逆向基础笔记十 汇编寻找C程序入口

123456879

继续更新个人的学习条记，
其它条记传送门
逆向底子条记一 进制篇
逆向底子条记二 数据宽度和逻辑运算
逆向底子条记三 通用寄存器和内存读写
逆向底子条记四 堆栈篇
逆向底子条记五 标记寄存器
逆向底子条记六 汇编跳转和比较指令
逆向底子条记七 堆栈图（重点）
逆向底子条记八 反汇编分析C语言
逆向底子条记九 C语言内联汇编和调用协定
逆向底子条记十一 汇编C语言根本类型
逆向底子条记十二 汇编 全局和局部 变量
逆向底子条记十三 汇编C语言类型转换
逆向底子条记十四 汇编嵌套if else
逆向底子条记十五 汇编比较三种循环
逆向底子条记十六 汇编一维数组
逆向底子条记十七 汇编二维数组 位移 乘法
逆向底子条记十八 汇编 结构体和内存对齐
逆向底子条记十九 汇编switch比较if else
逆向底子条记二十 汇编 指针（一）
逆向底子条记二十一 汇编 指针（二）
逆向底子条记二十二 汇编 指针（三）
逆向底子条记二十三 汇编 指针（四）
逆向底子条记二十四 汇编 指针（五） 系列完结
C语言步伐入口

起首明确一点，这里所指的C语言步伐入口为C语言的控制台步伐的入口，和WIN32等其它类型的步伐入口并不相同，主要为学习如何寻找步伐入口
起首我们都知道C语言的控制台步伐中，我们都将代码写在了main函数里，但是这个main函数不过是我们编写代码的入口，而不是真正步伐的入口，如何找寻真正的步伐入口？
在main函数的头部下断点，然后观察其堆栈的调用情况，通过前面的学习，我们知道在调用子函数即CALL XXXX后，会将要返回的地址压入堆栈中，我们可以通过这个返回地址来一层一层往上找到真正的步伐入口
寻找步伐入口

起首写一个之前调用空函数的例子，然后设置断点，断下以后，打开Call Stack(调用堆栈)窗口，可以看到如下画面

我们可以通过这个知道函数的调用顺序为：
KERNEL32!7c817077→mainCRTStartup→main
通常情况下，在调试步伐的时间，比如通过OD或者x32dbg等调试工具来调试时，我们都希望步伐可以或许在main函数这里断下，但实际上，它断在了mainCRTStartup这里
修改入口步伐

为了进一步理解步伐入口，我们可以手动修改步伐入口，来观察其与main函数的不同
我们随便新建一个空函数
void Test(){}然后工程→设置（也可以使用快捷键ALT+F7）

然后在弹出来的新窗口中选中连接(Link)选项卡

接着再将分类里的常规改成输出

最后在入口点里填上我们前面新建的空函数的函数名即可

修改完入口步伐以后，我们在Test函数那下个断点，观察其堆栈调用情况

我们可以发现入口点确实被修改为了Test并且mainCRTStartup也没了
但是实际上mainCRTStartup极其重要，我们不能没有它，由于它做了很多初始化的工作，关系到我们后续代码的正常运转
关于mainCRTStartup

• mainCRTStartup 和  wmainCRTStartup 是控制台环境下多字节编码和Unicode 编码的启动函数
  
• 而WinMainCRTStartup  和wWinMainCRTStartup 是windows 环境下多字节编码和Unicode 编码的启动函数
  

mainCRTStartup做了哪些事：
函数功能GetVersion()获取操作系统版本_heap_init()初始化堆空间，和malloc相干GetCommandLineA()获取命令行参数_crtGetEnvironmentStringsA()获取环境变量_setargv()设置argv_setenvp()设置envp_cinit()c初始化寻找main函数入口

理论

前面我们已经知道了mainCRTStartup也就是步伐入口，那么如何通过mainCRTStartup来找到main函数入口?
根据函数的参数来进行判断
乍看之下，main函数貌似只有两个参数，但实际上main函数一共有三个参数，只不过一般第三个参数我们并没有用到，于是在使用main函数时并没有加上，完备的main函数原型如下:
int main(int argc,char *argv[],char *envp[]){}这里的argv和envp对应mainCRTStartup里_setargv()和_setenvp()
main函数的三个参数：
参数寄义argc用于存放命令行参数的个数argv是个字符指针的数组，每个元素都是一个字符指针，指向一个字符串，即命令行中的每一个参数envp也是一个字符指针的数组，这个数组的每一个元素是指向一个环境变量的字符指针我们这里无需关注这三个参数的详细细节，只用记住main函数具有三个参数的这个特征即可，然后通过这个特征我们来找main函数
实践

载入步伐

我们拿OD随便拉一个简单的控制台步伐来寻找其main函数

步伐停在了入口处，也就是mainCRTStartup处，我们从这里出发开始寻找main函数
假如OD并没有停在mainCRTStartup这里，可以进行如下设置，然后重新加载步伐即可


预备工作完成后，就开始从这里向下寻找main函数
寻找main函数

004011B0 >/$  55            push ebp004011B1  |.  8BEC          mov ebp,esp004011B3  |.  6A FF         push -0x1004011B5  |.  68 10F14100   push CallingC.0041F110004011BA  |.  68 A42C4000   push CallingC.00402CA4                   ;  SE 处理步伐安装004011BF  |.  64:A1 0000000>mov eax,dword ptr fs:[0]004011C5  |.  50            push eax004011C6  |.  64:8925 00000>mov dword ptr fs:[0],esp004011CD  |.  83C4 F0       add esp,-0x10004011D0  |.  53            push ebx004011D1  |.  56            push esi004011D2  |.  57            push edi004011D3  |.  8965 E8       mov [local.6],esp004011D6  |.  FF15 3C414200 call dword ptr ds:[;  kernel32.GetVersion004011DC  |.  A3 E0254200   mov dword ptr ds:[0x4225E0],eax004011E1  |.  A1 E0254200   mov eax,dword ptr ds:[0x4225E0]004011E6  |.  C1E8 08       shr eax,0x8004011E9  |.  25 FF000000   and eax,0xFF004011EE  |.  A3 EC254200   mov dword ptr ds:[0x4225EC],eax004011F3  |.  8B0D E0254200 mov ecx,dword ptr ds:[0x4225E0]004011F9  |.  81E1 FF000000 and ecx,0xFF004011FF  |.  890D E8254200 mov dword ptr ds:[0x4225E8],ecx00401205  |.  8B15 E8254200 mov edx,dword ptr ds:[0x4225E8]0040120B  |.  C1E2 08       shl edx,0x80040120E  |.  0315 EC254200 add edx,dword ptr ds:[0x4225EC]00401214  |.  8915 E4254200 mov dword ptr ds:[0x4225E4],edx          ;  ntdll.KiFastSystemCallRet0040121A  |.  A1 E0254200   mov eax,dword ptr ds:[0x4225E0]0040121F  |.  C1E8 10       shr eax,0x1000401222  |.  25 FFFF0000   and eax,0xFFFF00401227  |.  A3 E0254200   mov dword ptr ds:[0x4225E0],eax0040122C  |.  6A 00         push 0x00040122E  |.  E8 8D180000   call CallingC.00402AC000401233  |.  83C4 04       add esp,0x400401236  |.  85C0          test eax,eax00401238  |.  75 0A         jnz short CallingC.004012440040123A  |.  6A 1C         push 0x1C0040123C  |.  E8 CF000000   call CallingC.0040131000401241  |.  83C4 04       add esp,0x400401244  |>  C745 FC 00000>mov [local.1],0x00040124B  |.  E8 00150000   call CallingC.0040275000401250  |.  FF15 38414200 call dword ptr ds:[; [GetCommandLineA00401256  |.  A3 2C3F4200   mov dword ptr ds:[0x423F2C],eax0040125B  |.  E8 D0120000   call CallingC.0040253000401260  |.  A3 C4254200   mov dword ptr ds:[0x4225C4],eax00401265  |.  E8 B60D0000   call CallingC.004020200040126A  |.  E8 610C0000   call CallingC.00401ED00040126F  |.  E8 7C080000   call CallingC.00401AF000401274  |.  8B0D FC254200 mov ecx,dword ptr ds:[0x4225FC]0040127A  |.  890D 00264200 mov dword ptr ds:[0x422600],ecx00401280  |.  8B15 FC254200 mov edx,dword ptr ds:[0x4225FC]00401286  |.  52            push edx                                 ;  ntdll.KiFastSystemCallRet00401287  |.  A1 F4254200   mov eax,dword ptr ds:[0x4225F4]0040128C  |.  50            push eax0040128D  |.  8B0D F0254200 mov ecx,dword ptr ds:[0x4225F0]00401293  |.  51            push ecx00401294  |.  E8 7BFDFFFF   call CallingC.0040101400401299  |.  83C4 0C       add esp,0xC0040129C  |.  8945 E4       mov [local.7],eax0040129F  |.  8B55 E4       mov edx,[local.7]004012A2  |.  52            push edx                                 ;  ntdll.KiFastSystemCallRet004012A3  |.  E8 88080000   call CallingC.00401B30004012A8  |.  8B45 EC       mov eax,[local.5]004012AB  |.  8B08          mov ecx,dword ptr ds:[eax]004012AD  |.  8B11          mov edx,dword ptr ds:[ecx]               ;  ntdll.7C92DC9C004012AF  |.  8955 E0       mov [local.8],edx                        ;  ntdll.KiFastSystemCallRet004012B2  |.  8B45 EC       mov eax,[local.5]004012B5  |.  50            push eax004012B6  |.  8B4D E0       mov ecx,[local.8]004012B9  |.  51            push ecx004012BA  |.  E8 010A0000   call CallingC.00401CC0004012BF  |.  83C4 08       add esp,0x8004012C2  \.  C3            retn我们从OD的断点处一路向下寻找具有三个参数的函数，最终找到了这里
00401286  |.  52            push edx                                 ;  ntdll.KiFastSystemCallRet00401287  |.  A1 F4254200   mov eax,dword ptr ds:[0x4225F4]0040128C  |.  50            push eax0040128D  |.  8B0D F0254200 mov ecx,dword ptr ds:[0x4225F0]00401293  |.  51            push ecx00401294  |.  E8 7BFDFFFF   call CallingC.0040101400401299  |.  83C4 0C       add esp,0xC寻找技巧：虽然说push的个数并不一定代表就是参数个数，但是通过push确实可以过滤不少
我们找到的这里这个call下面有个add esp,0xC，非常典型的一个堆栈外平衡，由此我们可以推断它采用的调用协定是cdecl，再观察其压入的参数的数据宽度为4字节（压入的是三个32位通用寄存器），以是我们可以盘算出参数的个数为C/4=3个参数
以是我们可以认为这里便是main函数的入口

来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！