【IDA】分析 Windows CE 事件日志服务(一)

关注

VIP免费原创最新推荐文章于 2026-03-28 02:54:21 发布 1.7k 阅读 AI 写同款· GEO 优化 ›

Windows CE系统级日志设计我的经验，可靠的产品不是设计出来的，而是通过持续的解决BUG逐步达到的，当然我不是说设计不重要，我是想强调在产品中提供一些能够帮助诊断问题的设施是非常有必要的。在这方面，最常见的手段显然就是系统日志了。嵌入式系统由定制的硬件平台、定制的驱动程序、定制的系统组件，以及定制的应用程序构成。这么多定制的组件凑在一起，要在一个比较短的时间内把他们凑在一起，配合良好顺利运行不容易。他们中的任何部分都阅读详情

笔者在开始使用 Windows CE 事件日志服务时，由于自身条件限制未能获得 Microsoft 的技术支持，故只能使用 IDA Pro 对 eventlog.dll 进行分析。

笔者感觉事件日志服务相关的注册表设置可能对嵌入式系统软件工程师比较有用，所以注重分析 StartAllLoggers、InitFormattersAndOutputters、CLogEventLog::Initialize 和 CLogHandle::AssociateEventLog 等函数/方法。

StartAllLoggers 函数

eventlog.dll 的导出函数 EventLogStart 在 .text:10001B3A 调用函数 EventLogWorkerThread；然后，函数 EventLogWorkerThread 在 .text:100030FA 调用本函数。

.text:10002CC8 ; int __cdecl StartAllLoggers( void )
.text:10002CC8 ? StartAllLoggers@@YAHXZ proc near       ; CODE XREF: EventLogWorkerThread( void * ) + 15
.text:10002CC8
.text:10002CC8 szName           = word ptr - 218h
.text:10002CC8 pReg             = dword ptr - 10h
.text:10002CC8
.text:10002CC8                 push    ebp
.text:10002CC9                 mov     ebp, esp
.text:10002CCB                 sub     esp, 218h
.text:10002CD1                 push    ebx
.text:10002CD2                 push    esi
.text:10002CD3                 push    edi
.text:10002CD4                 push    offset ?? _C@_1EE@DKEDOPGO@ ? $AAS ? $AAY ? $AAS ? $AAT ? $AAE ? $AAM ? $AA ? 2 ? $AAC ? $AAu ? $AAr ? $AAr ? $AAe ? $AAn ? $AAt ? $AAC ? $AAo ? $AAn ? $AAt ? $AAr ? $AAo@ ; " SYSTEM/CurrentControlSet/EventLog "
.text:10002CD9                 push    HKEY_LOCAL_MACHINE
.text:10002CDE                 lea     ecx, [ebp + pReg]
.text:10002CE1                 call     ?? 0CReg@@QAE@PAUHKEY__@@PBG@Z ; CReg::CReg(HKEY__ * , ushort const * )
.text:10002CE6                 xor     ebx, ebx
.text:10002CE8                 cmp     [ebp + pReg], ebx
.text:10002CEB                 jz      loc_10002E7A
.text:10002CF1                 push    g_pvAllocData   ; pvData
.text:10002CF7                 push     20
.text:10002CF9                 pop     esi
.text:10002CFA                 push    esi             ; iSize
.text:10002CFB                 call    g_funcAlloc
.text:10002D01                 cmp     eax, ebx
.text:10002D03                 pop     ecx
.text:10002D04                 pop     ecx
.text:10002D05                 jz       short loc_10002D1D
.text:10002D07                 push    esi
.text:10002D08                 push    offset ? DeleteEntry@CLogEventLog@@SAXPAX@Z ; CLogEventLog::DeleteEntry( void * )
.text:10002D0D                 push     52
.text:10002D0F                 mov     ecx, eax
.text:10002D11                 call     ?? 0SVSLinkManager@@QAE@KP6AXPAX@ZK@Z ; SVSLinkManager::SVSLinkManager( ulong , void ( * )( void * ), ulong )
.text:10002D16                 mov      ? g_pEventLogList@@3PAVSVSLinkManager@@A, eax ; SVSLinkManager * g_pEventLogList
.text:10002D1B                 jmp      short