从逆向工程的角度来看C++ (一)

标题：从逆向工程的角度来看C++ (一)
作者：jackozoo
时间：2009-05-01 12:06
链接：http://bbs.pediy.com/showthread.php?t=87586

前话:

大家好，这是我为了巩固对C++的逆向而进行的一系列学习笔记。
大家都清楚，现在好多软件都是C++编写的，而C++相对于C来说还是有不少新特性的。
虽说部分特性仅仅是为编译器服务的，但是：还是有部分的特性会最终反映到软件的机器码中的。
所以我们对C++语言编译后的PE进行逆向分析，不仅可以帮助我们更好地理解及分析C++编写的软件，而且对于我们对C++这门语言的更深层次理解更是起到了相当彻底的作用。

C++相对于C的新特性，主要目的是：为了使程序员更加高效快捷安全的编码及开发软件。
对于这些新特性，我个人将其分为两部分：一部分是专门为编译器服务的，它不会影响最终的Native Code的结构；而另一部分严格来说也是为编译器服务，不过最重要的是它会影响最终的Native Code的结构。

打个比方：
C++中全局函数的重载：这个东西完全就是为编译器服务的，在最终的反汇编代码中，你根本看不出来它使用了C++的重载这一面向对象的特性，因为它实际上就是两个不同的函数；
再比如类对象: 当你在反汇编代码中看到某些call在调用前都会有个ecx作为参数传进去（这里IDE假定为VC，因为Borland不是用ecx而是通过堆栈来传递this指针的），而在call内部经常有对ecx的类似“mov edx，ecx  ；  mov  R/M,dword ptr[edx+4*N] ”时, 我想如果你对C++的逆向分析的比较透彻，你会马上发现这是再传递类对象的this指针，并对类成员取值等等。另外虚函数在反汇编代码中的表现形式也是很有特点的（以后会详细介绍的）。

上面嗦了这么多，无非是要说明这样一个道理：就像C语言的枚举在反汇编的代码中消失的无影无踪，而结构体成员存取值在反汇编中却表现的这么明显。说白了一个式子：asm-->C-->C++ .

（我发现我好嗦啊，各位别拍砖啊）

实验平台及工具: XP SP3, VC SP6(默认Debug，Release修改为最小大小优化)， OD 等。

P.S  整个系列的文章对于高手来说肯定是没有任何技术含量的，发到这里只是为了可以帮助新手更快的入门。
     另外限于我的水平，整个系列中肯定会有认识不到位的地方或者认识错误的地方，欢迎各位拍砖。

------------------------------------------------------------------------------------------------
进入本次正题：

                           (一) [  C++ 之数据类型  ]

来CPP源码:

#include <stdio.h>
#pragma pack(1)
struct F
{
  char a;
  int  b;
  void fuck();
};
#pragma pack()
struct B
{
  int a;
  int b;
  int c;
  void  add(int,int);
  void f(int);
};

void B::add(int a,int b)
{
  c = a + b ;
}
void B::f(int x)
{
  a += x;
}

void F::fuck()
{
  this->a = 'J' ;
  this->b++;
}

enum EE
{
  red  =3,
  blue ,
  green,
  yellow,
};

int main(int argc, char* argv[])
{

  B sb; F sf; EE ee;
  sb.a = 3;sb.b = 4;sb.c = 5;
  sf.a = 'X' ; sf.b = 0x9999;
  sf.b = green;

  __asm int 3      //跟failwest学的, 呵呵, 感觉不错.
  printf("%d   ",sizeof(sb));
  printf("%d   ",sizeof(sf));
  printf("%d   ",sizeof(ee));
  sb.add(sb.a,sb.b);
  sb.f(4);
  sf.fuck();

  return 0;
}

结构体B ,F 两种抽象数据类型, 默认的话, 其结构体大小为数据成员个数乘以4 .
(如果定义了对齐粒度的话就另当别论).函数不会算到大小里面去(后面的虚函数
除外), 对于一般的结构体, 都是当成一个内存块来处理的. 对于B, F这种抽象数据
类型, 一般都是将ecx保存其指针(以后到了类就是this了).

下面看反汇编调试过程吧.
00401030    55              push ebp
00401031    8BEC            mov ebp,esp
00401033    83EC 14         sub esp,14
00401036    C745 EC 0300000>mov dword ptr ss:[ebp-14],3              ; 从这5行可以看出,在栈里面是按局部变量从小到大排的
0040103D    C745 F0 0400000>mov dword ptr ss:[ebp-10],4
00401044    C745 F4 0500000>mov dword ptr ss:[ebp-C],5
0040104B    C645 F8 58      mov byte ptr ss:[ebp-8],58               ; 这里从8开始一个char
0040104F    C745 F9 9999000>mov dword ptr ss:[ebp-7],9999            ; 从7 开始, 保持和上面的紧挨着.
00401056    90              nop
00401057    6A 0C           push 0C                                  ; 默认自然对齐为4字节, 总共12字节
00401059    68 30704000     push lesson1.00407030                    ; ASCII "%d   "
0040105E    E8 3D000000     call lesson1.004010A0                    ; 这里是printf, 不知为啥不自己显示出来
00401063    6A 05           push 5                                   ; 这里重设了对齐粒度,于是为5
00401065    68 30704000     push lesson1.00407030                    ; ASCII "%d   "
0040106A    E8 31000000     call lesson1.004010A0                    ; printf
0040106F    8B45 F0         mov eax,dword ptr ss:[ebp-10]            ; sb.b
00401072    8B4D EC         mov ecx,dword ptr ss:[ebp-14]            ; sb.a
00401075    83C4 10         add esp,10                               ; 两次的放一起平衡esp.
00401078    50              push eax
00401079    51              push ecx
0040107A    8D4D EC         lea ecx,dword ptr ss:[ebp-14]            ; sb的地址.  相当于寄存器传参.
0040107D    E8 7EFFFFFF     call lesson1.00401000                    ; sb.add(sb.a,sb.b);
00401082    6A 04           push 4
00401084    8D4D EC         lea ecx,dword ptr ss:[ebp-14]            ; sb的地址.
00401087    E8 84FFFFFF     call lesson1.00401010                    ; sb.f(4);
0040108C    8D4D F8         lea ecx,dword ptr ss:[ebp-8]             ; sf的地址
0040108F    E8 8CFFFFFF     call lesson1.00401020                    ; sf.fuck
00401094    33C0            xor eax,eax
00401096    8BE5            mov esp,ebp
00401098    5D              pop ebp
00401099    C3              retn

//
00401000    8B4424 08       mov eax,dword ptr ss:[esp+8]             ; 这里没压ebp, 所以为参数2 : sb.b
00401004    8B5424 04       mov edx,dword ptr ss:[esp+4]             ; 参数一: sb.a
00401008    03D0            add edx,eax
0040100A    8951 08         mov dword ptr ds:[ecx+8],edx             ; 这里ecx就定位了那个sb结构体了.
0040100D    C2 0800         retn 8

枚举类型就很简单了, 跟BOOL一样了, sizeof就是4了, 然后使用中就直接被编译器换成了
数值了,比如 EE ee = red;  直接就是mov dword ptr [ebp  index * 4] , 3 ; 另外还有联合体，像枚举联合体这些东西在反汇编代码中根本都看不到影子的，这些并不花哨的“花哨”东西（别绕住了啊，哈哈）在反汇编中消失的无影无踪了。所以我就不做多介绍了。

因为这是系列之（一），就不介绍太多内容，在余下的分节我们慢慢来了解。那么今次就到这里吧。