IDA Pro, QT Nokia Library, dll call, что на самом деле делает? - PullRequest
Новая
       35

IDA Pro, QT Nokia Library, dll call, что на самом деле делает?

0 голосов
/ 24 декабря 2010

Я изменил DLL, используя IDA Pro. Глядя на псевдокод, сгенерированный IDA, я заинтересован в наборе вызовов в библиотеку QT, пытается ли он найти расположение функций, чтобы он мог их вызывать? Я хотел бы попытаться повторить то, что происходит, но меня немного смущает код, сгенерированный IDA, может кто-нибудь дать мне несколько советов относительно того, что действительно необходимо? Меня особенно интересует использование «this» при определении вызовов функций, так как я не совсем уверен, что это означает. Спасибо. 

 int v2; // eax@10
 int v3; // eax@10
 char v12; // [sp+14h] [bp-368h]@10
 int v13; // [sp+20h] [bp-35Ch]@10


...
v2 = sub_100010B3((int)&v12, "QtGui4.dll");
    v19 = sub_10001115((int)&v12, v2, "?rowsInserted@QListView@@MAEXABVQModelIndex@@HH@Z");
    Buf2 = -1;
    v21 = 21;
    v24 = (unsigned int)v19 >> 24;
    v23 = (unsigned int)v19 >> 16;
    v22 = v19;
    v3 = sub_100010B3((int)&v12, "QtCore4.dll");
    v13 = sub_10001115((int)&v12, v3, "?endInsertRows@QAbstractItemModel@@IAEXXZ");


int __thiscall sub_10001115(int this, int a1, const char *Str1)
{
  int v3; // eax@5
  int v5; // [sp+0h] [bp-10h]@1
  char v6; // [sp+4h] [bp-Ch]@4
  int *v7; // [sp+8h] [bp-8h]@1
  int v8; // [sp+Ch] [bp-4h]@1

  v5 = this;
  v7 = (int *)sub_10001470(this, *(_DWORD *)a1);
  v8 = 0;
  while ( *v7 )
{
    if ( *v7 & 0x80000000 )
    {
      v6 = (*v7 & 0xFFFF) == (_DWORD)Str1;
    }
    else
    {
      v3 = sub_10001470(v5, *v7);
      v6 = stricmp(Str1, (const char *)(v3 + 2)) == 0;
    }
    if ( v6 )
      return sub_10001470(v5, *(_DWORD *)(a1 + 16)) + 4 * v8;
    ++v7;
    ++v8;
  }
  return 0;
}


int __thiscall sub_100010B3(int this, const char *Str1)
{
  int result; // eax@2
  int v3; // eax@4
  int v4; // [sp+0h] [bp-8h]@1
  int v5; // [sp+4h] [bp-4h]@1

  v4 = this;
  v5 = sub_10001090(this, 1);
  if ( v5 )
  {
    while ( *(_DWORD *)(v5 + 16) )
    {
      v3 = sub_10001470(v4, *(_DWORD *)(v5 + 12));
      if ( !stricmp(Str1, (const char *)v3) )
        return v5;
      v5 += 20;
    }
    result = 0;
  }
  else
  {
    result = 0;
  }
  return result;
}


    int __thiscall sub_10001090(int this, int a2)
{
  return sub_10001470(this, *(_DWORD *)(*(_DWORD *)(this + 4) + 8 * a2 + 120));
}


int __thiscall sub_10001470(int this, int a2)
{
  int result; // eax@3

  if ( *(_DWORD *)(this + 8) && a2 )
    result = a2 + *(_DWORD *)(this + 8);
  else
    result = 0;
  return result;
}

Ответы [ 2 ]

0 голосов
/ 02 мая 2012

Кажется, v12 является экземпляром некоторого класса, который выполняет поиск DLL. sub_100010B3, кажется, примерно соответствует LoadLibrary и sub_10001115 - GetProcAddress. this указывает на неявный указатель экземпляра объекта this, передаваемый при вызове методов C ++.

См. мою статью и talk о том, как C ++ работает на низком уровне.

0 голосов
/ 25 декабря 2010

Похоже, что сначала ищет какую-то запись DLL в таблице, которая возвращает структуру, которая, по-видимому, содержит список функций, предоставляемых этой DLL. Затем он просматривает в структуре записи Dll список доступных функций, проверяя либо по порядковому номеру (где он обрабатывает Str1 как DWORD), либо по имени (выполняя stricmp на Str1), а затем, вероятно, возвращает указатель на функцию, который он нашел.

...