C++虚函数系列之三：虚函数调用的另类"注入"

Author：Jeff   2005-12-7

关键字：C++ 虚函数 注入

环境：Window XP Professional + SP2, VC6.0

 

在用汇编语言调用class的private虚函数Outp()时，注意到在调用之前先PUSH 23，而在调用后并没有POP清栈。如果画蛇添足，加上POP语句，反而导致栈的崩溃。因为C++成员函数的调用约定为thiscall。

 

从网上摘录的关于函数调用约定：

1、_stdcall是Pascal程序的缺省调用方式，通常用于Win32 Api中，函数采用从右到左的压栈方式，自己在退出时清空堆栈。VC将函数编译后会在函数名前加上下划线前缀，在函数名后加上"@"和参数的字节数。

2、_cdecl是C和C＋＋程序的缺省调用方式。每一个调用它的函数都包含清空堆栈的代码，所以产生的可执行文件大小会比调用_stdcall函数的大。函数采用从右到左的压栈方式。VC将函数编译后会在函数名前面加上下划线前缀。是MFC缺省调用约定。

3、__fastcall调用约定是"人"如其名，它的主要特点就是快，因为它是通过寄存器来传送参数的（实际上，它用ECX和EDX传送前两个双字（DWORD）或更小的参数，剩下的参数仍旧自右向左压栈传送，被调用的函数在返回前清理传送参数的内存栈），VC将函数编译后会在函数名前面加上"@"前缀，在函数名后加上"@"和参数的字节数。

4、thiscall仅仅应用于"C++"成员函数。this指针存放于ECX寄存器，参数从右到左压。thiscall不是关键词，因此不能被程序员指定。

5、naked call采用1-4的调用约定时，如果必要的话，进入函数时编译器会产生代码来保存ESI，EDI，EBX，EBP寄存器，退出函数时则产生代码恢复这些寄存器的内容。

 

C++成员函数的调用约定为thiscall，意味着ECX中存放着this指针。如果让ECX存放别的class指针，会有什么后果呢？修改C001：：Outp()的代码为：

class C001

{

……

public:

    virtual void Outp(int n)

    {

        printf("Number = %d/n" , n);

        Display();

}

……

};

另外再定义一个class：

class C003

{

public:

    C003() { };

    virtual ~C003() { };

private:

    virtual void Output(void) {

        printf("haha, it's turn to me!/n");

    }

};

 

main()也改改：

int  main(void)

{

    C001   c1;

    C003   c3;

    int    *p  = (int *)&c1;

    int    *r ;

    int    *p3 = (int *)&c3;  

 

    r = (int *)*((int *)(*p) + 2);

    _asm{

        push  23

        mov  ecx, p3

        call [r]     ; // complement third virtual function

    };

 

  

return 0;

}

编译，运行，输出为：

Number = 23

haha, it's turn to me!

本应该执行C001::Display()，输出为display C001的，结果怎么不是？

分析一下，可以判定，在C001::Outp()函数体内，控制权被C003夺取，转而执行C003::Output()。为什么呢？细心之下会发现，C003::Output()是C003的第2个虚函数，C001::Display()为C001的第2个虚函数，即它们在各自virtual table中的位置相同。

在调用C001::Outp()函数中的Display()时，先通过ECX取this指针，ECX已被偷梁换柱存储的是指向对象C003的指针，然后到virtual table找第2个虚函数(找第几个在编译期间决定)，当然就调用了C003的第2个虚函数Output()。(尽量保证相同位置虚函数的参数对齐，否则栈可能会崩溃)。运行成功~~~

总之，在编译期间没有确定地址的class虚函数，都可以这样偷梁换柱地注入~~

 

当class的虚函数的调用约定为__stdcall，调用时除要PUSH参数外，在最后还需要让ECX存储this指针并PUSH这个指针，调用后不需要清栈。调用约定为__cdecl，调用时除要PUSH参数外，需要直接PUSHthis指针，调用后需自己POP清栈。