Windows逆向工程入门之堆栈回溯

• 公开视频 -> 链接点击跳转公开课程
  
• 博客首页 -> ​​​链接点击跳转博客主页
  

目录
堆栈回溯
效果
代码
符号解析
符号信息
示例代码
DBG
IDA

---

堆栈回溯

效果

代码

1. #include <iostream>
2. #include <iomanip>
5. void PrintCallBack()
6. {
7.         // 栈帧结构
8.         int StackFrameCount = 0;
10.         // 栈帧获取
11.         int* varEbp = 0;
12.         __asm
13.         {
14.                 mov[varEbp], ebp
15.         }
17.         // 堆栈回溯
18.         while (varEbp)
19.         {
21.                 /*
22.                         PrintCallBack
23.                                 [EBP + 0] -> FUN3.EBP
24.                                 [EBP + 4] -> FUN3.RETADDR
26.                         FUN3
27.                                 [EBP + 0] -> FUN2.EBP
28.                                 [EBP + 4] -> FUN2.RETADDR
32.                 */
34.                 // 返回地址
35.                 int varRetAddr = varEbp[1];
36.                 if (!varRetAddr) return;
38.                 std::cout << "StackFrameCount -> " << std::setw(2) << std::setfill('0') << std::dec << StackFrameCount << "\t";
39.                 std::cout << "RetAddr -> " << std::showbase << std::hex << varRetAddr << std::endl;
41.                 varEbp = (int*)varEbp[0];
43.                 StackFrameCount++;
44.         }
46. }
48. void Fun3()
49. {
50.         //[EBP + 0] -> FUN2.EBP
51.         //[EBP + 4] -> FUN2.RETADDR
52.         PrintCallBack();
53. }
55. void Fun2()
56. {
57.         //[EBP + 0] -> FUN1.EBP
58.         //[EBP + 4] -> FUN1.RETADDR
59.         Fun3();
60. }
62. void Fun1()
63. {
64.         //[EBP + 0] -> MAIN.EBP
65.         //[EBP + 4] -> MAIN.RETADDR
66.         Fun2();
67. }
69. int main()
70. {
71.         Fun1();
73.         return 0;
74. }

复制代码

符号解析

符号信息

示例代码

1. #include <iostream>
2. #include <Windows.h>
3. #include <DbgHelp.h>
4. #pragma comment(lib, "dbghelp.lib")
6. void PrintCallBack()
7. {
8.         WORD wFrameCount = 0;
9.         HANDLE hProcess = NULL;
10.         PVOID pStack[100] = { 0 };
11.         SYMBOL_INFO* symInfo = NULL;
13.         hProcess = GetCurrentProcess();
15.         // 符号解析
16.         if (SymInitialize(hProcess, NULL, TRUE) == FALSE) return;
18.         // 获取栈帧
19.         wFrameCount = RtlCaptureStackBackTrace(1, 100, pStack, NULL);
21.         // 符号信息
22.         symInfo = (SYMBOL_INFO*)malloc(sizeof(SYMBOL_INFO) + MAX_PATH);
23.         memset(symInfo, 0, sizeof(SYMBOL_INFO) + MAX_PATH);
24.         symInfo->SizeOfStruct = sizeof(SYMBOL_INFO);
25.         symInfo->MaxNameLen = 255;
28.         // 回溯信息
29.         for (size_t i = 0; i < wFrameCount; i++)
30.         {
31.                 CHAR strModule[MAX_PATH] = { 0 };
32.                 DWORD dwModuleBase = NULL;
33.                 SymFromAddr(hProcess, (DWORD64)pStack[i], 0, symInfo);
34.                 dwModuleBase = SymGetModuleBase(hProcess, (DWORD64)pStack[i]);
35.                 GetModuleFileNameA((HMODULE)dwModuleBase, strModule, MAX_PATH);
36.                 if (dwModuleBase)
37.                 {
38.                         std::cout << "---------------------------------------" << std::endl;
39.                         std::cout << "ModuleName -> " << strModule << std::endl;
40.                         std::cout << "FunctnName -> " << symInfo->Name << std::endl;
41.                         std::cout << "FunStrAddr -> " << "0x" << std::hex << symInfo->Address << std::endl;
42.                         std::cout << "FunRetAddr -> " << "0x" << std::hex << (DWORD)pStack[i] << std::endl;
43.                         std::cout << "ModuleAddr -> " << "0x" << std::hex << dwModuleBase << std::endl;
45.                 }
47.         }
49. }
51. void Fun3()
52. {
53.         PrintCallBack();
54. }
56. void Fun2()
57. {
58.         Fun3();
59. }
61. void Fun1()
62. {
63.         Fun2();
64. }
66. int main()
67. {
68.         Fun1();
70.         return 0;
71. }

复制代码

DBG

• visual studio中设置工程项目属性
  
  
  
  • 随机基址 - 否
    
  • 固定基址 - 是
    
  
  
• F11运行工程项目转到反汇编检察MAIN函数地址
  
• DBG启动调试程序
  
• CTRL + G 转到指定MAIN函数地址
  
• 通过函数头部下断方式检察栈顶数据返回地址进行堆栈回溯
  

IDA

• 加载指定PE文件
  
• Function窗口中搜刮MAIN
  
• 选中函数过程名点击X展开交叉引用窗口
  

 

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。