序进入 WinMain 函数之后，会调用对话框的 DoModal 函数，然后就进入

RunModalLoop 函数，消息循环在这里就开始了，限于篇幅，本文不作多说，有兴趣者可看看 MFC 源码。本篇重点在于分析

MFC 的消息分发处理的过程。先看一下 RunModalLoop 函数部分源码：

int CWnd::RunModalLoop(DWORD dwFlags)

{ ...

for (;;)

{ ...

{ if (!AfxGetThread()->PumpMessage()) // pump message, but quit on WM_QUIT

{

AfxPostQuitMessage(0);

return -1;

}

...

} while (::PeekMessage(pMsg, NULL, NULL, NULL, PM_NOREMOVE));

}

...

}

这里，AfxGetThread()->PumpMessage()是 MFC 消息处理的大本营，MFC 程序的所有消息就是从这里开始，经过重重路

径转换，翻山越岭,中途直达 Windows 系统内核，再返回到 MFC 地界，又途经不少周折，才找到最终目的地 – 消息函数地

址。可谓是山重水复疑无路，柳暗花明又一村。

一个按钮点击事件的过程如下：

CWinThread::PumpMessage -> CWnd::PretranslateMessage -> CWnd::WWalkPreTranslateMessate ->

CD1Dlg::PreTranslateMessage -> CDialog::PreTranslateMessage -> CWnd::PreTranslateInput ->

CWnd::IsDialogMessageA -> USER32 内核 -> AfxWndProcBase -> AfxWndProc -> AfxCallWndProc -> CWnd::WindowProc ->

CWnd::OnWndMsg -> CWnd::OnCommand -> CDialog::OnCmdMsg -> CCmdTarget::OnCmdMsg -> _AfxDispatchCmdMsg ->

CD1Dlg::OnButton1()

VC 下，可以随手写一个标准的对话框程序，上面放一个按钮，点击按钮后，弹出一个消息框。我们现在就从 PumpMessage()

开始，踏上消息之旅，来分析这中间的消息流程。

2 / 18

1. CWinThread::PumpMessage 函数 (消息泵)

BOOL CWinThread::PumpMessage()

{ //GetMessage 当消息为 WM_QUIT 时，返回 0,其它消息时，返回 TRUE，有错误时，返回-1

if (!::GetMessage(&m_msgCur, NULL, NULL, NULL)) return FALSE;

if (m_msgCur.message != WM_KICKIDLE && !PreTranslateMessage(&m_msgCur))

{

::TranslateMessage(&m_msgCur);

::DispatchMessage(&m_msgCur);

}

return TRUE;

}

PumpMessage 只有在接收到 WM_QUIT 消息时，才返回 FALSE，其它情况，返回 TRUE。由于 CWinThread::PumpMessage()

函数负责从消息队列中获取消息、翻译消息以及分发消息等，因此习惯将此函数称之为“消息泵”。

消息进入 PumpMessage 后，先流进了 PreTranslateMessage()函数，此函数至关重要，正是由于 PreTranslateMessage()，

才使得 MFC 具有灵活的控制消息的分发模式，可以说，PreTranslateMessage()就是 MFC 的实现消息分发模式的工具。

PumpMessage 函数反汇编代码：

73D31194 > 56 PUSH ESI

...

73D311A1 FF15 B0B6DC73 CALL DWORD PTR DS:[<&USER32.GetMessageA>]

73D311A7 85C0 TEST EAX,EAX

73D311A9 74 26 JE SHORT MFC42.73D311D1 ;收到 WM_QUIT，退出程序

73D311AB 817E 38 6A030000 CMP DWORD PTR DS:[ESI+38],36A

73D311B2 74 1A JE SHORT MFC42.73D311CE

73D311B4 8B06 MOV EAX,DWORD PTR DS:[ESI]

73D311B6 57 PUSH EDI

73D311B7 8BCE MOV ECX,ESI

73D311B9 FF50 60 CALL DWORD PTR DS:[EAX+60] ; PreTranslateMessage (消息预处理)

73D311BC 85C0 TEST EAX,EAX

73D311BE 75 0E JNZ SHORT MFC42.73D311CE

73D311C0 57 PUSH EDI ;消息预处理返回 FALSE

73D311C1 FF15 ACB6DC73 CALL DWORD PTR DS:[<&USER32.TranslateMessage>]

73D311C7 57 PUSH EDI

73D311C8 FF15 30B6DC73 CALL DWORD PTR DS:[<&USER32.DispatchMessageA>]

;

73D311CE 6A 01 PUSH 1 ;返回 TRUE

73D311D0 58 POP EAX

73D311D1 5F POP EDI

73D311D2 5E POP ESI

73D311D3 C3 RETN

提示:

a. OD 加载程序后，调出 MFC42.dll 模块，定位到 PumpMessage 代码入口处。

b. 在 CALL DWORD PTR DS:[EAX+60]这一条语句上设置条件断点[[esp]+4]==202,即可设置鼠标左键释放断点。

说明：call [eax+60]是调用 PreTranslateMessage 函数，入口参数为：MSG* pMsg,所以：

[esp]就是 pMsg，而[[esp]]就是 pMsg->hWnd , [[esp]+4]就是 pMsg->Message

c. [[esp]]==002407B4 && [[esp]+4]==202 可以为指定按钮设置点击断点。这里 002407B4 是目标按钮的句柄.

3 / 18

2. CWinThread::PreTranslateMessage 函数

BOOL CWinThread::PreTranslateMessage(MSG* pMsg)

{ // if this is a thread-message, short-circuit this function

if (pMsg->hwnd == NULL && DispatchThreadMessageEx(pMsg)) return TRUE;

CWnd* pMainWnd = AfxGetMainWnd();

// 通过 WalkPreTranslateTree 进行消息分发

if (CWnd::WalkPreTranslateTree(pMainWnd->GetSafeHwnd(), pMsg)) return TRUE; // 消息分发处理关键

if (pMainWnd != NULL)

{

CWnd* pWnd = CWnd::FromHandle(pMsg->hwnd);

if (pWnd->GetTopLevelParent() != pMainWnd)

return pMainWnd->PreTranslateMessage(pMsg); //程序主框架处理消息

}

return FALSE; // no special processing

}

PreTranslateMessage 函数反汇编部分代码

73D313D0 > PUSH ESI

73D313D1 PUSH EDI

73D313D2 MOV EDI,DWORD PTR SS:[ESP+C]

73D313D6 CMP DWORD PTR DS:[EDI],0

73D313D9 JE MFC42.73D8E9A1

73D313DF CALL MFC42.#6575_?AfxGetMainWnd@@YGPAVCW>

73D313E4 MOV ESI,EAX

73D313E6 TEST ESI,ESI

73D313E8 JE SHORT MFC42.73D313ED

73D313EA MOV EAX,DWORD PTR DS:[ESI+20]

73D313ED PUSH EDI

73D313EE PUSH EAX

73D313EF CALL MFC42.#6367_?WalkPreTranslateTree@C>

73D313F4 TEST EAX,EAX

73D313F6 JNZ SHORT MFC42.73D31415

73D313F8 > TEST ESI,ESI

73D313FA JE SHORT MFC42.73D3140E

73D313FC PUSH DWORD PTR DS:[EDI]

73D313FE CALL MFC42.#2864_?FromHandle@CWnd@@SGPAV>

73D31403 MOV ECX,EAX

73D31405 CALL MFC42.#3815_?GetTopLevelParent@CWnd>

73D3140A CMP EAX,ESI

73D3140C JNZ SHORT MFC42.73D3141A

73D3140E XOR EAX,EAX

73D31410 POP EDI

73D31411 POP ESI

73D31412 RETN 4

提示：

a. OD 加载程序后，调出 MFC42.dll 模块，定位到 PreTranslateMessage 代码入口处。

4 / 18

b. 在函数入口处设置条件断点[[esp+4]+4]==202,即可设置鼠标左键释放断点。

说明：此函数的入口参数为：MSG* pMsg,在入口处时，[esp]是函数返回地址，所以：

[esp+4]就是 pMsg，而[[esp+4]]就是 pMsg->hWnd , [[esp+4]+4]就是 pMsg->Message

c. [[esp+4]]==002407B4 && [[esp+4]+4]==202 可以为指定按钮设置点击断点。这里 002407B4 是目标按钮的句柄.

3. CWnd::WalkPreTranslateTree 函数

CWnd::WalkPreTranslateTree()的所使用的策略很简单，拥有该消息窗口最先获得该消息的处理权，如果它不想对该消

息进行处理（该窗口对象的 PreTranslateMessage()函数返回 FALSE），就将处理权交给它的父亲窗口，如此向树的根部遍历，

直到遇到 hWndStop（在 CWinThread::PreTranslateMessage()中，hWndStop 表示的是线程主窗口的句柄）。

记住这个消息处理权的传递方向，是由树的某个一般节点或叶子节点向树的根部传递！

BOOL PASCAL CWnd::WalkPreTranslateTree(HWND hWndStop, MSG* pMsg)

{ for (HWND hWnd = pMsg->hwnd; hWnd != NULL; hWnd = ::GetParent(hWnd)) //从当前窗口到父窗口，逐层往上

{ CWnd* pWnd = CWnd::FromHandlePermanent(hWnd);

if (pWnd != NULL)

{ // target window is a C++ window

if (pWnd->PreTranslateMessage(pMsg)) return TRUE; //消息被某一窗口处理了，返回

}

if (hWnd == hWndStop) break; // got to hWndStop window without interest

}

return FALSE; // no special processing

}

正是这个 if (pWnd->PreTranslateMessage(pMsg)) return TRUE; 才实现了 MFC 灵活的消息分发处理机制。MFC 程

序各个窗口类中重载的 PreTranslateMessage 虚函数，都是从这里进来的。

MFC 从当前消息窗口类逐级向上搜索执行各个类的 PreTranslateMessage 函数，只要有一个 PreTranslateMessage 函数

返回 TRUE，WalkPreTranslateTree 就中止搜索，并返回 TRUE，否则返回 FALSE。

在 PumpMessage 函数中最终就是根据 WalkPreTranslateTree 函数返回值决定是否要进行下一步的 Tanslate 和 Dispatch。

WalkPreTranslateTree 函数反汇编代码如下：

73D31389 MOV EDI,EDI ; D1.0040308C

73D3138B PUSH ESI

73D3138C PUSH EDI

73D3138D MOV EDI,DWORD PTR SS:[ESP+10]

73D31391 MOV ESI,DWORD PTR DS:[EDI]

73D31393 JMP SHORT MFC42.73D313BD

73D31395 /PUSH ESI

73D31396 |CALL MFC42.#2867_?FromHandlePermanent@CWnd@@SGPAV> ;取得 CWnd 指针值

73D3139B |TEST EAX,EAX ;CWnd * 值不为 NULL 时，则调用 CWnd::PreTranslateMessage()

73D3139D |JE SHORT MFC42.73D313AE

73D3139F |MOV EDX,DWORD PTR DS:[EAX]

73D313A1 |PUSH EDI

73D313A2 |MOV ECX,EAX

73D313A4 |CALL DWORD PTR DS:[EDX+98] ;<JMP.&MFC42.#5280_?PreTranslateMessage > ;通过虚函数方式调用

73D313AA |TEST EAX,EAX

73D313AC |JNZ SHORT MFC42.73D313C8 ;消息被处理了，返回 TRUE

73D313AE |CMP ESI,DWORD PTR SS:[ESP+C]

5 / 18

73D313B2 |JE SHORT MFC42.73D313C1

73D313B4 |PUSH ESI ; /hWnd

73D313B5 |CALL DWORD PTR DS:[<&USER32.GetParent>] ; \GetParent

73D313BB |MOV ESI,EAX

73D313BD TEST ESI,ESI

73D313BF \JNZ SHORT MFC42.73D31395

73D313C1 XOR EAX,EAX ;返回 FALSE

73D313C3 POP EDI

73D313C4 POP ESI

73D313C5 RETN 8

73D313C8 XOR EAX,EAX

73D313CA INC EAX ;返回 TRUE

73D313CB JMP SHORT MFC42.73D313C3

跟踪说明：

在上面一句 73D313A4 CALL DWORD PTR DS:[EDX+98] 设置按钮点击条件断点： [[esp]]==002407B4 && [[esp]+4]==202

可以发现：当点击按钮后，按钮点击事件函数代码就会在这条语句后执行，当按钮事件函数代码执行完毕后，CALL 才会返

回 TRUE。

4. CD1Dlg::PreTranslateMessage 函数

BOOL CDialog::PreTranslateMessage(MSG* pMsg)

{ ...

return CDialog::PreTranslateMessage(pMsg);

}

若接收消息的窗口类重载了 PreTranslateMessage 函数，则此时会调用它，否则就进入第 5 步。实际应用中，这里很有

可能是消息流程的一个分水岭，可能走向两条不同的道路。这完全取决于应用程序新增的代码，若应用程序在这里返回 TRUE，

消息流程就返回去了。否则，就会继续往下执行。

在跟踪按钮消息时，此处应作为一个注意点，而设置断点的最佳位置是在上一步 WalkPreTranslateTree 函数中所说的

位置，跟踪下来，注意消息流程的走向。

5. CDialog::PreTranslateMessage 函数

BOOL CDialog::PreTranslateMessage(MSG* pMsg)

{

if (CWnd::PreTranslateMessage(pMsg)) return TRUE;

CFrameWnd* pFrameWnd = GetTopLevelFrame();

if (pFrameWnd != NULL && pFrameWnd->m_bHelpMode) return FALSE;

if (pMsg->message == WM_KEYDOWN && (pMsg->wParam == VK_ESCAPE || pMsg->wParam == VK_CANCEL) &&

(::GetWindowLong(pMsg->hwnd, GWL_STYLE) & ES_MULTILINE) &&_AfxCompareClassName(pMsg->hwnd, _T("Edit")))

{ //可以看出，对于编辑框，某些按键消息在这里采取了一些特殊处理

HWND hItem = ::GetDlgItem(m_hWnd, IDCANCEL);

if (hItem == NULL || ::IsWindowEnabled(hItem))

{ SendMessage(WM_COMMAND, IDCANCEL, 0);

return TRUE;

}

return PreTranslateInput(pMsg); // 消息流入此处

}

评论收藏

内容反馈

xiaoweiwb

2013-04-29

介绍较详细

liuyanwoyaofei

粉丝: 10
资源: 1

MFC程序逆向—消息篇

MFC消息逆向分析 1

MFC 消息逆向分析 (看雪PDF文档) [评价可免费]

MFC逆向指南(Basic MFC Reversing)

MFC程序设计详细实例 第06章 消息处理

博客文章【OD调试MFC程序按钮事件的捕捉】示例程序

MFC消息响应的逆向定位

MFC 消息逆向分析.pdf

MFC程序设计详细实例 第05章 MFC程序的生命期

MFC程序开发参考大全 源码

精通MFC程序设计

MFC消息响应机制 面向对象 消息映射 MFC 程序设计

MFC程序设计试卷

《MFC程序开发参考大全》配套光盘源程序代码

MFC程序设计详细实例 第14章 MFC文件操作

MFC程序设计详细实例 第04章 MFC应用框架

MFC程序设计详细实例 第17章 MFC打印技术

MFC程序设计详细实例 第22章 MFC Socket编程

mfc:最简单的mfc程序

MFC程序开发参考大全

MFC程序设计详细实例 第26章 MFC动态链接库

MFC程序设计详细实例 第13章 MFC GDI与绘图

MFC程序设计详细实例 第20章 MFC ODBC数据库编程

第十五届蓝桥杯大赛软件赛省赛C++B组题目

第十五届蓝桥杯大赛软件赛省赛-C++A组题目

C/C++中文参考手册离线最新版

代码随想录-八股文 pdf

编译器（gcc、g++）

Qt5.9 C++开发指南.pdf 及示例源码

Qt （高仿Visio）流程图组件开发，源码分享

最新资源

MFC程序设计详细实例第06章消息处理

MFC程序设计详细实例第05章 MFC程序的生命期

MFC程序开发参考大全源码

MFC消息响应机制面向对象消息映射 MFC 程序设计

MFC程序设计详细实例第14章 MFC文件操作

MFC程序设计详细实例第04章 MFC应用框架

MFC程序设计详细实例第17章 MFC打印技术

MFC程序设计详细实例第22章 MFC Socket编程

MFC程序设计详细实例第26章 MFC动态链接库

MFC程序设计详细实例第13章 MFC GDI与绘图

MFC程序设计详细实例第20章 MFC ODBC数据库编程