[转]易语言消息机制分析(消息拦截原理)

Posted 2020-08-13

标 题: 【原创】易语言消息机制分析(消息拦截原理)
作 者: 红绡枫叶
时 间: 2014-12-17,12:41:44
链 接: http://bbs.pediy.com/showthread.php?t=195626

 

 

我自己做了个易语言的sig签名,方便分析的时候用.易语言例子是静态编译的.版本 5.11
易语言其实是基于mfc的,它依然需要mfc的消息派发机制,只不过,自己当了系统与
用户间的代理人.所有的消息都要经它转发而已.我在MFC的消息派发函数_AfxDispatchCmdMsg
下断点,总能断下所有事件,包括按钮事件.我按下按钮,断在如下:
0045C7E0 _ /$  55        push ebp      ; ewnd._AfxDispatchCmdMsg(CCmdTarget *,uint,int,void (CCmdTarget::*)(void),void *,uint,AFX_CMDHANDLERINFO *)(guessed Arg1,Arg2,Arg3,Arg4,Arg5,Arg6,Arg7)
0045C7E1   |.  8BEC      mov ebp, esp
0045C7E3   |.  8B45 20   mov eax, dword ptr ss:[arg7]
0045C7E6   |.  53        push ebx
0045C7E7   |.  56        push esi
0045C7E8   |.  6A 01     push 1
在下面不远处,消息转发到了:

 

 

只是这有点麻烦了.我才不想一步一步绕到用户事件处理的地方.
因此,我们要找到易语言给用户派发消息的地方.
往下追踪:
00411688   |.  FFD0      call eax ; ewnd.ProcessNotifySys(int,ulong,ulong)

 

处理消息的其中一步,继续吧
004116B4   |.  E8 77C7FF call CKrnlApp::Notify(int,ulong,ulong)
再继续:
0040E36D   |> \\8B4424 34 mov eax, dword ptr ss:[arg2]                  ; Case 7D8 of switch ewnd.40DE4F
0040E371   |.  8BCE      mov ecx, esi
0040E373   |.  50        push eax                                      ; /Arg1 => [Arg2]
0040E374   |.  E8 67A600 call CKrnlApp::ProcessEvent(EVENT_NOTIFY *)   ; \\ewnd.CKrnlApp::ProcessEvent(EVENT_NOTIFY *) //处理派发消息
0040E379   |.  E9 580700 jmp 0040EAD6
0040E37E   |>  8B4C24 34 mov ecx, dword ptr ss:[arg2]                  ; Case 7EF of switch ewnd.40DE4F
0040E382   |.  51        push ecx                                      ; /Arg1 => [Arg2]
0040E383   |.  8BCE      mov ecx, esi                                  ; |
0040E385   |.  E8 06A700 call CKrnlApp::ProcessEvent(EVENT_NOTIFY2 *)  ; \\ewnd.CKrnlApp::ProcessEvent(EVENT_NOTIFY2 *)
0040E38A   |.  E9 470700 jmp 0040EAD6
0040E38F   |>  8B86 4802 mov eax, dword ptr ds:[esi+248]               ; Case 7DB of switch ewnd.40DE4F
来到派发事件的地方了呢!跟进:
CPU Disasm
Address    Hex dump      Command                                       Comments
00418A06   |.  51        push ecx                                      ; |Arg1 = ASCII "p"I"
00418A07   |.  8B4D E8   mov ecx, dword ptr ss:[local.6]               ; |
00418A0A   |.  E8 419AFF call CKrnlApp::BeginProcessEvent(ulong,ulong,int,int) ;获取用户定义的消息
00418A0F   |.  8945 FC   mov dword ptr ss:[local.1], eax
00418A12   |.  837D FC 0 cmp dword ptr ss:[local.1], 0  ;判断这次的消息是不是用户的.
00418A16   |.  75 04     jne short 00418A1C
00418A18   |.  33C0      xor eax, eax
00418A1A   |.  EB 67     jmp short 00418A83
00418A1C   |>  56        push esi  ;是用户定义的消息,那就来到这里处理了.
00418A1D   |.  57        push edi
00418A1E   |.  8B55 08   mov edx, dword ptr ss:[arg1]
00418A21   |.  8B42 0C   mov eax, dword ptr ds:[edx+0C]
00418A24   |.  83E8 01   sub eax, 1
00418A27   |.  8945 EC   mov dword ptr ss:[local.5], eax
00418A2A   |.  EB 09     jmp short 00418A35
00418A2C   |>  8B4D EC   /mov ecx, dword ptr ss:[local.5]
00418A2F   |.  83E9 01   |sub ecx, 1
00418A32   |.  894D EC   |mov dword ptr ss:[local.5], ecx
00418A35   |>  837D EC 0 |cmp dword ptr ss:[local.5], 0
00418A39   |.  7C 12     |jl short 00418A4D
00418A3B   |.  8B55 EC   |mov edx, dword ptr ss:[local.5]
00418A3E   |.  8B45 08   |mov eax, dword ptr ss:[arg1]
00418A41   |.  8B4C90 10 |mov ecx, dword ptr ds:[edx*4+eax+10]
00418A45   |.  894D F0   |mov dword ptr ss:[local.4], ecx
00418A48   |.  FF75 F0   |push dword ptr ss:[local.4]
00418A4B   |.^ EB DF     \\jmp short 00418A2C
00418A4D   |>  FF55 FC   call dword ptr ss:[local.1] //调用用户消息处理例程.这就是所谓的事件特征码.
00418A50   |.  5F        pop edi
00418A51   |.  5E        pop esi
00418A52   |.  895D F4   mov dword ptr ss:[local.3], ebx

看到我的注释了没?就是这样简单.我忘记是在哪儿看到的了,前辈们总结的易语言事件特征码:FF55FC5F5E.
看来原理很简单嘛.

现在总结一下:
易语言其实是基于mfc的,它注册了所有的事件,
由MFC事件派发函数_AfxDispatchCmdMsg把所有发生的事件派发给易语言,
此时易语言相当于用户.然后易语言调用CKrnlApp::Notify(int,ulong,ulong),派发事件,
调用CKrnlApp::ProcessEvent(EVENT_NOTIFY[2] *)进一步处理派发的事件.
然后CKrnlApp::BeginProcessEvent(ulong,ulong,int,int)获取用户事件,如果匹配了,
就调用用户事件处理例程.
完美断下按钮事件: