零基础逆向工程29_Win32_03_ESP寻址_定位回调函数_子窗口_消息处理函数

1 Win32应用程序入口识别

思路：根据WinMain的四个参数，由调用顺序，知道最后压栈的是hInstance句柄（也就是WinMain函数的第一个参数，其值等于ImageBase），根据反汇编，则判断压栈参数是GetModuleHandle函数的返回值，即可找到Win32应用入口。

004011AC  |> \50            push eax
004011AD  |.  FF75 9C       push [local.25]
004011B0  |.  56            push esi
004011B1  |.  56            push esi                                  ; /pModule
004011B2  |.  FF15 18504000 call dword ptr ds:[<&KERNEL32.GetModuleH> ; \GetModuleHandleA
004011B8  |.  50            push eax
004011B9  |.  E8 12FFFFFF   call Win32_Re.004010D0     ;即：这是Win32程序入口

2 ESP寻址的特点

程序入口处，esp+4一般是函数的第一个参数。
ESP寻址会受到push和pop的影响。

3 窗口回调函数的定位

思路：根据RegisterClass()函数的参数，找到WNDCLASS结构体的lpfnWndProc参数，从而找到了回调函数WindowProc。

4 具体事件的处理的定位

思路：在OD的设置断点中，右键设置条件断点，可根据相应的条件断下来。

5 按钮是什么

按钮的本质是窗口

void CreateButton(HWND hwnd)
{
    HWND hwndPushButton;
    HWND hwndCheckBox;
    HWND hwndRadio;

    hwndPushButton = CreateWindow (
        TEXT("button"),
        TEXT("普通按钮"),
        //WS_CHILD | WS_VISIBLE | BS_PUSHBUTTON | BS_DEFPUSHBUTTON,
        WS_CHILD | WS_VISIBLE | BS_PUSHBUTTON | BS_DEFPUSHBUTTON,
        10, 10,
        80, 20,
        hwnd,
        (HMENU)1001,        //子窗口ID
        hAppInstance,
        NULL);

    hwndCheckBox = CreateWindow (
        TEXT("button"),
        TEXT("复选框"),
        //WS_CHILD | WS_VISIBLE | BS_CHECKBOX | BS_AUTOCHECKBOX,
        WS_CHILD | WS_VISIBLE | BS_CHECKBOX |BS_AUTOCHECKBOX ,
        10, 40,
        80, 20,
        hwnd,
        (HMENU)1002,        //子窗口ID
        hAppInstance,
        NULL);

    hwndRadio = CreateWindow (
        TEXT("button"),
        TEXT("单选按钮"),
        //WS_CHILD | WS_VISIBLE | BS_RADIOBUTTON | BS_AUTORADIOBUTTON,
        WS_CHILD | WS_VISIBLE | BS_RADIOBUTTON  ,
        10, 70,
        80, 20,
        hwnd,
        (HMENU)1003,        //子窗口ID
        hAppInstance,
        NULL);
}

6 按钮事件的处理

1、按钮是一种特殊的窗体，并不需要提供单独的窗口回调函数.
2、当按钮有事件产生时，会给父窗口消息处理程序发送一个WM_COMMAND消息

按钮--------------->系统提供WinProc---------------------->父窗口的WinProc  
        单击按钮                        转换WM_COMMAND

//代码：
case WM_COMMAND:
{
    switch(LOWORD(wParam))
    {
        case 1001:
            MessageBox(hwnd,"Hello Button 1","Demo",MB_OK);
            return 0;
        case 1002:
            MessageBox(hwnd,"Hello Button 2","Demo",MB_OK);
            return 0;
        case 1003:
            MessageBox(hwnd,"Hello Button 3","Demo",MB_OK);
            return 0;
    }
    return DefWindowProc(hwnd,uMsg,wParam,lParam);
}

7 消息堆栈

7.1 回调函数的结构

LRESULT CALLBACK WindowProc(    
    IN  HWND hwnd,  
    IN  UINT uMsg,  
    IN  WPARAM wParam,  
    IN  LPARAM lParam  
    );  

7.2 回调函数的堆栈

8 按钮事件处理逻辑定位

在OD中设置条件断点
[ESP+8]==WM_COMMAND && [ESP+0xC]==0x3EB