Извлечение макета памяти объектов без отладки запущенной программы?

Question

Я работаю над программой обратного проектирования. Я использую IDA Pro и Decompiler Hex-Rays. Я сталкиваюсь с кусками кода, где я знаю, что есть объект, и есть вызов метода на объекте, но он показан так, как я не могу понять. Например:

if ((*(*interfacePtr + 24))(interfacePtr, &v23) >= 0) 

Я знаю здесь, что interfacePtr указывает на объект ICLRRuntimeHost. (C++, .NET CLR). Однако ... я понятия не имею, что есть на * (* interfacePtr + 24). Я могу сказать, что это метод, но как мне понять, что сидит на +24?

Answer 1

vtable класса - это просто список указателей на функции. Он содержит один указатель для каждой виртуальной функции, в порядке: очень, очень верхний базовый класс, следующий базовый класс, подкласс этого. , , самый производный класс.

Пример:

struct A { 
    virtual ~A() {} 
    virtual void foo() = 0; 
} 
struct B : public A { 
    virtual void foo() { // do something } 
    virtual void bar() { // do something else } 
} 

виртуальные таблицы для B будет содержать, в следующем порядке:

• ~ A
• Foo
• бар

(те, для A должны быть первыми, так что одна и та же vtable может быть u sed по частям кода, которые имеют указатель типа A к этому объекту; этот код не знает, что базовый объект действительно B.)

Если вы ищете 32-разрядный источник, указатели составляют 4 байта, поэтому 24 = 4 * 6, вы смотрите на 7-й виртуальный функция (индекс начинается с 0). Если вы на 64-битном, указатели составляют 8 байтов, поэтому 24 = 8 * 3, и вы ищете 4-й. Фактически, я не использовал функциональность IDA «конвертировать в C++», поэтому, возможно, 24 фактически является 24-й записью в таблице.

Простой способ подтверждения: написать свою собственную программу. Объявите переменную типа ICLRRuntimeHost. Вызовите функцию, которую вы подозреваете (основываясь на просмотре файла заголовка и подсчете до 7 или 4, в зависимости от битности или 24, если я неправильно понял ваш пример). Посмотрите на сгенерированный код сборки и убедитесь, что ваш индекс прав. (Я всегда выключен один на такого рода вещи, так что это обеспечит проверку.)

Answer 2

Посмотрите определения ICLRRuntimeHostVtbl и ICLRRuntimeHostVtbl в mscoree.h

примерно переводится на что-то hexrays бы понять, они выглядят следующим образом:

struct ICLRRuntimeHost { 
    ICLRRuntimeHostVtbl *vtbl; 
}; 
struct ICLRRuntimeHostVtbl { 
    _DWORD (*QueryInterface)(ICLRRuntimeHost*, _DWORD*, void**); 
    _DWORD (*AddRef)(ICLRRuntimeHost*); 
    _DWORD (*Release)(ICLRRuntimeHost*); 
    _DWORD (*Start)(ICLRRuntimeHost*); 
    _DWORD (*Stop)(ICLRRuntimeHost*); 
    _DWORD (*SetHostControl)(ICLRRuntimeHost*, void*); 
    _DWORD (*GetCLRControl)(ICLRRuntimeHost*, void**); 
}; 

Ваша переменная interfacePtr должна иметь тип: ICLRRuntimeHost, то ваш код должен декомпилировать так:

interfacePtr->GetCLRControl(&v23);