1. 项目概述为什么逆向工程师必须啃下虚函数与数组这两块硬骨头干了这么多年Windows逆向我越来越觉得虚函数和数组这两个概念就像是你工具箱里的螺丝刀和扳手——看起来基础但真要玩得转能让你在分析程序时省下大把力气。很多刚入行的朋友一上来就奔着各种花哨的Hook框架、动态调试技巧去结果在分析一个稍微复杂点的C程序时面对一堆看似杂乱的内存访问和函数调用直接就懵了。问题的根源往往就出在对这两个底层机制的理解不够透彻。简单来说虚函数是C实现多态的核心它决定了程序在运行时如何动态地调用正确的函数。在逆向中你不理解虚函数表vtable的布局和寻址方式就根本看不懂一个对象的方法调用流程更别提去Hook或者修改它了。而数组则是数据在内存中最常见、最基础的组织形式。无论是全局变量数组、局部数组还是作为类成员的对象数组它们在内存中的排列、访问方式尤其是通过指针的偏移访问直接关系到你能否准确地定位关键数据、理解程序的数据流。这次我们不谈那些空中楼阁的理论就从最底层的汇编指令和内存布局出发结合实际的逆向案例把虚函数和数组的里里外外扒个干净。目标是让你看完之后再面对IDA里那些mov eax, [ecx]、call dword ptr [eax4]之类的指令时能立刻反应过来“哦这是在访问虚函数表”或者看到[ebpvar_10]被循环递增访问时能意识到“这大概率在遍历一个局部数组”。掌握了这些你分析程序的效率会提升一个数量级。2. 核心原理拆解从编译器视角看内存布局2.1 虚函数表vtable的诞生与内存寻址很多人知道虚函数表但未必清楚它具体是怎么来的。当你写下一个带有virtual关键字的类时编译器就在背后默默干活了。它首先会为这个类生成一张虚函数表这张表本质上就是一个函数指针数组存放在程序的只读数据段通常是.rdata。表中的每一项都指向该类的一个虚函数的具体实现地址。关键来了这个类的每一个对象实例在其内存布局的最开头通常偏移0的位置都会包含一个隐藏的成员——一个指向该类虚函数表的指针我们常称之为__vfptr。这一点在逆向中至关重要因为它是你识别C对象和定位其方法的黄金线索。我们来看一段最经典的汇编场景。假设有一个Animal*指针pAnimal指向某个对象我们调用pAnimal-Speak()。// C 源码 class Animal { public: virtual void Speak() 0; }; class Dog : public Animal { public: void Speak() override { /* 汪汪汪 */ } }; Animal* pAnimal new Dog(); pAnimal-Speak(); // 关键调用对应的x86汇编可能长这样; 假设 pAnimal 的值已经在 ecx 寄存器中 (this指针传递约定) mov eax, [ecx] ; 第一步从对象首地址ecx取出虚表指针放入eax call dword ptr [eax] ; 第二步从虚表eax指向的内存的第一项取出函数地址并调用这两行汇编就是虚函数调用的“标准模板”。[ecx]取到的是Dog类的虚表地址[eax]取到的是Dog::Speak的函数地址。如果你在调试器里看到这个模式几乎可以百分百确定这是一个虚函数调用。实操心得在x64环境下由于调用约定不同this指针通常通过rcx寄存器传递但寻址模式本质相同mov rax, [rcx]-call qword ptr [rax]。记住这个模式能帮你快速在反汇编代码中定位到类的关键方法。2.2 数组在内存中的真实面貌与越界访问的陷阱数组的理解关键在于抛弃“它是一个整体”的抽象概念转而用“一段连续的内存空间”来看待它。声明int arr[10];编译器就是在栈上如果是局部变量预留了10 * sizeof(int)个连续字节。访问arr[i]编译器会将其翻译为数组基地址 i * sizeof(元素类型)。在汇编层面这就是一个简单的基址加变址寻址。int arr[10]; arr[3] 42; // 写入第4个元素对应的汇编可能类似lea eax, [ebparr] ; 获取数组arr的基地址放入eax mov dword ptr [eax0Ch], 2Ah ; 0Ch 3 * 4字节2Ah 42的十六进制这里[ebparr]是数组起始地址0Ch十进制12是偏移量因为每个int占4字节。避坑指南数组越界的逆向识别逆向时你经常需要判断一段内存操作是否安全。如果看到类似mov [base index*scale], value的指令其中index的值来源于外部输入如文件、网络且没有看到与数组边界如cmp index, 数组大小的比较指令这里就很可能存在一个缓冲区溢出漏洞。这是漏洞挖掘中的一个重要模式。2.3 当对象成为数组成员复合结构的内存解析这是把前两者结合起来的难点。当一个数组的元素是类对象时情况就复杂了。每个数组元素都是一个完整的对象包含它自己的数据成员和那个隐藏的虚表指针。考虑一个Animal* animals[5]指针数组和一个Dog dogs[5]对象数组的区别Animal* animals[5]数组里存放的是5个指针每个指针指向一个Animal或其子类对象。这些对象在内存中可能是不连续的。访问animals[i]-Speak()需要两次内存读取先读数组取指针再通过指针读虚表。Dog dogs[5]数组在内存中连续存放了5个完整的Dog对象。每个Dog对象开头都是一个指向Dog类虚表的指针。访问dogs[i].Speak()可以直接通过对象地址计算偏移来找到虚表指针。在逆向中你需要通过上下文来判断是哪种情况。如果看到对一个基地址进行固定步长等于对象大小的循环访问并在每次迭代中都从该地址取指针再调用那很可能是对象数组。如果步长是4或8指针大小那很可能是指针数组。3. 逆向实战在IDA与调试器中定位并分析理论说再多不如动手调一次。我们假设手头有一个没有符号表的Release版程序目标是通过逆向弄清楚它内部一个管理多个“怪物”对象并调用它们“攻击”方法的逻辑。3.1 静态分析IDA Pro寻找模式与建立假设首先用IDA打开二进制文件找到疑似管理逻辑的函数。识别循环与数组访问寻找带有循环结构的函数。关键指令是cmp、jge/jle循环条件判断以及add索引递增。例如mov [ebpvar_index], 0 ; 索引i初始化为0 jmp short loc_loop_start loc_loop_body: mov eax, [ebpvar_index] mov ecx, [ebplpObjectArray] ; 假设这是对象数组基址 mov edx, [ecxeax*4] ; 关键步长为4取指针。这很可能是一个指针数组。 ... ; 对edx对象指针进行操作 loc_loop_start: mov eax, [ebpvar_index] cmp eax, [ebparray_size] ; 与数组大小比较 jl short loc_loop_body ; 如果 i size继续循环这段代码强烈暗示了一个指针数组的遍历。[ecxeax*4]是经典模式基址ecx索引eax缩放因子432位系统指针大小。识别虚函数调用在循环体内找到对取出的指针如上面的edx的操作。如果紧接着看到mov eax, [edx] ; 从对象取虚表指针 mov ecx, edx ; 将对象指针作为this放入ecx call dword ptr [eax8] ; 调用虚表中偏移为8的函数那么这基本坐实了我们在遍历一个对象指针数组并对每个对象调用其虚表中第三个函数偏移0是第一个8是第三个假设函数指针为4字节。重建结构体根据分析我们可以在IDA的Structures窗口中新建一个结构体。比如我们可以先定义一个MonsterVTable里面根据call [eax0]、call [eax4]、call [eax8]来添加成员Attack、Move、GetHealth具体名字需要结合上下文猜。然后再定义一个Monster结构体第一个字段就是vtable*后面跟着可能的数据成员如坐标、血量等这需要分析对该对象指针的其他访问模式如mov eax, [edx4]可能是读血量。3.2 动态调试x64dbg/ Windbg验证假设与获取运行时信息静态分析建立了假设动态调试则是验证和获取具体信息的战场。下断点在刚才找到的循环体开始处或者那个关键的call dword ptr [eax8]指令上下断点。观察寄存器与内存当断点命中时查看ecx/rcxthis指针和eax/rax虚表指针寄存器的值。在内存窗口中跳转到eax的值所指向的地址。你应该能看到一连串的代码地址这就是虚函数表。记录下这些地址。跳转到ecx的值对象地址。开头的4或8个字节应该就是刚才看到的虚表指针。后面的内存则对应对象的成员变量。你可以尝试修改这些值比如血量看看游戏或程序行为是否改变来验证你的猜测。追踪数据流向上回溯看这个对象指针edx是从哪里来的。如果是从[ecxeax*4]来的那么ecx就是数组基址。在内存中查看这个基址你可能会看到一片连续存放的指针这就是那个对象指针数组。数一数有多少个有效的指针非空你就能知道当前“存活”的对象数量。修改与Hook理解了结构后你可以做更多事修改数据直接在内存取中修改怪物血量[对象地址偏移]为0实现“秒杀”。Hook函数找到虚表中某个函数的具体地址比如攻击函数用调试器或外部DLL注入代码将其替换为你自己的函数实现攻击力加倍、攻击特效修改等功能。注意事项动态调试时尤其是游戏可能会遇到反调试技术。常见的如IsDebuggerPresent、NtQueryInformationProcess检测或者定时检查代码完整性。你需要准备一些反反调试技巧或者寻找检测的代码并绕过它。此外在多线程程序中对象数组可能被锁保护直接修改可能导致崩溃需小心。4. 高级应用与漏洞挖掘模式掌握了基础我们可以看看这些知识在更高级场景下的应用。4.1 利用虚函数表进行安全检测绕过一些安全软件或游戏反作弊系统会检测关键函数的地址是否被修改Inline Hook。但它们检测的往往是导出函数或已知的函数地址。对于C程序内部大量通过虚函数表调用的方法检测起来成本很高。这就给了我们机会直接替换虚函数表中的指针。假设一个游戏的反作弊模块会检查Player::Update的函数头几个字节。但Update是通过虚表调用的。我们可以在游戏初始化、对象创建后找到玩家对象的虚表将其Update项替换为我们自己的函数地址。我们的函数在执行完自定义逻辑后再跳回原函数。由于调用方始终是通过虚表间接调用反作弊系统如果只监控直接调用很可能无法发现这种篡改。操作步骤动态定位到玩家对象的虚表指针。计算Update函数在虚表中的索引通过静态分析或测试确定。保存原函数地址。将虚表中对应项修改为我们的DetourFunction地址。在我们的函数里先执行自定义代码如无敌、加速再调用保存的原函数地址。4.2 数组越界读写漏洞的根源与利用这是漏洞挖掘中最常见的模式之一。逆向时要特别关注对数组的访问是否缺乏边界检查。漏洞模式代码逆向视角; 假设用户输入了 index存放在 edx 中 mov eax, [ebplpArray] ; 数组基址 mov ecx, [eaxedx*4] ; 读取 array[index]没有检查 index 是否 array_size ... ; 使用 ecx如果攻击者能控制edxindex让其等于或超过数组实际分配的元素个数那么[eaxedx*4]就会读到数组之后的内存。这可能造成信息泄露如果读操作可能读到栈上的返回地址、其他敏感变量。代码执行如果是写操作mov [eaxedx*4], value可能覆盖函数返回地址或虚表指针从而控制程序流程。挖掘技巧在逆向时对所有从外部输入网络包、文件、注册表转换而来的、用作数组索引的变量追踪其数据流。如果在其被使用前找不到与一个固定边界值进行比较的指令cmp index, size; jb/jl这里就存在一个潜在的高危漏洞点。4.3 逆向分析C标准库容器如vector现代C程序大量使用std::vector。逆向分析vector比原始数组复杂但原理相通。一个典型的vector在内存中通常包含三个指针或类似物_Myfirst指向数据块开始。_Mylast指向当前已使用数据的末尾。_Myend指向数据块容量的末尾。当你逆向看到对一个地址进行[baseindex*size]的访问并且这个base来自于一个结构体的第一个字段同时这个结构体附近还有两个指针分别指向basesize*capacity和basesize*count的区域那么你很可能遇到了一个vector。分析vector的push_back操作你会看到它检查_Mylast是否等于_Myend判断是否需要扩容然后写入数据最后递增_Mylast。理解了这个布局你就能像分析原始数组一样分析vector内部的数据了。5. 工具链与实用脚本技巧工欲善其事必先利其器。除了IDA和调试器一些脚本和插件能极大提升效率。IDA Python 脚本辅助分析自动识别虚函数调用可以写脚本扫描所有函数寻找mov reg, [reg]后接call [regoffset]的模式并自动注释提示可能是虚函数调用以及虚表偏移。重建类结构对于已识别出虚表的类脚本可以遍历所有对该类对象指针的访问如mov eax, [edx4]统计偏移量帮你推测类成员变量的布局和大小。调试器脚本Windbg/PyKD遍历对象数组当断在管理循环时可以写脚本自动读取数组基址和大小遍历所有对象指针并打印每个对象的虚表地址和关键成员值快速获取全场对象信息。监控虚表修改对虚表指针所在的内存页设置硬件写入断点一旦游戏或模块试图修改虚表可能是反作弊或动态更新调试器能立即中断帮你分析其行为。自定义结构体与签名在IDA中为你逆向出的常见类如Player,Monster,Item创建详细的结构体。下次分析新版本或类似程序时可以直接应用这些结构体或者制作签名FLIRT让IDA自动识别节省大量重复劳动。6. 疑难杂症与典型问题排查在实际逆向中你肯定会遇到各种奇怪的问题。这里记录几个我踩过的坑。问题1调试时对象指针有效但访问虚表时崩溃。可能原因1对象已被释放悬垂指针。对象所在的记忆体已被释放归还给系统但管理数组的指针未被及时置空。再次通过该指针访问就会崩溃。排查方法是检查在调用前该指针所指向的内存区域是否还是可读的例如在调试器中尝试读取该地址的前几个字节。可能原因2虚表指针被破坏。可能由于缓冲区溢出等原因对象开头的虚表指针被意外数据覆盖。检查对象地址起始处的值是否还是一个合法的代码段地址。排查技巧在崩溃的指令处记录下this指针的值。然后向上回溯看这个指针是在哪里被放入数组或传递给当前函数的。检查整个生命周期看是否有过早释放的可能。问题2静态分析看到的虚表偏移和动态调试时对不上。可能原因Release构建的优化。编译器可能会进行“空基类优化”或“尾部填充优化”导致类布局发生变化。特别是涉及多重继承时子类对象内部可能包含多个虚表指针。解决方案不要完全依赖静态分析。以动态调试时观察到的内存布局为准。在IDA中可以根据调试结果手动调整结构体的定义。对于多重继承记住子类对象包含多个父类子对象每个有虚函数的父类子对象都有自己的虚表指针它们在该子类对象中按继承顺序排列。问题3遍历数组的循环边界检查看起来很复杂难以确定数组大小。可能原因数组大小可能不是简单的局部变量而是从全局配置、对象成员、甚至通过函数调用获取。排查技巧在循环的cmp或test指令处下断点。观察与索引进行比较的值是什么它来自哪里。然后通过调试器的回溯功能如Windbg的kb或IDA的交叉引用Xref去查看这个值是如何被计算和设置的。有时数组大小是动态分配的保存在堆上的某个结构体中。逆向工程就像侦探工作虚函数和数组就是最基本的现场痕迹。理解它们你就能从一堆冰冷的机器码中重建出程序运行时的生动图景。这个过程没有捷径就是多看、多调、多思考。每一次成功的分析都会让你对Windows程序的理解加深一分。最后记住在修改任何内存或代码前一定要在备份的环境或副本中进行并做好崩溃的准备——这行当里把程序调崩是家常便饭也是学习的一部分。
逆向工程核心：虚函数与数组内存布局深度解析
发布时间：2026/7/7 19:49:32
1. 项目概述为什么逆向工程师必须啃下虚函数与数组这两块硬骨头干了这么多年Windows逆向我越来越觉得虚函数和数组这两个概念就像是你工具箱里的螺丝刀和扳手——看起来基础但真要玩得转能让你在分析程序时省下大把力气。很多刚入行的朋友一上来就奔着各种花哨的Hook框架、动态调试技巧去结果在分析一个稍微复杂点的C程序时面对一堆看似杂乱的内存访问和函数调用直接就懵了。问题的根源往往就出在对这两个底层机制的理解不够透彻。简单来说虚函数是C实现多态的核心它决定了程序在运行时如何动态地调用正确的函数。在逆向中你不理解虚函数表vtable的布局和寻址方式就根本看不懂一个对象的方法调用流程更别提去Hook或者修改它了。而数组则是数据在内存中最常见、最基础的组织形式。无论是全局变量数组、局部数组还是作为类成员的对象数组它们在内存中的排列、访问方式尤其是通过指针的偏移访问直接关系到你能否准确地定位关键数据、理解程序的数据流。这次我们不谈那些空中楼阁的理论就从最底层的汇编指令和内存布局出发结合实际的逆向案例把虚函数和数组的里里外外扒个干净。目标是让你看完之后再面对IDA里那些mov eax, [ecx]、call dword ptr [eax4]之类的指令时能立刻反应过来“哦这是在访问虚函数表”或者看到[ebpvar_10]被循环递增访问时能意识到“这大概率在遍历一个局部数组”。掌握了这些你分析程序的效率会提升一个数量级。2. 核心原理拆解从编译器视角看内存布局2.1 虚函数表vtable的诞生与内存寻址很多人知道虚函数表但未必清楚它具体是怎么来的。当你写下一个带有virtual关键字的类时编译器就在背后默默干活了。它首先会为这个类生成一张虚函数表这张表本质上就是一个函数指针数组存放在程序的只读数据段通常是.rdata。表中的每一项都指向该类的一个虚函数的具体实现地址。关键来了这个类的每一个对象实例在其内存布局的最开头通常偏移0的位置都会包含一个隐藏的成员——一个指向该类虚函数表的指针我们常称之为__vfptr。这一点在逆向中至关重要因为它是你识别C对象和定位其方法的黄金线索。我们来看一段最经典的汇编场景。假设有一个Animal*指针pAnimal指向某个对象我们调用pAnimal-Speak()。// C 源码 class Animal { public: virtual void Speak() 0; }; class Dog : public Animal { public: void Speak() override { /* 汪汪汪 */ } }; Animal* pAnimal new Dog(); pAnimal-Speak(); // 关键调用对应的x86汇编可能长这样; 假设 pAnimal 的值已经在 ecx 寄存器中 (this指针传递约定) mov eax, [ecx] ; 第一步从对象首地址ecx取出虚表指针放入eax call dword ptr [eax] ; 第二步从虚表eax指向的内存的第一项取出函数地址并调用这两行汇编就是虚函数调用的“标准模板”。[ecx]取到的是Dog类的虚表地址[eax]取到的是Dog::Speak的函数地址。如果你在调试器里看到这个模式几乎可以百分百确定这是一个虚函数调用。实操心得在x64环境下由于调用约定不同this指针通常通过rcx寄存器传递但寻址模式本质相同mov rax, [rcx]-call qword ptr [rax]。记住这个模式能帮你快速在反汇编代码中定位到类的关键方法。2.2 数组在内存中的真实面貌与越界访问的陷阱数组的理解关键在于抛弃“它是一个整体”的抽象概念转而用“一段连续的内存空间”来看待它。声明int arr[10];编译器就是在栈上如果是局部变量预留了10 * sizeof(int)个连续字节。访问arr[i]编译器会将其翻译为数组基地址 i * sizeof(元素类型)。在汇编层面这就是一个简单的基址加变址寻址。int arr[10]; arr[3] 42; // 写入第4个元素对应的汇编可能类似lea eax, [ebparr] ; 获取数组arr的基地址放入eax mov dword ptr [eax0Ch], 2Ah ; 0Ch 3 * 4字节2Ah 42的十六进制这里[ebparr]是数组起始地址0Ch十进制12是偏移量因为每个int占4字节。避坑指南数组越界的逆向识别逆向时你经常需要判断一段内存操作是否安全。如果看到类似mov [base index*scale], value的指令其中index的值来源于外部输入如文件、网络且没有看到与数组边界如cmp index, 数组大小的比较指令这里就很可能存在一个缓冲区溢出漏洞。这是漏洞挖掘中的一个重要模式。2.3 当对象成为数组成员复合结构的内存解析这是把前两者结合起来的难点。当一个数组的元素是类对象时情况就复杂了。每个数组元素都是一个完整的对象包含它自己的数据成员和那个隐藏的虚表指针。考虑一个Animal* animals[5]指针数组和一个Dog dogs[5]对象数组的区别Animal* animals[5]数组里存放的是5个指针每个指针指向一个Animal或其子类对象。这些对象在内存中可能是不连续的。访问animals[i]-Speak()需要两次内存读取先读数组取指针再通过指针读虚表。Dog dogs[5]数组在内存中连续存放了5个完整的Dog对象。每个Dog对象开头都是一个指向Dog类虚表的指针。访问dogs[i].Speak()可以直接通过对象地址计算偏移来找到虚表指针。在逆向中你需要通过上下文来判断是哪种情况。如果看到对一个基地址进行固定步长等于对象大小的循环访问并在每次迭代中都从该地址取指针再调用那很可能是对象数组。如果步长是4或8指针大小那很可能是指针数组。3. 逆向实战在IDA与调试器中定位并分析理论说再多不如动手调一次。我们假设手头有一个没有符号表的Release版程序目标是通过逆向弄清楚它内部一个管理多个“怪物”对象并调用它们“攻击”方法的逻辑。3.1 静态分析IDA Pro寻找模式与建立假设首先用IDA打开二进制文件找到疑似管理逻辑的函数。识别循环与数组访问寻找带有循环结构的函数。关键指令是cmp、jge/jle循环条件判断以及add索引递增。例如mov [ebpvar_index], 0 ; 索引i初始化为0 jmp short loc_loop_start loc_loop_body: mov eax, [ebpvar_index] mov ecx, [ebplpObjectArray] ; 假设这是对象数组基址 mov edx, [ecxeax*4] ; 关键步长为4取指针。这很可能是一个指针数组。 ... ; 对edx对象指针进行操作 loc_loop_start: mov eax, [ebpvar_index] cmp eax, [ebparray_size] ; 与数组大小比较 jl short loc_loop_body ; 如果 i size继续循环这段代码强烈暗示了一个指针数组的遍历。[ecxeax*4]是经典模式基址ecx索引eax缩放因子432位系统指针大小。识别虚函数调用在循环体内找到对取出的指针如上面的edx的操作。如果紧接着看到mov eax, [edx] ; 从对象取虚表指针 mov ecx, edx ; 将对象指针作为this放入ecx call dword ptr [eax8] ; 调用虚表中偏移为8的函数那么这基本坐实了我们在遍历一个对象指针数组并对每个对象调用其虚表中第三个函数偏移0是第一个8是第三个假设函数指针为4字节。重建结构体根据分析我们可以在IDA的Structures窗口中新建一个结构体。比如我们可以先定义一个MonsterVTable里面根据call [eax0]、call [eax4]、call [eax8]来添加成员Attack、Move、GetHealth具体名字需要结合上下文猜。然后再定义一个Monster结构体第一个字段就是vtable*后面跟着可能的数据成员如坐标、血量等这需要分析对该对象指针的其他访问模式如mov eax, [edx4]可能是读血量。3.2 动态调试x64dbg/ Windbg验证假设与获取运行时信息静态分析建立了假设动态调试则是验证和获取具体信息的战场。下断点在刚才找到的循环体开始处或者那个关键的call dword ptr [eax8]指令上下断点。观察寄存器与内存当断点命中时查看ecx/rcxthis指针和eax/rax虚表指针寄存器的值。在内存窗口中跳转到eax的值所指向的地址。你应该能看到一连串的代码地址这就是虚函数表。记录下这些地址。跳转到ecx的值对象地址。开头的4或8个字节应该就是刚才看到的虚表指针。后面的内存则对应对象的成员变量。你可以尝试修改这些值比如血量看看游戏或程序行为是否改变来验证你的猜测。追踪数据流向上回溯看这个对象指针edx是从哪里来的。如果是从[ecxeax*4]来的那么ecx就是数组基址。在内存中查看这个基址你可能会看到一片连续存放的指针这就是那个对象指针数组。数一数有多少个有效的指针非空你就能知道当前“存活”的对象数量。修改与Hook理解了结构后你可以做更多事修改数据直接在内存取中修改怪物血量[对象地址偏移]为0实现“秒杀”。Hook函数找到虚表中某个函数的具体地址比如攻击函数用调试器或外部DLL注入代码将其替换为你自己的函数实现攻击力加倍、攻击特效修改等功能。注意事项动态调试时尤其是游戏可能会遇到反调试技术。常见的如IsDebuggerPresent、NtQueryInformationProcess检测或者定时检查代码完整性。你需要准备一些反反调试技巧或者寻找检测的代码并绕过它。此外在多线程程序中对象数组可能被锁保护直接修改可能导致崩溃需小心。4. 高级应用与漏洞挖掘模式掌握了基础我们可以看看这些知识在更高级场景下的应用。4.1 利用虚函数表进行安全检测绕过一些安全软件或游戏反作弊系统会检测关键函数的地址是否被修改Inline Hook。但它们检测的往往是导出函数或已知的函数地址。对于C程序内部大量通过虚函数表调用的方法检测起来成本很高。这就给了我们机会直接替换虚函数表中的指针。假设一个游戏的反作弊模块会检查Player::Update的函数头几个字节。但Update是通过虚表调用的。我们可以在游戏初始化、对象创建后找到玩家对象的虚表将其Update项替换为我们自己的函数地址。我们的函数在执行完自定义逻辑后再跳回原函数。由于调用方始终是通过虚表间接调用反作弊系统如果只监控直接调用很可能无法发现这种篡改。操作步骤动态定位到玩家对象的虚表指针。计算Update函数在虚表中的索引通过静态分析或测试确定。保存原函数地址。将虚表中对应项修改为我们的DetourFunction地址。在我们的函数里先执行自定义代码如无敌、加速再调用保存的原函数地址。4.2 数组越界读写漏洞的根源与利用这是漏洞挖掘中最常见的模式之一。逆向时要特别关注对数组的访问是否缺乏边界检查。漏洞模式代码逆向视角; 假设用户输入了 index存放在 edx 中 mov eax, [ebplpArray] ; 数组基址 mov ecx, [eaxedx*4] ; 读取 array[index]没有检查 index 是否 array_size ... ; 使用 ecx如果攻击者能控制edxindex让其等于或超过数组实际分配的元素个数那么[eaxedx*4]就会读到数组之后的内存。这可能造成信息泄露如果读操作可能读到栈上的返回地址、其他敏感变量。代码执行如果是写操作mov [eaxedx*4], value可能覆盖函数返回地址或虚表指针从而控制程序流程。挖掘技巧在逆向时对所有从外部输入网络包、文件、注册表转换而来的、用作数组索引的变量追踪其数据流。如果在其被使用前找不到与一个固定边界值进行比较的指令cmp index, size; jb/jl这里就存在一个潜在的高危漏洞点。4.3 逆向分析C标准库容器如vector现代C程序大量使用std::vector。逆向分析vector比原始数组复杂但原理相通。一个典型的vector在内存中通常包含三个指针或类似物_Myfirst指向数据块开始。_Mylast指向当前已使用数据的末尾。_Myend指向数据块容量的末尾。当你逆向看到对一个地址进行[baseindex*size]的访问并且这个base来自于一个结构体的第一个字段同时这个结构体附近还有两个指针分别指向basesize*capacity和basesize*count的区域那么你很可能遇到了一个vector。分析vector的push_back操作你会看到它检查_Mylast是否等于_Myend判断是否需要扩容然后写入数据最后递增_Mylast。理解了这个布局你就能像分析原始数组一样分析vector内部的数据了。5. 工具链与实用脚本技巧工欲善其事必先利其器。除了IDA和调试器一些脚本和插件能极大提升效率。IDA Python 脚本辅助分析自动识别虚函数调用可以写脚本扫描所有函数寻找mov reg, [reg]后接call [regoffset]的模式并自动注释提示可能是虚函数调用以及虚表偏移。重建类结构对于已识别出虚表的类脚本可以遍历所有对该类对象指针的访问如mov eax, [edx4]统计偏移量帮你推测类成员变量的布局和大小。调试器脚本Windbg/PyKD遍历对象数组当断在管理循环时可以写脚本自动读取数组基址和大小遍历所有对象指针并打印每个对象的虚表地址和关键成员值快速获取全场对象信息。监控虚表修改对虚表指针所在的内存页设置硬件写入断点一旦游戏或模块试图修改虚表可能是反作弊或动态更新调试器能立即中断帮你分析其行为。自定义结构体与签名在IDA中为你逆向出的常见类如Player,Monster,Item创建详细的结构体。下次分析新版本或类似程序时可以直接应用这些结构体或者制作签名FLIRT让IDA自动识别节省大量重复劳动。6. 疑难杂症与典型问题排查在实际逆向中你肯定会遇到各种奇怪的问题。这里记录几个我踩过的坑。问题1调试时对象指针有效但访问虚表时崩溃。可能原因1对象已被释放悬垂指针。对象所在的记忆体已被释放归还给系统但管理数组的指针未被及时置空。再次通过该指针访问就会崩溃。排查方法是检查在调用前该指针所指向的内存区域是否还是可读的例如在调试器中尝试读取该地址的前几个字节。可能原因2虚表指针被破坏。可能由于缓冲区溢出等原因对象开头的虚表指针被意外数据覆盖。检查对象地址起始处的值是否还是一个合法的代码段地址。排查技巧在崩溃的指令处记录下this指针的值。然后向上回溯看这个指针是在哪里被放入数组或传递给当前函数的。检查整个生命周期看是否有过早释放的可能。问题2静态分析看到的虚表偏移和动态调试时对不上。可能原因Release构建的优化。编译器可能会进行“空基类优化”或“尾部填充优化”导致类布局发生变化。特别是涉及多重继承时子类对象内部可能包含多个虚表指针。解决方案不要完全依赖静态分析。以动态调试时观察到的内存布局为准。在IDA中可以根据调试结果手动调整结构体的定义。对于多重继承记住子类对象包含多个父类子对象每个有虚函数的父类子对象都有自己的虚表指针它们在该子类对象中按继承顺序排列。问题3遍历数组的循环边界检查看起来很复杂难以确定数组大小。可能原因数组大小可能不是简单的局部变量而是从全局配置、对象成员、甚至通过函数调用获取。排查技巧在循环的cmp或test指令处下断点。观察与索引进行比较的值是什么它来自哪里。然后通过调试器的回溯功能如Windbg的kb或IDA的交叉引用Xref去查看这个值是如何被计算和设置的。有时数组大小是动态分配的保存在堆上的某个结构体中。逆向工程就像侦探工作虚函数和数组就是最基本的现场痕迹。理解它们你就能从一堆冰冷的机器码中重建出程序运行时的生动图景。这个过程没有捷径就是多看、多调、多思考。每一次成功的分析都会让你对Windows程序的理解加深一分。最后记住在修改任何内存或代码前一定要在备份的环境或副本中进行并做好崩溃的准备——这行当里把程序调崩是家常便饭也是学习的一部分。
 获取与实战)
