版本: win 3.9.12.17
着手点
- 在微信UI上来回选择联系人进行切换, 观察wxid的变化, 找到wxid的指针, 该指针改变如果改变了收信者, 那说明是正确的wxid地址, 断点查看该行, 往上找到函数头部.
- 在日志地方找到 sendMsg 的字符串, 全局搜索引用地方, 在引用地方上部进行断点, 看stack区域有没有收信者wxid和发送文本, 往上找到函数头部.
第二种方法比较快. 找到静态分析:
__int64 __fastcall sub_1822C9CA0(__int64 a1, __int64 a2, __int64 a3, __int64 a4, int a5, int a6, int a7, __int64 a8)
如何拼凑函数参数
使用 frida 在 send call 地址进行劫持, 在 onEnter 打印入参, 来辅助猜测.
.$2C9CA0 是发送的call.
参考文档:
- 从汇编语言的寄存器来看函数参数传递
- https://www.52pojie.cn/thread-1948442-1-1.html
- https://www.52pojie.cn/thread-1940500-1-1.html
特征码
40 55 53 56 57 41 54 41 55 41 56 41 57 48 8D AC 24 E8 F3 FF FF 48 81 EC 18 0D 00 00 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 08 0C 00 00 4D 8B F9 4C 89 4D 20 49 8B D8 4C 8B EA 4C 8B E1 48 89 4D 30 8B BD 88 0C 00 00 8B B5 90 0C 00 00 4C 8B B5 98 0C 00 00 C7 44 24 60 00 00 00 00
其他
来源: https://www.laruence.com/2008/04/01/116.html
调用约定定义了函数参数如何被传递以及函数调用结束后谁负责清理堆栈。
当高级语言函数被编译成机器码时, 有一个问题就必须解决：因为CPU没有办法知道一个函数调用需要多少个、什么样的参数. 即计算机不知道怎么给这个函数传递参数, 传递参数的工作必须由函数调用者和函数本身来协调. 为此, 计算机提供了一种被称为栈的数据结构来支持参数传递.
函数调用时, 调用者依次把参数压栈, 然后调用函数, 函数被调用以后, 在堆栈中取得数据, 并进行计算. 函数计算结束以后, 或者调用者、或者函数本身修改堆栈, 使堆栈恢复原装. 在参数传递中, 有两个很重要的问题必须得到明确说明：
当参数个数多于一个时, 按照什么顺序把参数压入堆栈 函数调用后, 由谁来把堆栈恢复原装 函数的返回值放在什么地方 在高级语言中, 通过函数调用规范(Calling Conventions)来说明这两个问题. 常见的调用规范有:
- stdcall
- cdecl
- fastcall
- thiscall
- naked call
stdcall调用规范
stdcall 很多时候被称为pascal调用规范, 因为pascal是早期很常见的一种教学用计算机程序设计语言, 其语法严谨, 使用的函数调用约定是stdcall. 在Microsoft C++系列的C/C++编译器中, 常常用PASCAL宏来声明这个调用约定, 类似的宏还有WINAPI和CALLBACK. stdcall调用规范声明的语法为:
int __stdcall function(int a, int b)
stdcall的调用约定意味着:
- 参数从右向左压入堆栈
- 函数自身修改堆栈
- 函数的装饰名(decoration name/mangling name)为函数名自动加前导的下划线, 后面紧跟一个@符号, 其后紧跟着参数的尺寸
这里有一个要注意的地方是, 函数的装饰名和PASCAL调用约定不同, PASCAL约定输出的函数名无任何修饰且全部大写. 以上述这个函数为例, 参数b首先被压栈, 然后是参数a, 函数调用function(1, 2)调用处翻译成汇编语言将变成：
push 2; 第二个参数入栈
push 1; 第一个参数入栈
call function; 调用函数, 注意此时自动把cs:eip入栈
而对于函数自身, 则可以翻译为:
push ebp; 保存ebp寄存器, 该寄存器将用来保存堆栈的栈顶指针, 可以在函数退出时恢复
mov ebp, esp; 保存栈顶指针
mov eax, [ebp + 8H]; 堆栈中ebp指向位置之前依次保存有ebp, cs:eip, a, b, ebp +8指向a
add eax, [ebp + 0CH]; 堆栈中ebp + 12处保存了b
mov esp, ebp; 恢复esp
pop ebp;
ret 8;
而在编译时, 这个函数的名字被翻译成_function@8 注意不同编译器会插入自己的汇编代码以提供编译的通用性, 但是大体代码如此. 其中在函数开始处保留esp到ebp中, 在函数结束恢复是编译器常用的方法. 从函数调用看, 2和1依次被push进堆栈, 而在函数中又通过相对于ebp(即刚进函数时的堆栈指针）的偏移量存取参数, 函数结束后, ret 8表示清理8个字节的堆栈, 函数自己恢复了堆栈.
cdecl调用规范
cdecl调用约定又称为C调用约定, 是C语言缺省的调用约定, 它的定义语法是:
int function(int a, int b) //不加修饰默认就是C调用约定
int __cdecl function(int a, int b) //明确指定C调用约定
cdecl调用约定的参数压栈顺序是和stdcall是一样的, 参数首先由有向左压入堆栈. 所不同的是, 函数本身不清理堆栈, 调用者负责清理堆栈. 由于这 种变化, C调用约定允许函数的参数的个数是不固定的, 这也是C语言的一大特色. 对于前面的function函数, 使用cdecl后的汇编码变成：
push 1;
push 2;
call function;
add esp, 8; //注意, 这里调用者再恢复堆栈
被调用函数:
push ebp; 保存ebp, 该寄存器将用来保存堆栈的栈顶指针, 可以在函数退出时恢复
mov ebp, esp; 保存栈顶指针
mov eax, [ebp + 8H]; 堆栈ebp指向位置之前依次保存有ebp, cs:eip, a, b, ebp + 8指向a
add eax, [ebp + 0CH]; 堆栈中ebp + 12处保存了b
mov esp, ebp; 恢复esp
pop ebp;
ret;
函数修饰名为, 函数名前加前导的下划线, 因此函数名在符号表中被记录为_function. 由于参数按照从右向左顺序压栈, 因此最开始的参数在最接近栈顶的位置, 因此当采用不定个数参数时, 第一个参数在栈中的位置肯定能知道, 只要不定的参数个数能够根据第一个后者后续的明确的参数确定下来, 就可以使用不定参数, 例如对于sprintf函数, 定义为：
int sprintf(char *buffer, const char *format, ...)
由于所有的不定参数都可以通过format确定, 因此使用不定个数的参数是没有问题的.
fastcall调用规范
fastcall调用约定和stdcall类似, 它意味着:
- 函数的第一个和第二个DWORD参数（或者尺寸更小的）通过ecx和edx传递, 其他参数通过从右向左的顺序压栈
- 被调用函数清理堆栈
- 修饰名为函数名前加上一个“@”符号，后面也是一个“@”符号和其参数的字节数 其声明语法为：
int __fastcall function(int a, int b)
thiscall调用规范
thiscall是唯一一个不能明确指明的函数修饰, 因为thiscall不是关键字. 它是C++类成员函数缺省的调用约定. 由于成员函数调用还有一个this指针, 因此必须特殊处理, thiscall意味着:
- 参数从右向左入栈
- 如果参数个数确定, this指针通过ecx传递给被调用者, 如果参数个数不确定, this指针在所有参数压栈后被压入堆栈
- 对参数个数不定的, 调用者清理堆栈, 否则函数自己清理堆栈 为了说明这个调用约定, 定义如下类和使用代码:
class A {
public:
int function1(int a, int b);
int function2(int a, ...);
}
int A::function1(int a, int b) {
return a + b;
}
int A::function2(int a, ...) {
va_list ap;
va_start(ap, a);
int i;
int result = 0;
for (i=0; i<a; i++) {
result += va_arg(ap, int);
}
return result;
}
void callee() {
A a;
a.function1(1, 2);
a.function2(3, 1, 2, 3);
}
callee函数被翻译成汇编后就变成:
// 函数function1调用
push 2;
push 1;
lea ecx, [ebp-8];
call function1; 注意，这里this没有被入栈
// 函数function2调用
push 3;
push 2;
push 1;
push 3;
lea eax, [ebp-8]; 这里引入this指针
push eax;
call function2;
add esp, 14h;
可见, 对于参数个数固定情况下, 它类似于stdcall, 不定时则类似cdecl.
naked call调用规范
这是一个很少见的调用约定, 一般程序设计者建议不要使用. 编译器不会给这种函数增加初始化和清理代码, 更特殊的是, 不能用return返回返回值, 只能用插入汇编返回结果. 这一般用于实模式驱动程序设计, 假设定义一个求和的加法程序, 可以定义为:
__declspec(naked) int add(int a, int b) {
__asm mov eax, a;
__asm add eax, b;
__asm ret;
}
注意, 这个函数没有显式的return返回值, 返回通过修改eax寄存器实现, 而且连退出函数的ret指令都必须显式插入. 上面代码被翻译成汇编以后变成:
mov eax, [ebp+8];
add eax, [ebp+12];
ret 8;
注意这个修饰是和__stdcall及cdecl结合使用的, 前面是它和cdecl结合使用的代码, 对于和stdcall结合的代码, 则变成:
__declspec(naked) int __stdcall function(int a, int b) {
__asm mov eax, a;
__asm add eax, b;
__asm ret 8; //注意后面的8
}
至于这种函数被调用, 则和普通的cdecl及stdcall调用函数一致.
函数调用约定导致的常见问题
如果定义的约定和使用的约定不一致, 则将导致堆栈被破坏, 导致严重问题, 下面是两种常见的问题:
- 函数原型声明和函数体定义不一致
- DLL导入函数时声明了不同的函数约定