0

Пытаюсь восстановить функцию - не имея исходного кода, в псевдо-коде она выглядит следующим образом:

 int __thiscall sub_200D7CE0(int this, int a2)
{
  int v3; // [sp+8h] [bp-10h]@1
  int v4; // [sp+14h] [bp-4h]@1

  sub_200D6990(this, a2);
  v4 = 0;
  *(_DWORD *)a2 = &off_2054182C;
  *(_DWORD *)(a2 + 16) = 128;
  *(_DWORD *)(a2 + 20) = 0;
  FName__FName(&v3, L"packageeffects.a_u000_1", 1);
  *(_DWORD *)(a2 + 48) = v3;
  *(_DWORD *)(a2 + 64) = 2;
  *(_DWORD *)(a2 + 56) = 1;
  *(_DWORD *)(a2 + 72) = 1;
  return a2;
}

Я пытался описать этот метод следующим образом:

  typedef struct
{
    void **sub_200D6990; // 0-4 
    int v4;//4-8
    char a2_16[60];
    int a2_64;
    char a2_68_76[12];
    int a2_80;
} hookedEffectApply_class;

  typedef int(__stdcall *EffectApply) (int unkA2);
EffectApply FEffectApply = nullptr;
int __stdcall EffectApply_hookNew(int unkA2)
{
hookedEffectApply_class *T;
__asm{mov T, ecx};
}

Как видно из псевдо кода, в начале метода идет вызов на функцию sub_200D6990,
которая обрабатывает значение a2, как это необходимо представить ?.

К примеру я представил класс hookedEffectApply_class и поместил на него указатель с содержимого ecx, и внутри я описал void sub_200D6990 но использовать такой void я не могу, т.е поместить в него я ничего не могу(да и он вроде бы не является - вызовом самого метода), как нужно его далее правильно вызвать ? Как это должно выглядеть ?

После этого void'a идут несколько других вызовов функций, которые меня не так сильно интересуют.
Но наибольший интерес у меня вызывает - функция FName__FName(&v3, L"packageeffects.a_u000_1", 1); ,которая как я понял указывает на указатель в VFTable, вызывающий метод public: __thiscall FName::FName(wchar_t const *, enum EFindName),
меня очень интересует - как правильно следует вызвать этот метод, так чтобы в него можно было поместить новые значения.

P.S. Если я что то не понятно описал - прошу укажите где и что, так же приведу код из ASM

    .text:200D7CE0 sub_200D7CE0    proc near               ; CODE XREF: APawn::UpdateAbnormalState(float)+12E4p
.text:200D7CE0
.text:200D7CE0 var_10          = dword ptr -10h
.text:200D7CE0 var_C           = dword ptr -0Ch
.text:200D7CE0 var_4           = dword ptr -4
.text:200D7CE0 arg_0           = dword ptr  4
.text:200D7CE0
.text:200D7CE0                 push    0FFFFFFFFh
.text:200D7CE2                 push    offset SEH_200D7CE0
.text:200D7CE7                 mov     eax, large fs:0
.text:200D7CED                 push    eax
.text:200D7CEE                 mov     large fs:0, esp
.text:200D7CF5                 push    ecx
.text:200D7CF6                 push    esi
.text:200D7CF7                 mov     esi, [esp+14h+arg_0]
.text:200D7CFB                 push    esi
.text:200D7CFC                 call    sub_200D6990
.text:200D7D01                 xor     eax, eax
.text:200D7D03                 mov     [esp+14h+var_4], eax
.text:200D7D07                 push    1
.text:200D7D09                 push    offset apackageeffects_89 ; "packageeffects.a_u000_1"
.text:200D7D0E                 lea     ecx, [esp+1Ch+var_10]
.text:200D7D12                 mov     dword ptr [esi], offset off_2054182C
.text:200D7D18                 mov     dword ptr [esi+10h], 80h
.text:200D7D1F                 mov     [esi+14h], eax
.text:200D7D22                 call    ds:??0FName@@QAE@PB_WW4EFindName@@@Z ; FName::FName(wchar_t const *,EFindName)
.text:200D7D28                 mov     eax, [esp+14h+var_10]
.text:200D7D2C                 mov     [esi+30h], eax
.text:200D7D2F                 mov     dword ptr [esi+40h], 2
.text:200D7D36                 mov     dword ptr [esi+38h], 1
.text:200D7D3D                 mov     dword ptr [esi+48h], 1
.text:200D7D44                 mov     [esp+14h+var_4], 0FFFFFFFFh
.text:200D7D4C                 mov     ecx, [esp+14h+var_C]
.text:200D7D50                 mov     eax, esi
.text:200D7D52                 pop     esi
.text:200D7D53                 mov     large fs:0, ecx
.text:200D7D5A                 add     esp, 10h
.text:200D7D5D                 retn    4
.text:200D7D5D sub_200D7CE0    endp
.text:200D7D5D
15
  • Вывод из Hex Rays какбэ намекает, что исследуемая функция тупо дергает 200D6990, а потом заполняет некую глобальную структуру. Что делает 200D6990 без ее кода сказать нельзя. 9 янв 2016 в 21:13
  • @ВладимирМартьянов pastebin.com/7NHTQJL7 ` У меня был немного другой вопрос - как мне следует вызывать 200D6990, так чтобы в нее можно было поместить a2, Как в оригинале.
    – LighFusion
    9 янв 2016 в 21:14
  • @Abyx, я может и не умею вызывать метод(так чтобы в него можно было поместить значение) - но я как раз для этого и задал вопрос чтобы научиться ! С восстановлением более примитивных функций у меня особых проблем не возникало, просто тут есть свои нюансы, которые я хочу понять!
    – LighFusion
    9 янв 2016 в 21:16
  • @LighFusion А 200D6990 вызывает что-то еще и так далее... В общем, код "несколько" сложнее чем вы думаете. И что-то там вызывать - плохая идея, раз вы не понимаете что вызываемому коду нужно. 9 янв 2016 в 21:16
  • @ВладимирМартьянов вот то что вызывает 200D6990 pastebin.com/K1eLBerM - я понимаю что код сложный, но у меня вопрос был в том - как вызывать функцию внутри моей - которая переписывает оригинальную, на счет того что нужно - на сколько я понял - обработать переменную a2 и вернуть результат в зависимости от значения.
    – LighFusion
    9 янв 2016 в 21:19

1 ответ 1

1

Прежде всего, нужно понимать, что здесь есть какой-то неизвестный класс, и какая-то неизвестная структура (передаваемая через второй параметр). И sub_200D7CE0, и sub_200D6990 являются методами класса. Что с этим делать зависит от того, какая у вас конечная цель:

  1. Если вам нужно изменить поведение только какой-то конкретной функции - изменяйте только её. Здесь вам никакой компилятор не поможет, нужно либо точечно патчить, либо переписывать функцию на ассемблере, а потом как-то пытаться воткнуть функцию на старое место, либо в любое свободное. Если в функции есть ссылки на глобальные переменные, то вам придется исправлять адреса этих ссылок в таблице релокаций.
  2. Если планируете отреверсить все - то есть два пути: процедурный и объектно-ориентированный. В первом случае вы описываете классы как обычные структуры, и где-то рядом (не в структуре) прописываете процедуры (бывшие методы), работающие с этими структурами. Во втором случае вы прописываете настоящие классы с настоящими методами (а не поля с адресами функций, как вы пытались делать). И в том и в другом случае вас не должно волновать, как передавались параметры в старые методы, нужно "всего лишь" правильно описать поля классов, а с вызовом функций пусть разбирается компилятор. Главное все-таки понять назначение полей структур/классов и функций/методов.

Ну и пример, как приблизительно должен выглядеть ваш метод (ООП-стайл):

Somestruct * Class1::sub_200D7CE0(Somestruct * a2)
{
  FName * v3; // [sp+8h] [bp-10h]@1
  int v4; // [sp+14h] [bp-4h]@1

  this->sub_200D6990(a2);
  v4 = 0;
  a2->field0 = &off_2054182C;
  a2->field16 = 128;
  a2->field20 = 0;
  v3 = new FName(L"packageeffects.a_u000_1", 1);
  a2->field48 = v3;
  a2->field64 = 2;
  a2->field56 = 1;
  a2->field72 = 1;
  return a2;
}

FName - это, похоже, вот эта штука: FName. В первоначальном коде вызывается конструктор этого класса FName::FName(wchar_t const *,EFindName) (похоже на вот это, но не понятно куда делся параметр bUnused).

Еще не понятны манипуляции с переменной v4: сначала она обнуляется, нигде не используется, а потом в нее записывается -1 (mov [esp+14h+var_4], 0FFFFFFFFh ближе к концу). Внезапно, может оказаться, что объект FName создается на стеке (т.е. в локальных переменных функции), потом в a2->field48 записывается одно из полей этого объекта, а v4 - это другое поле объекта.

Определение класса и структуры не привожу, так как о них можно догадываться только видя весь код. Поля класса, по сути, здесь вообще не задействованы, а поля структуры задействованы только частично.

13
  • спасибо вам за такое полное объяснение вопроса, постараюсь что нибудь из этого сделать !
    – LighFusion
    12 янв 2016 в 17:01
  • такс а как мне следует положить ECX И EDX в _fastcall sub_200D6990 - Вот код моего хука sub_200d7ce0, int __stdcall AbnormalSleep_hookNew(int unkA2) { hookedAbnSleep_class *T; T->hMainHook(unkA2);} sub_200d6990 выглядит так -внутри класса T, void __fastcall hMainHook (void* pThis,void* edx, int unkA2) { sub_200D6990(pThis, unkA2); } #define sub_200D6990 ((int(__fastcall*)(void*, int)) 0x200D6990)
    – LighFusion
    13 янв 2016 в 15:34
  • @LightFusion, попробуйте объявить функцию как __thiscall, тогда по идее первый параметр и будет передан через ecx (как this). В edx ничего не нужно класть. С хуками не работал, я больше по статическим патчам.
    – insolor
    13 янв 2016 в 15:42
  • то есть сделать вот так - ` __asm{mov T, ecx}; ` а void __fastcall hMainHook как void __thiscall hMainHook, но как тогда мне следует вызывать hMainHook внутри моего Stdcall AbnormalSleep_hookNew , то есть там же ожидаются параметры T->hMainHook(тут,и тут, unkA2);
    – LighFusion
    13 янв 2016 в 15:44
  • У меня нет общей картины того, что вы хотите сделать, поэтому больше ничем помочь не могу.
    – insolor
    13 янв 2016 в 15:46

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.