標 題: Reversing.Microsoft.Visual.C++.Part.CN
翻 譯: buddhaluo
時 間: 2006-12-17 21:55
鏈 接: http://bbs.pediy.com/showthread.php?threadid=36539
詳細信息:
Reversing MS VC++ Part II: Classes, Methods and RTTI
摘要
MS VC++ 是Win32平臺上最廣泛使用的編譯器，因此熟悉它的內部工作機制對於Win32逆向愛好者非常重要。能夠理解編譯器生成的附加（glue）代碼有助於快速理解程序員寫的實際代碼。同樣也有助於恢復程序的高級結構。
在Part II中，我將講到MSVC是如何實現C++的，包括類的佈局，虛函數，RTTI。假設你已經熟悉C++基本知識和彙編語言。
基本的類佈局
爲了解釋下面的內容，讓我們看看這個簡單例子：
class A
{
int a1;
public:
virtual int A_virt1();
virtual int A_virt2();
static void A_static1();
void A_simple1();
};
class B
{
int b1;
int b2;
public:
virtual int B_virt1();
virtual int B_virt2();
};
class C: public A, public B
{
int c1;
public:
virtual int A_virt2();
virtual int B_virt2();
};
多數情形下，MSVC的類按如下格局分佈：
Ÿ 指向虛函數表的指針（_vtable_或_vftable_），不過它只在類包括虛函數，以及不能從基類複用合適的函數表時纔會被添加。
Ÿ 基類。
Ÿ 函數成員。
虛函數表由虛函數的地址組成，表中函數地址的順序和它們第一次出現的順序（即在類定義的順序）一致。若有重載的函數，則替換掉基類函數的地址。
因此，上面三個類的佈局看起來象這樣：
class A size(8):
+---
0 | {vfptr}
4 | a1
+---
A's vftable:
0 | &A::A_virt1
4 | &A::A_virt2
class B size(12):
+---
0 | {vfptr}
4 | b1
8 | b2
+---
B's vftable:
0 | &B::B_virt1
4 | &B::B_virt2
class C size(24):
+---
| +--- (base class A)
0 | | {vfptr}
4 | | a1
| +---
| +--- (base class B)
8 | | {vfptr}
12 | | b1
16 | | b2
| +---
20 | c1
+---
C's vftable for A:
0 | &A::A_virt1
4 | &C::A_virt2
C's vftable for B:
0 | &B::B_virt1
4 | &C::B_virt2
上面的圖表是由VC8編譯器使用一個未公開的參數生成。爲了看到這樣的類佈局，使用編譯參數 –d1 reportSingleClassLayout，可以輸出單個類的佈局。-d1 reportAllClassLayout可以輸出全部類的佈局（包括內部的CRT類）。這些內容都被輸出到stdout（標準輸出）。
正如你看到的，C有兩個虛函數表vftables，因爲它從兩個都有虛函數的類繼承。C::A_virt2的地址替換了A::A_virt2在類C虛函數表的地址，類似的，C::B_virt2替換了B::B_virt2。
調用慣例和類方法
MSVC中所有的類方法都默認使用_thiscall_調用慣例。類實例的地址（_this_指針）作爲隱含參數傳到ecx寄存器。在函數體中，編譯器通常立刻用其它寄存器（如esi或ed），或棧中變量來指代。以後對類成員的引用都通過這個寄存器或棧變量。然而，在實現COM類時，則使用_stdcall_調用習慣。下文是對各種類型的類方法的一個概述。
1) 靜態方法
調用靜態方法不需要類的實例，所以它們和普通函數一樣的工作原理。沒有_this_指針傳入。因此也就不可能可靠的分辨靜態方法和簡單的普通函數。例如：
A::A_static1();
call A::A_static1
2) 簡單方法
簡單方法需要一個類實例，_this_指針隱式的作爲第一個參數傳入，通常使用_thiscall_調用慣例，例如通過_ecx_寄存器。當基類對象沒有分配在派生類對象的開始處，在調用函數前，_this_指針需要被調整到指向基類子對象的實際開始位置。例如：
;pC->A_simple1(1);
;esi = pC
push 1
mov ecx, esi
call A::A_simple1
;pC->B_simple1(2,3);
;esi = pC
lea edi, [esi+8] ;adjust this
push 3
push 2
mov ecx, edi
call B::B_simple1
正如你看到的，在調用B的方法前，_this_指針被調整到指向B的子對象。
3) 虛方法（虛函數）
爲了調用虛函數，編譯器首先需要從_vftable_取得函數地址，然後就像調用簡單方法一樣（例如，傳入_this_指針作爲隱含參數）。例如：
;pC->A_virt2()
;esi = pC
mov eax, [esi] ;fetch virtual table pointer
mov ecx, esi
call [eax+4] ;call second virtual method
;pC->B_virt1()
;edi = pC
lea edi, [esi+8] ;adjust this pointer
mov eax, [edi] ;fetch virtual table pointer
mov ecx, edi
call [eax] ;call first virtual method
4) 構造函數和析構函數
構造函數和析構函數類似於簡單方法，它們取得隱式的_this_指針（例如，在_thiscall_調用慣例下通過ecx寄存器）。雖然形式上構造函數沒有返回值，但它在eax中返回_this_指針。
RTTI實現
RTTI（Run-Time Type Identification）運行時類型識別是由編譯器生成的特殊信息，用於支持像dynamic_cast<>和typeid（）這樣的C++運算符，以及C++異常。基於這個本質，RTTI只爲多態類生成，例如帶虛函數的類。
MSVC編譯器在vftable前設置了一個指針，指向叫做“Complete Object Locator”（完整對象定位器）的結構。這樣稱呼是因爲它允許編譯器從特定的vftable指針（因爲一個類可能有若干vftable）找到完整對象的位置。COL就像如下定義:
struct RTTICompleteObjectLocator
{
DWORD signature; //always zero ?
DWORD offset; //offset of this vtable in the complete class
DWORD cdOffset; //constructor displacement offset
struct TypeDescriptor* pTypeDescriptor; //TypeDescriptor of the complete class
struct RTTIClassHierarchyDescriptor* pClassDescriptor; //describes inheritance hierarchy
};
類層次描述符描述了類的繼承層次。對於一個類，所有COL共享一個。
struct RTTIClassHierarchyDescriptor
{
DWORD signature; //always zero?
DWORD attributes; //bit 0 set = multiple inheritance, bit 1 set = virtual inheritance
DWORD numBaseClasses; //number of classes in pBaseClassArray
struct RTTIBaseClassArray* pBaseClassArray;
};
基類數組描述了所有基類，幷包含在執行_dynamic_cast_過程中編譯器是否允許強制轉換派生類到這些基類的信息。基類描述符中每一項都包含如下結構：
struct RTTIBaseClassDescriptor
{
struct TypeDescriptor* pTypeDescriptor; //type descriptor of the class
DWORD numContainedBases; //number of nested classes following in the Base Class Array
struct PMD where; //pointer-to-member displacement info
DWORD attributes; //flags, usually 0
};
struct PMD
{
int mdisp; //member displacement
int pdisp; //vbtable displacement
int vdisp; //displacement inside vbtable
};
PMD描述了一個基類如何放置在完整類中。在簡單的繼承體系中，它位於從整個對象起始位置的一個固定偏移處，這個偏移量就是_mdisp_。如果是一個虛基類，那需要從vbtable中取得一個額外的偏移量加上。從派生類到基類調整_this_指針的僞碼如下：
//char* pThis; struct PMD pmd;
pThis+=pmd.mdisp;
if (pmd.pdisp!=-1)
{
char *vbtable = pThis+pmd.pdisp;
pThis += *(int*)(vbtable+pmd.vdisp);
}
例如，我們的三個類的RTTI層次關係是：
![]()
RTTI hierarchy for our example classes
提取信息
1) RTTI
如果存在，RTTI對於逆向工作來說是無價的信息。從RTTI，有可能恢復類的名字，繼承層次，有時候也能恢復部分的類佈局。我的RTTI掃描器腳本可以顯示大多數此類信息。（參考附錄I）
2) 靜態和全局初始化例程（initializer）
全局和靜態對象需要在main主程序開始前初始化。MSVC通過生成初始化例程函數（funclet）來實現，並把這些函數地址放入一個表中，當_cinit初始化CRT時，會調用它們。這個表通常位於.data段的開始。一個典型的初始化例程如下：
_init_gA1:
mov ecx, offset _gA1
call A::A()
push offset _term_gA1
call _atexit
pop ecx
retn
_term_gA1:
mov ecx, offset _gA1
call A::~A()
retn
從這個表我們可以找到：
· 全局/靜態對象的地址
· 它們的構造函數
· 它們的析構函數
還可以參考MSVC _#pragma_directive_init_seg_[5]。
3) Unwind Funclets
若在函數中創建了自動類型的對象，VC++編譯器會自動生成異常處理代碼以確保在異常發生時會刪除這些對象。請參看Part I以瞭解對C++異常實現的細節。一個典型的unwind funclet在棧上銷燬一個對象的過程是：
unwind_1tobase: ; state 1 -> -1
lea ecx, [ebp+a1]
jmp A::~A()
通過在函數體中尋找相反的狀態變化，或者是在第一次訪問相同的棧中變量時，我們也可以找到構造函數。
lea ecx, [ebp+a1]
call A::A()
mov [ebp+__$EHRec$.state], 1
對於由new創建的對象，unwind funclet確保了萬一構造失敗也能刪除分配的內存：
unwind_0tobase: ; state 0 -> -1
mov eax, [ebp+pA1]
push eax
call operator delete(void *)
pop ecx
retn
在函數體中：
;A* pA1 = new A();
push
call operator new(uint)
add esp, 4
mov [ebp+pA1], eax
test eax, eax
mov [ebp+__$EHRec$.state], 0; state 0: memory allocated but object is not yet constructed
jz short @@new_failed
mov ecx, eax
call A::A()
mov esi, eax
jmp short @@constructed_ok
@@new_failed:
xor esi, esi
@@constructed_ok:
mov [esp+14h+__$EHRec$.state], -1
;state -1: either object was constructed successfully or memory allocation failed
;in both cases further memory management is done by the programmer
另一種類型的unwind funclets用於構造函數和析構函數中。它確保了萬一發生異常時刪除類成員。這時候，funclets要使用保存在一個棧變量的_this_指針，
unwind_2to1:
mov ecx, [ebp+_this] ; state 2 -> 1
add ecx, 4Ch
jmp B1::~B1
這是funclet析構類型B1位於偏移4Ch處一個類成員的代碼。從這裏我們可以找到：
· 棧變量代表了C++對象或者指向用new分配的對象的指針
· 它們的構造函數
· 它們的析構函數
· 由new創建的對象的大小
4) 構造/析構函數的遞歸調用
規則很簡單：構造函數調用其他的構造函數（其他基類和成員變量的構造函數），析構函數調用其它的析構函數。一個典型的構造函數按下列順序執行：
· 調用基類構造函數
· 調用複雜的類成員的構造函數
· 若類有虛函數，初始化vfptr
· 執行當前的構造函數代碼（即由程序員寫得構造代碼）
典型的析構函數幾乎按照反序執行：
· 若有虛函數，初始化vfptr
· 執行當前的析構函數代碼
· 調用複雜類成員的析構函數
· 調用基類的析構函數
MSVC生成的析構函數另一個獨特的特徵是它們的_state_變量通常初始化爲最大值，每次析構一個子對象就減一，這樣使得識別它們更容易。要注意簡單的構造/析構函數經常被MSVC內聯（inline）。那就是爲什麼你經常看到vftable指針在同一個函數中被不同指針重複的調用。
5) 數組的構造和析構
MSVC使用一個輔助函數來構造和析構數組。思考下面的代碼：
A* pA = new A[n];
delete [] pA
翻譯成下面的僞碼：
array = new char(sizeof(A)*n+sizeof(int))
if (array)
{
*(int*)array=n; //store array size in the beginning
'eh vector constructor iterator'(array+sizeof(int),sizeof(A),count,&A::A,&A::~A);
}
pA = array;
'eh vector destructor iterator'(pA,sizeof(A),count,&A::~A);
如果A有一個vftable，當刪除數組時，相應的會以調用一個刪除析構函數的向量來替代：
;pA->'vector deleting destructor'(3);
mov ecx, pA
push 3 ; flags: 0x2=deleting an array, 0x1=free the memory
call A::'vector deleting destructor'
若A的析構函數是虛函數，則按照調虛函數的方式調用：
mov ecx, pA
push 3
mov eax, [ecx] ;fetch vtable pointer
call [eax] ;call deleting destructor
因此，從向量構造/析構函數疊代子調用我們可以知道：
· 對象數組的地址
· 它們的構造函數
· 它們的析構函數
· 類的大小
6) 刪除析構函數
當類有虛析構函數時，編譯器生成一個輔助函數來刪除它。其目的是當析構一個類時確保_delete_操作符被調用。刪除析構函數的僞碼如下：
virtual void * A::'scalar deleting destructor'(uint flags)
{
this->~A();
if (flags&1) A::operator delete(this);
};
這個函數的地址被放入vftable替換析構函數地址。通過這種方式，如果另外一個類覆蓋了這個虛析構函數，那麼它的_delete_將被調用。然而實際代碼中_delete_幾乎不會被覆蓋，所以你通常只看到調用默認的delete()。有時候，編譯器也生成一個刪除析構函數向量，就像下面一樣：
virtual void * A::'vector deleting destructor'(uint flags)
{
if (flags&2) //destructing a vector
{
array = ((int*)this)-1; //array size is stored just before the this pointer
count = array[0];
'eh vector destructor iterator'(this,sizeof(A),count,A::~A);
if (flags&1) A::operator delete(array);
}
else {
this->~A();
if (flags&1) A::operator delete(this);
}
};
我跳過了有虛基類的類的大部分實現細節，因爲它們使得事情更復雜了，而且在現實生活中很少用到。請參考Jan Gray寫的文章[1]。它已經很詳盡了，只是用匈牙利命名法有點頭痛。文章[2]描述了一個MSVC實現虛繼承的實現。更多細節還可以看MS專利[3]。
