孤注一掷

  博客园  :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

在逆向C++目标时,我们有时候可能会关注一个V表中到底有多少个虚函数。

这种细节大概多半是与编译器实现相关。

为了弄清楚这个问题,我在VS2008下写了一个简单的测试程序来探求这个问题的答案。

下面是C++的测试程序源码:

class IBox {
public:
    virtual void f1() = 0;
    virtual void f2() = 0;
    virtual void f3() = 0;
    virtual void f4() = 0;
};

class Box : public IBox {
protected:
    int id;
public:
    Box() {
        id = 0;
    }
    Box(int boxId) {
        id = boxId;
    }
    Box(Box const& box) {
        id = box.id;
    }
public:
    virtual void f1() {
        printf("f1: %d\n", id);
    }
    virtual void f2() {
        printf("f2: %d\n", id);
    }
    virtual void f3() {
        printf("f3: %d\n", id);
    }
    virtual void f4() {
        printf("f4: %d\n", id);
    }
};

上面例子中,在IBox中依次定义了4个虚函数,分别为f1, f2, f3, f4

我将使用Windbg调试器进行测试。

测试过程分为次4次测试,每次测试调整虚函数数量为:

no1: vtbl: f1

no2: vtbl: f1 f2

no3: vtbl: f1 f2 f3

no4: vtbl: f1 f2 f3 f4

每次测试又包括了Debug和Release版本,下面是实际上的V表输出:

no1 /debug:

     00df1023 00000000 00000000 00000000

no1 /release:

     011b1000 00000048 00000000 00000000

no2 /debug:

     00c41023 00c4119a 00000000 00000000

no2 /release:

     00d21000 00d21020 00000048 00000000

no3 /debug:

     00321023 00321230 0032122b 00000000

no3 /release:

     011d1000 011d1020 011d1040 00000048

no4 /debug:

     00a81023 00a8119a 00a81226 00a81221

     00000000 005f005f 0061006e 00690074

no4 /release:

     011b1000 011b1020 011b1040 011b1060

     00000000 00000048 00000000 00000000

总结:

相信上面的结果已经一目了然了。我们可以得出初步结论:

在Debug下V表是以0结束;而在Release下V表是48结束。

对于其它类型的编译器,例如VC8,VC6或者G++而言,大家可以自行测试。

通过以上结论,我们可以容易得定位出一个V表到底有多少个虚函数!

posted on 2013-01-06 22:54  孤注一掷  阅读(342)  评论(0编辑  收藏  举报