010Editor修改通配符为??教程

fly1n

最近whyIDA在论坛上发了一下010Editor最新版的分析和注册机，所以我更换掉了一直使用的WinHex，准备试下010Editor，用起来果然还挺不错的，还能装插件自动识别PE头，但是010Editor里的搜索功能里通配符是用?来代替一个byte，这个和OD里的使用习惯不太一样，OD里都是用??来表示任意byte，所以我用起来总感觉有些别扭，虽然也不是什么大事:\
于是就有了这篇改造010Editor的教程，修改后用??来表示搜索任意byte，如果剩下单数个的?，也会被视作??，比如?FE和??FE都是表示OD里的搜索??FE，???FE和????FE就都表示OD里的????FE
[开始改造]
010Editor在没搜到东西的时候会提示No occurrences of xxx，所以我们搜索ASCII字符串no occurrences，结果如下：
Ultra String Reference Plugin, item 5484
Address=008926FE
Disassembly=PUSH    010Edito.0196E63C
Text String=no occurrences of '
到 008926FE 这里以后一直拉到段首下断，也就是如下位置

[Asm] 纯文本查看 复制代码

?

00892330   > \55            PUSH    EBP

段首不远处就能看到如下调用

[Asm] 纯文本查看 复制代码

?

008923A3   .  FF15 2C8D6C02 CALL    DWORD PTR DS:[<&Qt5Widgets.QLineEdit::text>]             ;  Qt5Widge.QLineEdit::text

这个肯定就是取我们输入的search string了，过这个call以后查看eax会发现确实如此
我们如果要修改使用??来搜索?，一个简单的方法就是把008923A3这行代码返回的QString做一个替换，将??替换为?，因为程序里的原本的搜索功能是用?来搜索一个byte的
右键Qt5Core.dll->详细信息里可以看到使用的Qt版本是5.410，所以我们可以去QT的官网下载一个5.410的环境，写一个replace的函数，编译以后把代码挪过来（或者写成DLL调用也可以），编译好后的replace的函数长这样子：

[Asm] 纯文本查看 复制代码

?

004019A0  /$  6A FF         PUSH    -0x1 004019A2  |.  68 B22D4000   PUSH    QtTest.00402DB2 004019A7  |.  64:A1 0000000>MOV     EAX, DWORD PTR FS:[0] 004019AD  |.  50            PUSH    EAX 004019AE  |.  83EC 08       SUB     ESP, 0x8 004019B1  |.  56            PUSH    ESI 004019B2  |.  A1 24704000   MOV     EAX, DWORD PTR DS:[0x407024] 004019B7  |.  33C4          XOR     EAX, ESP 004019B9  |.  50            PUSH    EAX 004019BA  |.  8D4424 10     LEA     EAX, DWORD PTR SS:[ESP+0x10] 004019BE  |.  64:A3 0000000>MOV     DWORD PTR FS:[0], EAX 004019C4  |.  6A FF         PUSH    -0x1 004019C6  |.  8D4424 10     LEA     EAX, DWORD PTR SS:[ESP+0x10] 004019CA  |.  68 6C3A4000   PUSH    QtTest.00403A6C                                 ;  ASCII "?" 004019CF  |.  50            PUSH    EAX 004019D0  |.  FF15 10314000 CALL    DWORD PTR DS:[<&Qt5Core.QString::fromUtf8>]     ;  Qt5Core.QString::fromUtf8 004019D6  |.  8BF0          MOV     ESI, EAX 004019D8  |.  6A FF         PUSH    -0x1 004019DA  |.  8D4424 18     LEA     EAX, DWORD PTR SS:[ESP+0x18] 004019DE  |.  C74424 28 000>MOV     DWORD PTR SS:[ESP+0x28], 0x0 004019E6  |.  68 703A4000   PUSH    QtTest.00403A70                                 ;  ASCII "??" 004019EB  |.  50            PUSH    EAX 004019EC  |.  FF15 10314000 CALL    DWORD PTR DS:[<&Qt5Core.QString::fromUtf8>]     ;  Qt5Core.QString::fromUtf8 004019F2  |.  83C4 18       ADD     ESP, 0x18 004019F5  |.  8B4C24 20     MOV     ECX, DWORD PTR SS:[ESP+0x20] 004019F9  |.  6A 01         PUSH    0x1 004019FB  |.  56            PUSH    ESI 004019FC  |.  50            PUSH    EAX 004019FD  |.  C64424 24 01  MOV     BYTE PTR SS:[ESP+0x24], 0x1 00401A02  |.  FF15 14314000 CALL    DWORD PTR DS:[<&Qt5Core.QString::replace>]      ;  Qt5Core.QString::replace 00401A08  |.  8D4C24 08     LEA     ECX, DWORD PTR SS:[ESP+0x8] 00401A0C  |.  C64424 18 00  MOV     BYTE PTR SS:[ESP+0x18], 0x0 00401A11  |.  FF15 18314000 CALL    DWORD PTR DS:[<&Qt5Core.QString::~QString>]     ;  Qt5Core.QXmlStreamStringRef::~QXmlStreamStringRef 00401A17  |.  8D4C24 0C     LEA     ECX, DWORD PTR SS:[ESP+0xC] 00401A1B  |.  C74424 18 FFF>MOV     DWORD PTR SS:[ESP+0x18], -0x1 00401A23  |.  FF15 18314000 CALL    DWORD PTR DS:[<&Qt5Core.QString::~QString>]     ;  Qt5Core.QXmlStreamStringRef::~QXmlStreamStringRef 00401A29  |.  8B4C24 10     MOV     ECX, DWORD PTR SS:[ESP+0x10] 00401A2D  |.  64:890D 00000>MOV     DWORD PTR FS:[0], ECX 00401A34  |.  59            POP     ECX 00401A35  |.  5E            POP     ESI 00401A36  |.  83C4 14       ADD     ESP, 0x14 00401A39  \.  C3            RETN

这个函数我们可以自己改一下，去掉前面的SEH的，然后有些像004019FD，00401A0C，00401A1B这几行的东西好像是用来记录QT函数内部还未销毁的字符串数量的，也可以删掉
然后我们将原来获取LineEdit::text后的三行

[Asm] 纯文本查看 复制代码

?

008923A9      50            PUSH    EAX 008923AA      8D4D F0       LEA     ECX, DWORD PTR SS:[EBP-0x10] 008923AD      C645 FC 01    MOV     BYTE PTR SS:[EBP-0x4], 0x1

改为

[Asm] 纯文本查看 复制代码

?

008923A9   . /E9 52F2C800   JMP     010Edito.01521600 008923AE     |90            NOP 008923AF     |90            NOP 008923B0     |90            NOP

01521600这里就填上我们的replace的代码

[Asm] 纯文本查看 复制代码

?

01521600   > \50            PUSH    EAX 01521601   .  8D4D F0       LEA     ECX, DWORD PTR SS:[EBP-0x10] 01521604   .  C645 FC 01    MOV     BYTE PTR SS:[EBP-0x4], 0x1 01521608   .  60            PUSHAD 01521609   .  9C            PUSHFD 0152160A   .  83EC 08       SUB     ESP, 0x8 0152160D   .  6A FF         PUSH    -0x1 0152160F   .  8D4424 04     LEA     EAX, DWORD PTR SS:[ESP+0x4] 01521613   .  68 80165201   PUSH    010Edito.01521680 01521618   .  50            PUSH    EAX 01521619   .  FF15 787C6C02 CALL    DWORD PTR DS:[<&Qt5Core.QString:>;  Qt5Core.QString::fromUtf8 0152161F   .  8BF0          MOV     ESI, EAX 01521621   .  6A FF         PUSH    -0x1 01521623   .  8D4424 14     LEA     EAX, DWORD PTR SS:[ESP+0x14] 01521627   .  68 84165201   PUSH    010Edito.01521684               ;  ASCII "??" 0152162C   .  50            PUSH    EAX 0152162D   .  FF15 787C6C02 CALL    DWORD PTR DS:[<&Qt5Core.QString:>;  Qt5Core.QString::fromUtf8 01521633   .  6A 01         PUSH    0x1 01521635   .  56            PUSH    ESI 01521636   .  50            PUSH    EAX 01521637   .  8D8C24 800000>LEA     ECX, DWORD PTR SS:[ESP+0x80] 0152163E   .  FF15 447A6C02 CALL    DWORD PTR DS:[<&Qt5Core.QString:>;  Qt5Core.QString::replace 01521644   .  8D4C24 18     LEA     ECX, DWORD PTR SS:[ESP+0x18] 01521648   .  FF15 A4746C02 CALL    DWORD PTR DS:[<&Qt5Core.QString:>;  Qt5Core.QXmlStreamStringRef::~QXmlStreamStringRef 0152164E   .  8D4C24 1C     LEA     ECX, DWORD PTR SS:[ESP+0x1C] 01521652   .  FF15 A4746C02 CALL    DWORD PTR DS:[<&Qt5Core.QString:>;  Qt5Core.QXmlStreamStringRef::~QXmlStreamStringRef 01521658   .  83C4 20       ADD     ESP, 0x20 0152165B   .  9D            POPFD 0152165C   .  61            POPAD 0152165D   .^ E9 4F0D37FF   JMP     010Edito.008923B1

其中01521680和01521684处需要手动填充一下数据如下

[Asm] 纯文本查看 复制代码

?

01521680  0000003F  ?... 01521684  00003F3F  ??..

把修改都保存一下，第一步的改造就完成了，第二步是改掉搜索栏右侧的字符串提示，如下

右侧的?? ?? FE也应该显示为?? FE
我们先给LineEdit::text，也就是65105890下个断，然后我们在010Editor中按Ctrl+F，这个时候程序就需要读取LineEdit里的值从而去显示旁边的数据，所以我们从LineEdit::text里返回，看到如下代码

[Asm] 纯文本查看 复制代码

?

008952EA   .  8D45 E8       LEA     EAX, DWORD PTR SS:[EBP-0x18] 008952ED   .  50            PUSH    EAX 008952EE   .  FF15 2C8D6C02 CALL    DWORD PTR DS:[<&Qt5Widgets.QLineEdit::text>]             ;  Get Original text 008952F4   .  8B8B E8000000 MOV     ECX, DWORD PTR DS:[EBX+0xE8] 008952FA   .  6A 00         PUSH    0x0 008952FC   .  68 18576C02   PUSH    010Edito.026C5718 00895301   .  56            PUSH    ESI 00895302   .  57            PUSH    EDI 00895303   .  FF348D 9C316B>PUSH    DWORD PTR DS:[ECX*4+0x26B319C] 0089530A   .  8B4D EC       MOV     ECX, DWORD PTR SS:[EBP-0x14] 0089530D   .  50            PUSH    EAX 0089530E   .  8D45 F0       LEA     EAX, DWORD PTR SS:[EBP-0x10] 00895311   .  C745 FC 00000>MOV     DWORD PTR SS:[EBP-0x4], 0x0 00895318   .  50            PUSH    EAX 00895319   .  E8 FBD5B6FF   CALL    010Edito.00402919                                        ;  Handle text 0089531E   .  8D4D E8       LEA     ECX, DWORD PTR SS:[EBP-0x18] 00895321   .  C645 FC 02    MOV     BYTE PTR SS:[EBP-0x4], 0x2 00895325   .  FF15 A4746C02 CALL    DWORD PTR DS:[<&Qt5Core.QString::~QString>]              ;  Qt5Core.QXmlStreamStringRef::~QXmlStreamStringRef 0089532B   .  8B4B 54       MOV     ECX, DWORD PTR DS:[EBX+0x54] 0089532E   .  8D45 F0       LEA     EAX, DWORD PTR SS:[EBP-0x10] 00895331   .  50            PUSH    EAX 00895332   .  FF15 288D6C02 CALL    DWORD PTR DS:[<&Qt5Widgets.QLineEdit::setText>]          ;  Qt5Widge.QLineEdit::setText

我们看到了关键词setText，那008952EE这行取了原文本，00895332这行setText，字符串处理肯定就是00895319这行了
我们跟进去发现是0106F27B这行处理的原文本

[Asm] 纯文本查看 复制代码

?

0106F27B    E8 AA5C39FF         CALL    010Edito.00404F2A                                   ; !!!

这个函数是在逐个BYTE的读取一个数组，然后产生显示在右边的字符串
这个数组是将你原来查找的字符串换成二进制然后处理问号和星号等特殊符号，例子如下
FE 01 FE
第一个FE表示?，第二个01表示后面有1个非通配符，然后程序就读取后面的FE，由于之前有个01，这个FE不会被当做?，所以FE 01 FE表示的就是搜索?FE，同理01 FE FE就表示搜索FE?，这个数组是在0106F27B CALL    010Edito.00404F2A这行之前的0106F22A这一行被产生的

[Asm] 纯文本查看 复制代码

?

0106F22A    E8 426639FF         CALL    010Edito.00405871

生成右边的主要部分大致相当于以下代码

[C] 纯文本查看 复制代码

?

i = 0; do {   c = a[i];   if ( c == 0xFF )   {     *(_WORD *)pNewStr = 0x2A2A;     pNewStr += 2;     ++i;   }   else if ( c == 0xFE )   {     *(_WORD *)pNewStr = 0x3F3F;     pNewStr += 2;     ++i;   }   else   {     ++i;     ctr = 0;     if ( c > 0 )     {       do       {         sprintf(pNewStr, "%02X", a[i]);         pNewStr += 2;         if ( ctr < c - 1 )           *pNewStr++ = 0x20;         ++ctr;         ++i;       }       while ( ctr < c );     }   }   if ( i >= a->length )     break;   *pNewStr++ = 0x20; } while ( i < a->length );

我们只要加一个flag记录上一个字符是不是单数个问号就行了，如果当前字符是问号且flag==true，就跳过这次的输出，并且将flag置为false，同时在输出空格的位置判断上一个字符是不是空格，如果是的话就跳过这次的空格输出，修改后的代码如下

[Asm] 纯文本查看 复制代码

?

<0106D750>   @L00000001:     PUSH    EBP     MOV     EBP, ESP     PUSH    -0x1     PUSH    0x15168A3     MOV     EAX, DWORD PTR FS:[0]     PUSH    EAX     SUB     ESP, 0x10     PUSH    EBX     PUSH    ESI     PUSH    EDI     MOV     EAX, DWORD PTR DS:[0x26C1E40]     XOR     EAX, EBP     PUSH    EAX     LEA     EAX, DWORD PTR SS:[EBP-0xC]     MOV     DWORD PTR FS:[0], EAX     MOV     EBX, ECX     MOV     DWORD PTR SS:[EBP-0x1C], EBX     LEA     ECX, DWORD PTR SS:[EBP-0x10]     MOV     DWORD PTR SS:[EBP-0x14], 0x0     CALL    DWORD PTR DS:[0x26C7498]     CMP     DWORD PTR SS:[EBP+0x14], 0x0     MOV     DWORD PTR SS:[EBP-0x4], 0x1     JNZ     SHORT @L00000002     MOV     ESI, DWORD PTR SS:[EBP+0x8]     PUSH    0x2     PUSH    DWORD PTR SS:[EBP+0x10]     PUSH    DWORD PTR SS:[EBP+0xC]     PUSH    ESI     CALL    004097A5     ADD     ESP, 0x10     LEA     ECX, DWORD PTR SS:[EBP-0x10]     MOV     DWORD PTR SS:[EBP-0x14], 0x1     MOV     BYTE PTR SS:[EBP-0x4], 0x0     CALL    DWORD PTR DS:[0x26C74A4]     MOV     EAX, ESI     MOV     ECX, DWORD PTR SS:[EBP-0xC]     MOV     DWORD PTR FS:[0], ECX     POP     ECX     POP     EDI     POP     ESI     POP     EBX     MOV     ESP, EBP     POP     EBP     RETN    0x10   @L00000002:     ;------------------------------------     MOV     BYTE PTR DS:[0x26C6FFD], 0x0     ;------------------------------------     MOV     EAX, DWORD PTR DS:[EBX+0xDC]     LEA     EAX, DWORD PTR DS:[EAX+EAX*2]     INC     EAX     PUSH    EAX     CALL    013A6CD0     MOV     ESI, EAX     MOV     DWORD PTR SS:[EBP+0x14], EAX     XOR     EDI, EDI     ADD     ESP, 0x4     MOV     BYTE PTR DS:[ESI], 0x0     CMP     DWORD PTR DS:[EBX+0xDC], EDI     JLE     @L00000010     MOV     ECX, DWORD PTR SS:[EBP+0xC]   @L00000003:     MOVZX   EAX, BYTE PTR DS:[ECX+EDI]     MOV     DWORD PTR SS:[EBP-0x18], EAX     CMP     EAX, 0xFF     JNZ     SHORT @L00000004     MOV     BYTE PTR DS:[0x26C6FFD], 0x0     MOV     WORD PTR DS:[ESI], 0x2A2A     ADD     ESI, 0x2     INC     EDI     JMP     SHORT @L00000008   @L00000004:     CMP     EAX, 0xFE     JNZ     SHORT @L00000005     ;-----------------------------------     CMP     BYTE PTR DS:[0x26C6FFD], 0x0     NOT     BYTE PTR DS:[0x26C6FFD]     JNE  SHORT @SKIP     MOV     WORD PTR DS:[ESI], 0x3F3F     ADD     ESI, 0x2   @SKIP:     ;-----------------------------------     INC     EDI     JMP     SHORT @L00000008   @L00000005:     MOV     BYTE PTR DS:[0x26C6FFD], 0x0     INC     EDI     XOR     EBX, EBX     TEST    EAX, EAX     JLE     SHORT @L00000008     DEC     EAX     MOV     DWORD PTR SS:[EBP+0x10], EAX   @L00000006:     MOVZX   EAX, BYTE PTR DS:[ECX+EDI]     PUSH    EAX     PUSH    0x1623AEC     PUSH    ESI     CALL    DWORD PTR DS:[0x26C7264]     ADD     ESP, 0xC     ADD     ESI, 0x2     CMP     EBX, DWORD PTR SS:[EBP+0x10]     JGE     SHORT @L00000007     MOV     BYTE PTR DS:[ESI], 0x20     INC     ESI   @L00000007:     MOV     ECX, DWORD PTR SS:[EBP+0xC]     INC     EBX     INC     EDI     CMP     EBX, DWORD PTR SS:[EBP-0x18]     JL      SHORT @L00000006   @L00000008:     MOV     EAX, DWORD PTR SS:[EBP-0x1C]     CMP     EDI, DWORD PTR DS:[EAX+0xDC]     JGE     SHORT @L00000009     ;------------------------------------     CMP     EDI, 0     JE      @ADDSPACE     CMP     BYTE PTR DS:[ESI-1], 0x20     JE      @DONTADD @ADDSPACE:     MOV     BYTE PTR DS:[ESI], 0x20     INC     ESI @DONTADD:     ;------------------------------------     CMP     EDI, DWORD PTR DS:[EAX+0xDC]     JL      @L00000003   @L00000009:     MOV     EAX, DWORD PTR SS:[EBP+0x14]   @L00000010:     PUSH    EAX     LEA     ECX, DWORD PTR SS:[EBP-0x10]     MOV     BYTE PTR DS:[ESI], 0x0     CALL    DWORD PTR DS:[0x26C7C54]     PUSH    DWORD PTR SS:[EBP+0x14]     CALL    013A704C     MOV     ECX, DWORD PTR SS:[EBP+0x8]     LEA     EAX, DWORD PTR SS:[EBP-0x10]     ADD     ESP, 0x4     PUSH    EAX     CALL    DWORD PTR DS:[0x26C74AC]     LEA     ECX, DWORD PTR SS:[EBP-0x10]     MOV     DWORD PTR SS:[EBP-0x14], 0x1     MOV     BYTE PTR SS:[EBP-0x4], 0x0     CALL    DWORD PTR DS:[0x26C74A4]     MOV     EAX, DWORD PTR SS:[EBP+0x8]     MOV     ECX, DWORD PTR SS:[EBP-0xC]     MOV     DWORD PTR FS:[0], ECX     POP     ECX     POP     EDI     POP     ESI     POP     EBX     MOV     ESP, EBP     POP     EBP     RETN    0x10

现在修改的部分已经都做完了，不过还没完！还需要修正程序的重定位信息，工具我放在附件里了，只有几个位置，手动修复的，就不详细说了
完工以后程序:
链接: http://pan.baidu.com/s/1o7GgQ86 密码: ytyw
错误之处感谢指正！有什么bug也可以告诉我~

冥界3大法王

不错，这个厉害的。

fly1n

青衣惆怅 发表于 2017-2-25 11:13
大婶~文章的意思是不是讲的把程序原来 查询的那个函数替换成自己写的函数。过程是先把自己写好的函数然后编 ...

这个是最完美的方案，你可以完全自己重写搜索的函数从而支持单个16进制位的搜索及?，但是我比较懒，仅仅是在调用内部的搜索函数之前给它加了一个函数，替换搜索字符串，搜索函数还是用的它的。如果直接替换搜索函数还会有个问题，取决于他的搜索函数耦合度低不低，如果他的搜索函数是写成Search(QString &pattern, QString &text)这种，你就很好替换，自己用QT写一个编译以后挪过去就好了，但是如果他的搜索函数写成Search(QString &pattern)这种，然后在函数内再去获取text，比如是调用ui->txtBox->text()获取的，那就不是很好替换了，需要你自己去拼凑

Hmily

学习了思路，先编译代码再挪过来

yinliming8

学习下，虽然看不懂。

mayl8822

百度盘密码是多少来着

q943959519

好深奥。。

无阻

别的语言软件也可以先写一个子程序代码？ 然后直接COPY过来用吗？？

fly1n

无阻 发表于 2017-2-11 12:43
别的语言软件也可以先写一个子程序代码？ 然后直接COPY过来用吗？？

都可以吧，和写一个DLL然后调用其实没有本质的区别吧？

fly1n

mayl8822 发表于 2017-2-11 10:33
百度盘密码是多少来着

你得先开八门，然后再用白眼才能看得到

榻榻米

一般人根本看不懂啊这。。