首页
社区
课程
招聘
[求助]对整个程序文件求检测和,最终if语句判断的那个检测和是怎么确定的?
发表于: 2012-10-29 12:46 5078

[求助]对整个程序文件求检测和,最终if语句判断的那个检测和是怎么确定的?

2012-10-29 12:46
5078
有个疑惑,假如我有个程序a.exe ,源代码里面有个函数 int calccrc32() 这个函数从磁盘读取本身文件a.exe并计算CRC32 , 我在a.exe的源代码中肯定有条类似如下语句

if( calcrc32()== XXX)
{
....
}
else
{
....
}

我想不清楚的是,这个XXX怎么得到  假如一开始我写成0x12345678 ,最后算出来的是0x87654321,我把代码改成实际的值0x87654321,而此时再重新算出来的 又不是0x87654321了。呵呵,矛盾啊!

(对磁盘文件求检验和有这个问题,对内存映象求的话,好象也有这个问题)

求指点!

[培训]科锐逆向工程师培训第53期2025年7月8日开班!

收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 967
活跃值: (1138)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
2
一般 只计算代码段
2012-10-29 12:58
0
雪    币: 441
活跃值: (154)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
3
如果要对文件求检测呢?
2012-10-29 13:51
0
雪    币: 441
活跃值: (154)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
4
这个问题论坛里面高手能不能帮忙提供一下思路?
2012-10-29 14:10
0
雪    币: 291
活跃值: (218)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
5
记得exe头部有个校验和的field。计算初始校验值时,先给它填0,然后计算出校验值,最后修改这个field为计算出的校验值。运行时验证校验和的时候,把这个field当0处理,然后计算完的值和这个field比较即可。

当然,也不一定非得用这个field,不一定非得填0,用这种思路即可。

还有其他的方法,比如用一个dll辅助校验,校验值存放在dll里面,到时候读出来比较即可。当然也不一定非得放dll里面,只要能存放数据的地方即可。
2012-10-29 14:49
0
雪    币: 441
活跃值: (154)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
6
谢谢,我想到的,也是要用一个不参与计算的地方保存这个值才行。
不然,这是个很难解的大问题。
2012-10-29 15:52
0
雪    币: 1689
活跃值: (379)
能力值: ( LV15,RANK:440 )
在线值:
发帖
回帖
粉丝
7
其实可以完全参加运算的,不用对field作特殊处理。关键是校验算法比较二,刚从网上找了计算PE较难和的代码,顺便粘过来。

 
#if 0
[URL]cd5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3!0H3k6h3&6U0K9X3E0Q4x3X3g2G2M7X3N6Q4x3V1k6Q4y4@1g2K6j5%4A6Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0r3x3U0l9H3y4K6l9I4x3e0l9J5x3e0l9$3i4K6u0W2N6s2S2@1i4K6g2n7i4K6u0r3g2g2u0x3i4K6g2p5
在某些时候可能你并不想用imagehlp!CheckSumMappedFile()去计算PE文件校验和,
这个函数或许用得上。网上ASM实现很多,C实现不好找吧。
最近因为要写个程序自动剁tcpip.sys,顺便折腾了一下PE文件校验和的计算。
#endif
/*
 * RFC 1141 : Incremental Updating of the Internet Checksum
 *
 * 2007-01-10 21:06 scz
 *
 * PE首部的CheckSum是4字节的DWORD型,计算方法与IP首部校验和非常类似,其C语
 * 言实现一直不太好找,这里给一个基于IP首部校验和C实现修改后的函数。已经处
 * 理了奇偶。形参base_sum为旧的CheckSum,无论原值是否正确,不必将内存中的
 * 该字段清零再计算,如果清零,则base_sum也要赋成零再计算。
 *
 * 2007-01-29 15:30 scz
 *
 * 更正了一个BUG,注意sum的数据类型是64-bits的。
 */
static unsigned int pe_cksum
(
    unsigned short int *addr,
    unsigned int        len,
    unsigned long long  base_sum
)
{
    unsigned int        nleft   = len;
    /*
     * 这里不同,反码加一即取负,这种变态写法仅仅是为了避免一个编译警告。
     *
     * LONGLONG
     * ULONG64
     * unsigned long long
     */
    unsigned long long  sum     = ~base_sum + 1;
    unsigned short int *w       = addr;
    unsigned short int  answer  = 0;
    /*
     * Our algorithm is simple, using a 32 bit accumulator (sum), we add
     * sequential 16 bit words to it, and at the end, fold back all the
     * carry bits from the top 16 bits into the lower 16 bits.
     */
    while ( nleft > 1 )
    {
        sum    += *w++;
        nleft  -= 2;
    }
    /*
     * mop up an odd byte, if necessary
     */
    if ( 1 == nleft )
    {
        *( unsigned char * )( &answer )     = *( unsigned char * )w ;
        sum                                += answer;
    }
    /*
     * add back carry outs from top 16 bits to low 16 bits
     *
     * add hi 16 to low 16
     */
    sum     = ( sum >> 16 ) + ( sum & 0xFFFF );
    /*
     * add carry
     */
    sum    += ( sum >> 16 );
    /*
     * truncate to 16 bits
     */
    answer  = ( unsigned short )( sum & 0xFFFF );
    /*
     * 这里不同
     *
     * add len
     */
    sum     = answer + len;
    return( ( unsigned int )sum );
}  /* end of pe_cksum */
2012-10-29 16:59
0
游客
登录 | 注册 方可回帖
返回