逆向 stdio.h 函数库 fseek 函数(调试版本)
0x01 fseek 函数
- 函数原型:
int fseek(FILE *stream, long int offset, int whence)
- 函数功能:设置流
stream
的文件位置为给定的偏移offset
,参数offset
意味着从给定的whence
位置查找的字节数 - 动态链接库:
ucrtbased.dll
- C\C++ 实现:
#define _CRT_SECURE_NO_WARNINGS // 抛弃安全警告
#include <stdio.h>
#include <string.h>
int main()
{
FILE* fp;
fp = fopen("D:\\1.txt", "w+");
fputs("This is runoob.com", fp);
fseek(fp, 7, SEEK_SET);
fputs(" C Programming Langauge", fp);
fclose(fp);
return(0);
}
- 上述程序的功能主要是打开
D:\1.txt
文件,之后调整文件流的偏移,最后关闭文件 - 调试工具:
x32dbg
调试器 - 逆向分析:首先利用定位字符串的方式找到
fseek
函数
fseek
(一级函数)中调用了两个子函数:ucrtbased.sub_625FF510
负责将传入的参数一(文件句柄)赋值到局部变量[ebp-4]
中,之后压入文件句柄调用ucrtbased.sub_6261C940
ucrtbased.sub_6261C940
(二级函数)函数内部首先判断传入的第一个参数(文件句柄)是否存在,不存在的话就调用_CrtDbgReportW
和_error
进行错误处理
- 之后判断传入的第四个参数(
SEEK_SET
)是否为0、1、2
中的一个
SEEK_SET: 文件开头 0
SEEK_CUR: 当前位置 1
SEEK_END: 文件结尾 2
- 然后调用
ucrtbased.sub_ 625EC550
获取文件句柄,文件句柄的类型为FILE
。紧接着调用_lock_file
锁住文件。既然锁住了文件,那么肯定要解锁文件,如图所示:解锁文件的函数_unlock_file
在结尾处调用
- 最后压入参数调用
ucrtbased.sub_6261CCE0
(三级函数),参数如下图注释所示
- 进入
ucrtbased.sub_6261CCE0
(三级函数) 函数单步调试:首先会调用ucrtbased.sub_62616B10
和ucrtbased.sub_626168F0
对_flag
进行判断
- 注:
_flag
是_iobuf
结构体的成员,而FILE
结构体指针指向的原型就是_iobuf
。结构体示意图如下图所示:
ucrtbased.sub_62616B10
:判断(_flag & 2000
)是否大于0
,若等于0
,则函数直接返回。因为查阅不到_flag
成员的有关资料,所以暂时不知道这一步操作是什么目的
ucrtbased.sub_626168F0
判断方式:先循环比较_flag
和(_flag & FFFFFFF7)
是否相等,然后比较_flag & 8
是否等于0
。这里有两个bug
,假如_flag
为204e
的话,就变成死循环了。而且通过观察ucrtbased.sub_626168F0
的返回值,发现没有对返回值做任何处理,也就是说这个判断_flag
的函数没有任何作用
- 然后压入 4 个参数后,调用
ucrtbased.sub_6261CB00
(四级函数)
- 进入
ucrtbased.sub_6261CB00
(四级函数)函数进行分析:首先这个函数判断传入的第四个参数(SEEK_SET
)是否为指向文件结尾,如果指向文件结尾此函数返回0
,之后调用ucrtbased.sub_62615130
和ucrtbased.sub_62615150
对 _flag 进行判断
- 注
ucrtbased.sub_62615130
的判断方式:(_flag & 4c0
) 是否等于0
,若不等于0
,返回1
ucrtbased.sub_62615150
的判断方式:在 (_flag & 4c0
) 是不等于0
的前提下判断 (_flag & 6
) 是否等于0
,若不等于0
,返回1
ucrtbased.sub_62615150
判断完成之后直接清空eax
,ucrtbased.sub_6261CB00
(四级函数)返回
- 返回之后判断传入的第四个参数(
SEEK_SET
)是否为当前文件位置,由于不是当前文件位置,故发生了跳转
- 之后调用
ucrtbased.sub_625EC550
获取文件句柄,把文件句柄做为参数压入,接着调用ucrtbased.sub_62619070
ucrtbased.sub_62619070
(四级函数) 这个函数主要是对_iobuf->cnt
和_iobuf->*_ptr
进行操作,进入这个函数看看:首先会调用ucrtbased.sub_625FF510
将文件句柄赋值到局部变量[ebp-4]
当中,接着调用ucrtbased.sub_62615070
将取出_iobuf->_flag
取出
- 注:
ucrtbased.sub_62619010
是对_iobuf->_flag
进行判断
- 判断方式:
if((_flag & 3 == 2) && (_flag & C0 == 0))
{
return 1;
}
else
{
return 0;
}
- 判断完成之后,将
_iobuf->*_ptr - _iobuf->_cnt
,
- 接着调用
ucrtbased.sub_62618EA0
,该函数的主要功能:_iobuf->*ptr = iobuf->cnt
,并将_iobuf->*_base
赋值为0
- 之后在
_iobuf->*ptr - _iobuf->_cnt
大于0
的前提下调用_fileno
和_write
函数
- 之后再判断写入的字节和
_iobuf->*ptr - _iobuf->_cnt
相等的前提下调用ucrtbased.sub_62618FA0
,该函数的主要功能就是判断_iobuf->_flag & 4
和4
是否相等,eax
返回1
表示相等
- 最后调用
ucrtbased.sub_62618FA0
判断_flag & 8
是否等于0
,ucrtbased.sub_62619070
(四级函数)返回0
- 接着向下调试,发现会将
_iobuf->*ptr
赋值为iobuf->cnt
,_iobuf->*_base
设置为0
,并且判断_iobuf->flag & 4
和4
是否相等, 再相等的前提下判断_flag & 8
是否为0
- 最后调用
ucrtbased.sub_62619070
(四级函数)
- 进入这个函数看看:首先会使用
_get_osfhandle
检索与指定文件描述符关联的操作系统文件句柄,如果函数调用失败则进入错误处理
- 之后调用
ucrtbased.sub_62619070
- 这个函数的功能是利用
SetFilePointerEx
函数移动指定文件的文件指针,并配合GetLastError
函数进行错误处理 - 接着将返回值放入局部变量中
- 最后返回
- 在
ucrtbased.sub_6261ccE0
的结尾对这两个返回值进行比较,如图所示跳转实现,故返回值为0
- 最后使用
_unlock_file
对文件进行解锁,fseek
函数调用结束
逆向 stdio.h 库的
fseek
函数到此结束,如有错误,欢迎指正
逆向 stdio.h 函数库 fseek 函数(调试版本)的更多相关文章
- 逆向 stdio.h 函数库 fwrite 函数(调试版本)
0x01 fwrite 函数 函数原型: size_t fwrite(const void *ptr, size_t size, size_t nmemb, FILE *stream) 函数功能:把 ...
- 逆向 stdio.h 函数库 fopen 函数(调试版本)
0x01 fopen 函数 函数原型:FILE *fopen(const char *filename, const char *mode) 返回值为 FILE 类型 函数功能:使用给定的模式 mod ...
- php使用file函数、fseek函数读取大文件效率分析
php读取大文件可以使用file函数和fseek函数,但是二者之间效率可能存在差异,本文章向大家介绍php file函数与fseek函数实现大文件读取效率对比分析,需要的朋友可以参考一下. 1. 直接 ...
- 走进C标准库(2)——"stdio.h"中的fopen函数
其他的库文件看起来没有什么实现层面的知识可以探究的,所以,直接来看stdio.h. 1.茶余饭后的杂谈,有趣的历史 在过去的几十年中,独立于设备的输入输出模型得到了飞速的发展,标准C从这个改善的模型中 ...
- strtok()函数、fseek()函数、fwrite()函数、fread()函数的使用
在电子词典这个项目过程中遇到了几个主要的问题,第一个是怎么解决把翻译分开这个.第二个事情就是怎么把结构体写到文件中.这两个问题,一个是关于字符串的操作一个是关于文件的操作. strtok函数 char ...
- python函数库及函数标准库
一.系统库提供的内部函数 字符函数库: 1)str.islower() :字符串是否全部是小写 2)str.isspace() :字符串是否为空 3)help(str):查询字符串函数库 4)str. ...
- C函数库stdio.h概况
库变量 size_t 这是无符号整数类型,它是 sizeof 关键字的结果. FILE 这是一个适合存储文件流信息的对象类型. fpos_t 这是一个适合存储文件中任何位置的对象类 ...
- C语言函数库
C语言函数库 分类函数目录函数进程函数诊断函数接口子程序输入输出 str字符串操作函数mem操作存贮数组 数学函数 时间日期函数 转换函数 分类函数,所在函数库为ctype.h[top] int is ...
- C 标准库 - <stdio.h>
一般地,在C语言或C++中,会把用来#include的文件的扩展名叫 .h,称其为头文件. #include文件的目的就是把多个编译单元(也就是c或者cpp文件)公用的内容,单独放在一个文件里减少整体 ...
随机推荐
- docker swarm模式跨主机连接
一.前言 当我们开发好微服务之后,考虑到灵活快速持续部署的需要,通常会考虑将其Docker镜像化并在Docker环境下运行.由于微服务个数通常会较多,把所有微服务部署在一台docker主机上是不现实的 ...
- [HEOI2014] 人人尽说江南好
[HEOI2014] 人人尽说江南好 题目大意:一个博弈游戏,地上\(n\)堆石子,每堆石子有\(1\)个,每次可以合并任意两个石子堆\(a,b\),要求\(a + b \leq m\),问先手赢还是 ...
- 【图像处理】OpenCV+Python图像处理入门教程(五)阈值处理
这篇随笔介绍使用OpenCV进行图像处理的第五章 阈值处理. 5 阈值处理 阈值是指像素到达某临界值.阈值处理表示像素到达某临界值后,对该像素点进行操作和处理. 例如:设定一幅图像素阈值为200,则 ...
- Java 树结构实际应用 四(平衡二叉树/AVL树)
平衡二叉树(AVL 树) 1 看一个案例(说明二叉排序树可能的问题) 给你一个数列{1,2,3,4,5,6},要求创建一颗二叉排序树(BST), 并分析问题所在. 左边 BST 存在的问题分析: ...
- 翻译:《实用的Python编程》06_02_Customizing_iteration
目录 | 上一节 (6.1 迭代协议) | 下一节 (6.3 生产者/消费者) 6.2 自定义迭代 本节探究如何使用生成器函数自定义迭代. 问题 假设你想要自定义迭代模式. 例如:倒数: >&g ...
- Java之继承和抽象类
继承 继承的实现 继承通过extends实现 格式:class 子类 extends 父类 { } 举例:class Dog extends Animal { } 继承带来的好处 继承可以让类与类 ...
- Android Studio中Switch控件有关 textOn 和 textOff 用法
•属性 textOn:控件打开时显示的文字 textOff:控件关闭时显示的文字 showText:设置是否显示开关上的文字(API 21及以上) •用法 <?xml version=" ...
- Java学习之this关键字的使用
•区分成员变量和局部变量 public class Person { String name; int age; public void set(String name,int age) { this ...
- [模拟]P1047 校门外的树
校门外的树 题目描述 某校大门外长度为L的马路上有一排树,每两棵相邻的树之间的间隔都是1米.我们可以把马路看成一个数轴,马路的一端在数轴0的位置,另一端在L的位置:数轴上的每个整数点,即0,1,2,- ...
- (数据科学学习手札116)Python+Dash快速web应用开发——交互表格篇(中)
本文示例代码已上传至我的Github仓库https://github.com/CNFeffery/DataScienceStudyNotes 1 简介 这是我的系列教程Python+Dash快速web ...