如何分析未文档化的数据结构
1 前言:
这2天看了Secrets of Reverse Engineering一书，对分析未文档化的API的技术比较有心得，希望各位看了下面的教程，能抛砖引玉灵活的应用在逆向工程和破解技术上，方法是死的，但是人的思维是活，最重要是灵活应用。
2 实践:
用OllyDbg对NTDLL.DLL进行反汇编，前提你要加入NTDLL.DLL的符号表，这样你才能更好的对未文档化的API进行反汇编，你们到微软官方网站获取相应版本Windows系统的系统符号表。
下面是RtlInitializeGenericTable函数的反汇编代码:
01 MOV EDI, EDI ;
//压入堆栈,保存EBP的数值
02 PUSH EBP ;
03 MOV EBP, ESP ;
// 获取[ESP+8]的数值传入EAX
// 此处指令我们可以翻译为:
// MOV EAX, DWORD PTR SS:[ESP+8]
// 含义: 把当前堆栈顶向下偏移8h处的值赋给EAX,也就是该函数的第1个参数
// 声明:我喜欢用ESP指针来想象堆栈。但是CPU处理的话，是用EBP来进行偏移处理
04 MOV EAX, DWORD PTR SS:[EBP+8] ;
05 XOR EDX, EDX ;
// EAX+4的数值当作指针传入ECX
06 LEA ECX, DWORD PTR DS:[EAX+4] ;
// EDX的数值传入[EAX],说明EAX的值是某个结构的指针
// 假设pUnknowStruct的地址为 EAX的数值
// 07的汇编指令对应的C语言: pUnknowStruct->member1 = 0 ;
07 MOV DWROD PTR DS:[EAX], EDX ;
// 此处指令我们可以翻译为:
// MOV DWORD PTR DS:[EAX+8], EAX+4 ;
// 备注: [EAX] 为某结构的第1个变量
// [EAX+4]为某结构的第2个变量
// [EAX+8]为某结构的第3个变量
// 含义:该结构的第3个成员变量被赋于指向该结构的第2个成员变量的指针数值
// 08的汇编指令对应的C语言: pUnknowStruct->member3 = &pUnknowStruct->member2
08 MOV DWORD PTR DS:[ECX+4], ECX ;
// 此处指令我们可以翻译为:
// MOV DWORD PTR DS:[EAX+4], EAX+4 ;
// 09的汇编指令对应的C语言: pUnknowStruct->member2 = &pUnknowStruct->member2
09 MOV DWORD PTR DS:[ECX], ECX ;
// 此处指令我们可以翻译为:
// MOV DWORD PTR DS:[EAX+C], EAX+4 ;
// 10的汇编指令对应的C语言: pUnknowStruct->member4 = &pUnknowStruct->member2
10 MOV DWORD PTR DS:[EAX+C], ECX ;
// 此处指令我们可以翻译为:
// MOV ECX, DWORD PTR SS:[ESP+C]
// 含义: 把当前堆栈顶向下偏移Ch处的值赋给ECX,也就是该函数的第2个参数
11 MOV ECX, DWORD PTR SS:[EBP+C] ;
// 含义: 把第2个参数传送给某结构的第7个成员变量
// 12的汇编指令对应的C语言为: pUnknowStruct->member7 = Param2
12 MOV DWORD PTR DS:[EAX+18], ECX ;
// 此处指令我们可以翻译为:
// MOV ECX, DWORD PTR SS:[ESP+10]
// 含义: 把当前堆栈顶向下偏移10h处的值赋给ECX,也就是该函数的第3个参数
13 MOV ECX, DWORD PTR SS:[EBP+10] ;
// 含义:把参数3传给某结构的第8个成员变量
// 14的汇编指令对应的C语言为: pUnknowStruct->member8 = Param3
14 MOV DWORD PTR DS:[EAX+1C], ECX ;
// 此处指令我们可以翻译为:
// MOV ECX, DWORD PTR SS:[ESP+14]
// 含义: 把当前堆栈顶向下偏移14h处的值赋给ECX,也就是该函数的第4个参数
15 MOV ECX, DWORD PTR SS:[EBP+14] ;
// 含义:把参数3传给某结构的第9个成员变量
// 16的汇编指令对应的C语言为: pUnknowStruct->member9 = Param4
16 MOV DWORD PTR DS:[EAX+20], ECX ;
// 此处指令我们可以翻译为:
// MOV ECX, DWORD PTR SS:[ESP+18]
// 含义: 把当前堆栈顶向下偏移18h处的值赋给ECX,也就是该函数的第5个参数
17 MOV ECX, DWORD PTR SS:[EBP+18] ;
// 含义:把EDX的数值赋给某结构的第6个成员变量
// 18的汇编指令对应的C语言为: pUnknowStruct->member6 = 0
