逆向分析HelloWorld程序

最新推荐文章于 2024-04-21 08:26:16 发布

Mi1k7ea

最新推荐文章于 2024-04-21 08:26:16 发布

阅读量7.4k

点赞数 3

分类专栏：逆向 Windows 文章标签：逆向工程核心原理

本文链接：https://blog.youkuaiyun.com/SKI_12/article/details/80334012

版权

本文详细记录了使用逆向工程寻找并分析HelloWorld程序的main()函数的过程，包括代码执行法、字符串检索法、API检索法等多种方法。同时介绍了如何通过设置调试点提高调试效率，以及如何通过修改内存数据改变程序输出的字符串。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这里将之前学习《逆向工程核心原理》的笔记重新实现整理一遍，代码重新编写实现，以方便以后查阅。

编写运行HelloWorld程序

环境主要是Win7 32位系统，使用VS2010进行编程：

#include "windows.h"
int main()
{
	MessageBox(NULL, L"Hello World!", L"blog.youkuaiyun.com/ski_12", MB_OK);
	return 0;
}

MessageBox()函数用于弹框显示第二个参数的字符，其中第三个参数为框的标题内容。

点击工具栏下拉框的“Release”，然后点击“生成helloworld”即可编译生成exe文件：

运行helloworld.exe文件后会弹框显示如图内容：

接着明确一下逆向调试的任务：查找出helloworld.exe文件的main()函数。

使用Ollydbg打开helloworld.exe文件：

一开始调试器停止的地方为helloworld.exe程序执行的起始地址即EP（Entry Point入口点），其中左上角为代码窗口，右上角为寄存器窗口，左下角为数据窗口，右下角为栈窗口。

注：EP是Windows可执行文件的代码入口点，是执行应用程序时最先执行的代码的起始位置，依赖于CPU。

初次学习，先按部就班地逐一调试。按F7运行进入00D112B4的call指令所指的函数地址查看：

发现其中右侧一栏（Ollydbg的注释）含有几个红色标记的函数名称，其为代码中调用的API函数名称，是VC++启动函数，并非是需要查找的main()函数。继续下拉看到RETN指令，并没有发现main()函数，直接Ctrl+F9运行到该RETN指令，再F7跳出该函数。

注意：启动函数是编译器任意添加的代码，不是用户编写的代码。

继续F7执行00D112B9的jmp指令，跳转到指定的地址：

可以看到存在好几条的call指令，逐一按F7进行调试，遇到call指令F7进去查看是否是main()函