不知道諸位看官是否有過這樣的經(jīng)歷：在不經(jīng)意之間發(fā)現(xiàn)一個DLL文件，它里邊有不少有趣的導(dǎo)出函數(shù)——但是由于你不知道如何調(diào)用這些函數(shù)，所以只能大發(fā)感慨而又無能為力焉。固然有些知名的DLL可以直接通過搜索引擎來找到它的使用方式（比如本文中的例子ipsearcher.dll），不過我們誠然不能希望自己總能交到這樣的好運。所以在本文中，李馬希望通過自己文理不甚通達(dá)的講解能夠給大家以授人以漁的效果。
先決條件
閱讀本文，你需要具備以下先決條件：
- 初步了解匯編語言，雖然你并不一定需要去讀懂DLL中導(dǎo)出函數(shù)的匯編代碼，但是你至少應(yīng)該了解諸如push、mov這些常用的匯編指令。
- 一個能夠查看DLL中導(dǎo)出函數(shù)的工具，Visual Studio中自帶的Dependency Walker就足夠勝任了，當(dāng)然你也可以選擇eXeScope。
- 一個調(diào)試器。理論上講VC也可以完成調(diào)試的工作，但它畢竟是更加針對于源代碼一級調(diào)試的工具，所以你最好選擇一個專用的匯編調(diào)試器。在本文中我用的是OllyDbg——我不會介紹有關(guān)這個調(diào)試工具的任何東西，而只是簡要介紹我的調(diào)試過程。
準(zhǔn)備好了嗎？那么我們做一個熱身運動吧先。
熱身——函數(shù)調(diào)用約定
這里要詳細(xì)介紹的是有關(guān)函數(shù)調(diào)用約定的內(nèi)容，如果你已經(jīng)了解了這方面的內(nèi)容，可以跳過本節(jié)。
你可能在學(xué)習(xí)Windows程序設(shè)計的時候早已接觸過“函數(shù)調(diào)用約定”這個詞匯了，那個時候你所了解的內(nèi)容可能是一個籠統(tǒng)的概念，內(nèi)容大抵是說函數(shù)調(diào)用約定就是指的函數(shù)參數(shù)進(jìn)棧順序以及堆棧修正方式。譬如cdecl調(diào)用約定是函數(shù)參數(shù)自右而左進(jìn)棧，由調(diào)用者修復(fù)堆棧；stdcall調(diào)用約定亦是函數(shù)參數(shù)自右而左進(jìn)棧，但是由被調(diào)用者修復(fù)堆棧……噢不，這太晦澀了——在源代碼上我們是無法看到這些東西的！
那么我們別無選擇，只有深入到匯編一層了。考慮以下C++代碼：
#include <stdio.h>
int __cdecl max1( int a, int b )
{
return a > b ? a : b;
}
int __stdcall max2( int a, int b )
{
return a > b ? a : b;
}
int main()
{
printf( "max( 1, 2 ) of cdecl version: %d\n", max1( 1, 2 ) );
printf( "max( 1, 2 ) of stdcall version: %d\n", max2( 1, 2 ) );
return 0;
} |
對應(yīng)的匯編代碼為：
; int __cdecl max1( int a, int b )
00401000 MOV EAX,DWORD PTR SS:[ESP+4]
00401004 MOV ECX,DWORD PTR SS:[ESP+8]
00401008 CMP EAX,ECX
0040100A JG SHORT CppTest.0040100E
0040100C MOV EAX,ECX
0040100E RETN
; int __stdcall max2( int a, int b )
00401010 MOV EAX,DWORD PTR SS:[ESP+4]
00401014 MOV ECX,DWORD PTR SS:[ESP+8]
00401018 CMP EAX,ECX
0040101A JG SHORT CppTest.0040101E
0040101C MOV EAX,ECX
0040101E RETN 8 ; 被調(diào)用者的堆棧修正
; max1( 1, 2 )
00401030 PUSH 2
00401032 PUSH 1
00401034 CALL CppTest.00401000
00401039 ADD ESP,8 ; 調(diào)用者的堆棧修正
; max2( 1, 2 )
0040104A PUSH 2
0040104C PUSH 1
0040104E CALL CppTest.00401010 |
好了，我來簡要介紹一下。函數(shù)參數(shù)傳入函數(shù)體是借由堆棧段完成的，也就是將各個參數(shù)依某種次序推入SS中——在cdecl與stdcall約定中，這個次序都是自右而左的。另外，由于將參數(shù)推入了堆棧致使堆棧指針ESP發(fā)生了變化，所以要在函數(shù)結(jié)束的時候重新修正ESP。從上邊的匯編代碼中你也可以很清楚地看到，cdecl約定是在調(diào)用max1之后修正的ESP，而stdcall約定則是在max2返回時借由RETN 8完成了這個修正工作。
另外，從上邊的匯編代碼中還可以看到，函數(shù)的返回值是由EAX帶回的。
庖丁解牛
在了解了以上的知識后，我們就可以使用調(diào)試器來調(diào)試那個未知的DLL了。可以說，這整個的調(diào)試過程充滿了驚險和刺激，而且我們還需要一定的技巧——如果你像我一樣不喜歡閱讀匯編代碼的話。
在本文中，我所選擇的調(diào)試示例是FTerm中附帶的ipsearcher.dll，它提供了對純真IP數(shù)據(jù)庫的查詢接口。下圖是用Dependency Walker對其分析的結(jié)果：
你可以看到，這里邊有兩個導(dǎo)出函數(shù)：LookupAddress和_GetAddress，那么我們可以按照返回值、調(diào)用約定、函數(shù)名、參數(shù)列表的順序?qū)⑺鼈兟暶魅缦拢?/p>
? ? LookupAddress( ? );
? ? _GetAddress( ? ); |
是的，有太多的未知，下面李馬將要逐一地破解這些問號。
調(diào)試器不可能孤立地對DLL進(jìn)行調(diào)試，我們所需要的應(yīng)該是一個合適的EXE，這樣有助于我們的探究工作。在這里我選擇的EXE是我編寫的ipsearcher.exe，當(dāng)然這可能會讓你認(rèn)為我這篇文章的組織順序有問題——畢竟是我已經(jīng)知道了這兩個導(dǎo)出函數(shù)之后（編寫了ipsearcher.exe）還要假裝成不知道的樣子來對ipsearcher.dll來進(jìn)行探究，所以我決定在下文中不對ipsearcher.exe的代碼進(jìn)行任何關(guān)注，而是直接進(jìn)入到ipsearcher.dll的領(lǐng)空。
打開調(diào)試器，載入ipsearcher.exe。當(dāng)ipsearcher.dll被裝載后，會引發(fā)一個訪問異常，可以忽略這個異常繼續(xù)調(diào)試。根據(jù)Dependency Walker的分析結(jié)果，在ipsearcher.dll的0x00001BB0和0x00001C40處各下一個斷點。現(xiàn)在在“IP地址”中輸入一個IP地址（這里以寒泉BBS的IP為例），點擊“查詢”，會發(fā)現(xiàn)指令跳入0x00001C40中（也就是_GetAddress），它的代碼如下：
10001C40 MOV EAX,DWORD PTR SS:[ESP+4] ; 一個參數(shù)
10001C44 PUSH ipsear_1.10009BE8
10001C49 PUSH EAX
10001C4A CALL ipsear_1.LookupAddress ; 兩個參數(shù)
10001C4F ADD ESP,8 ; LookupAddress是cdecl調(diào)用約定
10001C52 MOV EAX,ipsear_1.10009BE8
10001C57 RETN ; _GetAddress這廝也是cdecl調(diào)用約定 |
很短的幾行代碼，不過它已經(jīng)可以提供這些信息了：
- 從SS的使用來看，_GetAddress只帶有一個參數(shù)。
- _GetAddress中調(diào)用了LookupAddress，后者帶有兩個參數(shù)。
- 調(diào)用LookupAddress之后進(jìn)行了堆棧修正，所以LookupAddress是cdecl調(diào)用約定。
- _GetAddress返回時并未進(jìn)行堆棧修正，所以_GetAddress也是cdecl調(diào)用約定。
于是，我們可以替換一下剛才的問號了：
? CDECL LookupAddress( ?, ? );
? CDECL _GetAddress( ? ); |
下面可以進(jìn)行單步調(diào)試了，當(dāng)代碼步至10001C44時，你會發(fā)現(xiàn)寄存器窗口發(fā)生了如下的變化：
“202.207.177.9”終于出現(xiàn)了，這樣一來我們可以繼續(xù)對問號進(jìn)行替換了：
? CDECL LookupAddress( PCSTR, ? );
? CDECL _GetAddress( PCSTR ); |
現(xiàn)在繼續(xù)對代碼進(jìn)行跟蹤，是進(jìn)入LookupAddress的時候了。我們可以從先前_GetAddress的代碼中可以發(fā)現(xiàn)，這兩個導(dǎo)出函數(shù)一直在圍繞10009BE8這個地址做文章，那么我們就要在單步調(diào)試LookupAddress的同時關(guān)注這個地址的數(shù)據(jù)改變。幾步跟蹤之后，你會發(fā)現(xiàn)10009BE8開頭的8字節(jié)（兩個DWORD）數(shù)據(jù)發(fā)生了改變，變成了10009AB4和10009B1C。那么我們再轉(zhuǎn)向這兩個地址，會發(fā)現(xiàn)：
這樣一來就很清楚了，10009BE8是一個字符串指針的數(shù)組，它有兩個元素。也就是說，我們的函數(shù)聲明可以換成這樣：
? CDECL LookupAddress( PCSTR, PSTR* );
PSTR* CDECL _GetAddress( PCSTR ); |
接下來需要確定的就是LookupAddress的返回值了。縱觀LookupAddress的返回代碼，你會發(fā)現(xiàn)這樣的片斷：
; 片斷1
10001C0B XOR EAX,EAX
10001C0D POP ESI
10001C0E RETN
; 片斷2
10001C2B MOV EAX,1
10001C30 POP ESI
10001C31 RETN |
也就是說，這個函數(shù)有兩個返回值：0或1。那么最后的真相終于大白于天下——
BOOL CDECL LookupAddress( PCSTR, PSTR* );
PSTR* CDECL _GetAddress( PCSTR ); |
GetProcAddress？
到此為止，這兩個函數(shù)的聲明終于讓我們找出來了。也許你會覺得這就夠了——接下來就是用typedef定義函數(shù)指針，然后使用LoadLibrary、GetProcAddress調(diào)用這些函數(shù)的事情了。
如果你真的這么認(rèn)為的話，那我認(rèn)為我有必要向你介紹這另外的一種方式。
首先請你建立一個名為ipsearcher.def的文件，然后在其中寫入如下內(nèi)容：
LIBRARY "ipsearcher"
EXPORTS
LookupAddress @1
_GetAddress @2 |
將文件保存后，進(jìn)入到命令行模式下，輸入以下命令（前提是你擁有Visual Studio的附帶工具lib.exe并有正確的路徑指向。以Visual Studio 6.0為例，這個工具通常位于Microsoft Visual Studio\VC98\Bin下）：
lib /def:ipsearcher.def
執(zhí)行的結(jié)果有一個警告，不必理會。這時候我們會發(fā)現(xiàn)，lib為我們生成了一個ipsearcher.lib。
然后，我們繼續(xù)編寫ipsearcher.h文件，如下：
#ifndef IPSEARCHER_H
#define IPSEARCHER_H
#include <windows.h>
#pragma comment( lib, "ipsearcher.lib" )
extern "C"
{
BOOL CDECL LookupAddress( PCSTR, PSTR* );
PSTR* CDECL _GetAddress( PCSTR );
};
#endif // IPSEARCHER_H |
大功告成！這樣我們就為這個光禿禿的ipsearcher.dll做了一份SDK開發(fā)包，而不必再使用動態(tài)加載的方法了。
總結(jié)一下再
其實，探究一個DLL并非像我這里所講述的這么簡單。這項工作很可能需要閱讀大量的匯編代碼，了解DLL函數(shù)體的流程才能使真相大白于天下。另外，還不能排除有的DLL被加密、加殼、反跟蹤……也就是說對于ipsearcher.dll，那簡直就是我撿了個便宜來借花獻(xiàn)佛了。