寻找main函数入口
逆向的第一步是什么？这要问你学习C语言的第一步是什么，很自然的，逆向的第一步当然也是大名鼎鼎“HelloWorld!”了。但是也不要因此就误认为这一节会很简单，如果你是第一次接触逆向的话，那么这一节还是有些难度的。好的，让我们先写一个世界上最出名的程序：
int _tmain(int argc, _TCHAR* argv[])
{
printf("Hello World!\r\n");
return 0;
}
不错！很好的开始！然后用VS2008以Debug方式编译下，再用OllyDbg打开看看：
00411078 >JMP Test_0.004117B0
0041107DJMP Test_0.00412CC0
00411082JMP <JMP.&MSVCR90D._lock>
00411087JMP <JMP.&KERNEL32.GetProcAddress>
0041108CJMP Test_0.00411440
00411091JMP Test_0.00413310
00411096JMP <JMP.&MSVCR90D.?terminate@@YAXXZ>
0041109BJMP <JMP.&MSVCR90D._exit>
004110A0JMP <JMP.&KERNEL32.GetCurrentThreadId>
004110A5JMP <JMP.&MSVCR90D._initterm>
看看我们的程序停在了什么鬼地方，如果各位初学读者试图从这里就开始分析的话那真的很恐怖，相信30分钟内你的自信心将被打击到零……
我们都知道其实编译器在编译我们的程序前会做很多准备工作，而这些准备工作由于涉及的东西较多且每个由此编译器生成的程序都一样，因此我们不必深究，只需快速且准确的找到main函数即可。
但是这对于初学逆向的朋友来说也是最难的，下面我就教各位读者怎样突破这个障碍。
想要找到main函数，那么我们就要从C语言本身讲起，在刚刚开始学习C语言的时候我们就被不幸的告知，我们的程序中必须要包含一个名字叫做main的函数，不管你多讨厌它都必须如此，后来便成了习惯……
后来查查C99标准，发现“int main(int argc, char *argv[])”与“int main(void)”都是被接受的，然后又查查MSDN，可以清晰看到一句话“The main and main functions can take the following three optional arguments”，也就是告诉了我们main函数其实是有3个参数的，其后面的例子更是证明了这句话确实是微软写上去的：
main( int argc, char *argv[ ], char *envp[ ] )
嗯，他们又在标准上较劲了，但是考虑到我们大部分程序都是用vs编译的（而且Borland的C++的参数也是如此），因此我们还是做墙头草，随大流吧……
到这里有的读者可能会感到疑惑，如果我们使用的是符合C99标准的main函数呢？例如我们源码的main函数不就是两个参数吗。但是在这里我要很负责的告诉大家，不管我们代码中实际使用了几个参数，在程序被编译时其main函数肯定是三个参数的，因为这取决于Windows系统的机制。
因此现在已经为我们识别main函数提供了很好的特征，既有三个参数，且前两个参数为地址量的call就应该是我们的main函数了。除此之外，我们通过MSDN可知应用程序会随着main函数结束而退出，这又给了我们第二个有力的特征，既main函数很定是在程序退出代码附近的（而且目前的主流调试、反汇编工具都可以正确识别出退出函数exit）。
有了这些特征，我们再想找到main函数就不难了，目前我为大家提供三种方法：
1.1.1、字符串搜索法
安装完各个版本的C++编译器后，逐个写Hello World，然后用OllyDbg的搜索字符串功能搜索这个字符串，最后逐步回溯即可，下面我为大家演示一下我做的步骤。
用OllyDbg打开目标文件后，先记住程序默认停在哪里，然后在CPU窗格点击右键，依次选择【超级字符串参考】>【查找ASCII字符】，选择我们的“Hello World”后双击即可到main函数中，代码如下：
004113A0PUSH EBP ; 函数入口
004113A1MOV EBP, ESP
004113A3SUB ESP, 0C0
004113A9PUSH EBX
004113AAPUSH ESI
004113ABPUSH EDI
004113ACLEA EDI, DWORD PTR SS:
004113B2MOV ECX, 30
004113B7MOV EAX, CCCCCCCC
004113BCREP STOSD
004113BEMOV ESI, ESP
004113C0PUSH Test_0.0041573C ; /Hello World!\r\n
004113C5CALL DWORD PTR DS:[<&MSVCR90D.printf>] ; \printf
004113CBADD ESP, 4
004113CECMP ESI, ESP
004113D0CALL Test_0.00411145
004113D5XOR EAX, EAX
004113D7POP EDI
004113D8POP ESI
004113D9POP EBX
004113DAADD ESP, 0C0
004113E0CMP EBP, ESP
004113E2CALL Test_0.00411145
004113E7MOV ESP, EBP
004113E9POP EBP
004113EARETN
我们单击选择函数入口后，可以看到CPU窗格下面的信息窗格中显示如下信息：
跳转来自 0041100F
我们单击选择此信息后，点击鼠标右键，并选择【转到 JMP 来自0041100F】后即可来到上层调用函数（以后我们将之称为“返回到调用”）：
0041100AJMP <JMP.&KERNEL32.DebugBreak>
0041100FJMP Test_0.004113A0 ; 我们停到这里
00411014JMP Test_0.004124E0
遇到这种情况直接在返回到调用，此时来到真正调用main函数的地方：
0041195FMOV EAX, DWORD PTR DS:
00411964PUSH EAX
00411965MOV ECX, DWORD PTR DS:
0041196BPUSH ECX
0041196CMOV EDX, DWORD PTR DS:
00411972PUSH EDX
00411973CALL Test_0.0041100F ; 我们停到这里
00411978ADD ESP, 0C
0041197BMOV DWORD PTR DS:, EAX
00411980CMP DWORD PTR DS:, 0
00411987JNZ SHORT Test_0.00411995
00411989MOV EAX, DWORD PTR DS:
0041198EPUSH EAX ; /status => 0
0041198FCALL DWORD PTR DS:[<&MSVCR90D.exit>] ; \exit
通过上面的代码我们便看到了main函数的典型特征，临近exit，且有三个参数。接下来我们要做的就是不断地重复上面的步骤，一直到找到程序入口点为止。
最后你要做的就是针对不同的版本不同城上的编译器重复上面的步骤，直到收集到你认为足够丰富的信息后结束，从此你就再也不用怕为找不到main函数而苦恼了。
1.1.2、栈回溯法
栈回溯的方法是先找到main函数中的那个“HelloWorld”，下断点并按【F9】键运行后查看堆栈情况，我这里的堆栈情况如下：
0012FE9C 7C930208ntdll.7C930208 ; 我们停在这里
0012FEA0 FFFFFFFF
0012FEA4 7FFDE000
0012FEA8 CCCCCCCC
…… ……
0012FF64 CCCCCCCC
0012FF68/0012FFB8
0012FF6C|00411978返回到 Test_0.00411978 来自 Test_0.0041100F
0012FF70|00000001
0012FF74|003D2C60
0012FF78|003D2D40
0012FF7C|0A641DBC
0012FF80|7C930208ntdll.7C930208
0012FF84|FFFFFFFF
0012FF88|7FFDE000
0012FF8C|00369E99
0012FF90|00000000
0012FF94|00000000
0012FF98|00130000ASCII "Actx "
0012FF9C|00000000
0012FFA0|0012FF7C
0012FFA4|00000020
0012FFA8|0012FFE0指向下一个 SEH 记录的指针
0012FFAC|0041107DSE处理程序
0012FFB0|0A3788D4
0012FFB4|00000000
0012FFB8]0012FFC0
0012FFBC|004117BF返回到 Test_0.004117BF 来自 Test_0.004117D0
0012FFC0\0012FFF0
0012FFC4 7C817077返回到 kernel32.7C817077
对于这些信息我们只需要关注注释前面有“返回到”三个字的，离我们最近是：
0012FF6C|00411978返回到 Test_0.00411978 来自 Test_0.0041100F
鼠标单击选择该项后，按【Enter】键即可来到返回地址00411978处：
0041195F .A1 48714100 MOV EAX, DWORD PTR DS:
00411964 .50 PUSH EAX
00411965 .8B0D 4C714100 MOV ECX, DWORD PTR DS:
0041196B .51 PUSH ECX
0041196C .8B15 44714100 MOV EDX, DWORD PTR DS:
00411972 .52 PUSH EDX
00411973 .E8 97F6FFFF CALL Test_0.0041100F
00411978 .83C4 0C ADD ESP, 0C ; 我们停在这里
0041197B .A3 5C714100 MOV DWORD PTR DS:, EAX
00411980 .833D 50714100>CMP DWORD PTR DS:, 0
00411987 .75 0C JNZ SHORT Test_0.00411995
00411989 .A1 5C714100 MOV EAX, DWORD PTR DS:
0041198E .50 PUSH EAX ; /status => 0
0041198F .FF15 80824100 CALL DWORD PTR DS:[<&MSVCR90D.exit>] ; \exit
此时我们又来到了这个熟悉的地方，接下来的事情就要各位读者自己发挥了（重复上面的步骤）。
1.1.3、逐步分析法
以上讲的两种方法都是在学习与知识储备时用的，不可能收到什么实战效果。假如我们现在碰到了一个现在就需要我们分析的软件，而且它的编译环境我们以前没碰到过，这就要求我们纯手工分析并找到main函数了。
之所以将之称为逐步分析法，是因为我们不需要阅读它代码的具体含义，而是只需要以JMP与CALL为单位逐个跟进，从而根据main函数的特征判定main函数的所在位置。
其实这种方法有点类似于文件搜索，先搜索根目录、在逐层加深搜索其子目录，直到找到我们需要的东西。
那我们的程序为例，我们的OEP处就是一个JMP，因此其“根目录”也就是第一层代码里是不可能有我们的main函数了，当我们跟进这个JMP后会发现如下代码：
004117B0 > \8BFF MOV EDI, EDI
004117B2/.55 PUSH EBP
004117B3|.8BEC MOV EBP, ESP
004117B5|.E8 96F8FFFF CALL Test_0.00411050
004117BA|.E8 11000000 CALL Test_0.004117D0
004117BF|.5D POP EBP
004117C0\.C3 RETN
我们发现第二层代码里也没有我们的main函数，但是有两个CALL。因此我们跟进第一个CALL中，为了节省篇幅，我在这里就不贴出代码了，我在这里并没有发现main函数，但是发现了数个JMP与CALL。不过需要注意的是，我们一定要注意采用逐层搜索的思想，因此这里的CALL与JMP就不要再继续跟下去了，我们现在要住的是返回上一层，看看第二个CALL里是什么：
004117D0MOV EDI, EDI
004117D2PUSH EBP
004117D3MOV EBP, ESP
004117D5PUSH -2
…………
00411813CALL Test_0.004110FF
…………
00411830CALL DWORD PTR DS:[<&KERNEL32.Interlocke>;kernel32.InterlockedCompareExchange
…………
0041184EJMP SHORT Test_0.0041185D
00411850PUSH 3E8 ; /Timeout = 1000. ms
00411855CALL DWORD PTR DS:[<&KERNEL32.Sleep>] ; \Sleep
0041185BJMP SHORT Test_0.00411825
…………
004118EBPUSH Test_0.004157C8 ;_
004118F0PUSH 0
004118F2PUSH 1F4
004118F7PUSH Test_0.00415750 ;f
004118FCPUSH 2
004118FECALL DWORD PTR DS:[<&MSVCR90D._CrtDbgRep>;MSVCR90D._CrtDbgReportW
00411904ADD ESP, 14
…………
00411913PUSH 0 ; /NewValue = 0
00411915PUSH Test_0.0041756C ; |pTarget = Test_0.0041756C
0041191ACALL DWORD PTR DS:[<&KERNEL32.Interlocke>; \InterlockedExchange
…………
00411929PUSH Test_0.00417590
0041192ECALL Test_0.00411172
00411933ADD ESP, 4
…………
0041193APUSH 0
0041193CPUSH 2
0041193EPUSH 0
00411940CALL DWORD PTR DS: ; 注意这里，虽然这个CALL也有三个参数，但是仔细分析一下我们就会发现
00411940 ; 这并不是main函数，因为main函数的后两个参数是指针，这里的0与2显然
00411940 ; 不符合要求。其次他也并非是临近exit的。
00411946PUSH 1
00411948CALL DWORD PTR DS:[<&MSVCR90D._CrtSetChe>;MSVCR90D._CrtSetCheckCount
…………
0041195FMOV EAX, DWORD PTR DS:
00411964PUSH EAX
00411965MOV ECX, DWORD PTR DS:
0041196BPUSH ECX
0041196CMOV EDX, DWORD PTR DS:
00411972PUSH EDX
00411973CALL Test_0.0041100F ; 终于来到我们熟悉的main函数里了！
00411978ADD ESP, 0C
…………
0041198EPUSH EAX ; /status => 0
0041198FCALL DWORD PTR DS:[<&MSVCR90D.exit>] ; \exit
…………
0041199ECALL DWORD PTR DS:[<&MSVCR90D._cexit>] ;MSVCR90D._cexit
…………
004119ABJMP SHORT Test_0.004119FF
…………
004119B7MOV ECX, DWORD PTR SS:
004119BAPUSH ECX
004119BBMOV EDX, DWORD PTR SS:
004119BEPUSH EDX
004119BFCALL Test_0.00411181
004119C4ADD ESP, 8
004119C7RETN
看到这里各位读者是不是感觉逆向很简单，但也充满挑战？如果你掌握了以上三种方法，那么恭喜你，你已经成功的走出了第一步，这很有纪念意义。
页:
[1]