双击记事本自动打开文本

标 题: 【原创】双击记事本自动打开文本

作 者: Gall

时 间: 2010-07-11,10:20:50

链 接: http://bbs.pediy.com/showthread.php?t=116595
前几天看了一篇文章,关于overlay介绍的,里面说可以实现记事本打开单一文本，所以自己手痒就想试试.

我的第一步是让记事本程序在打开时，自动读取已经存在的文本文件.

大家都很清楚双击文本文件程序会自己用记事本打开,这说明这个文件名被当作参数传递给了记事本.

例如: notepad.exe C:\QQ600.txt

接下来我们要做的就是获取那个参数的位置,然后修改,实现自己的功能。

ollydbg载入程序notepad,选择菜单Debug>>Attachment，输入参数C:\QQ600.txt，提示重新载入程序,参数才会生效。[不理他,等下面设置了端点后,再重新载入]

要想获取参数的位置,必须要对程序下断点,文件读取一般会在CreateFile,ReadFile等上下断点

利用快捷键Ctrl+N,查看程序的函数,看到了CreateFileW,下面对他断点,在命令栏中输入bpx CreateFileW，Ctrl+F2重新载入程序,重新载入程序后F9运行，在01004A07处程序被断下来，查看一下寄存器与堆栈,你会发现edi中存放的值与参数值完全一致.

那么现在我们要搞清楚的就是edi在何时被赋值的

010049CE 6A 10 push 10

010049D0 FF35 30980001 push dword ptr ds:[1009830]

010049D6 FF15 A4120001 call dword ptr ds:[<&USER32.PostMessageW>; USER32.PostMessageW

010049DC E9 77010000 jmp NOTEPAD-.01004B58

010049E1 66:391F cmp word ptr ds:[edi],bx

010049E4 0F84 B1000000 je NOTEPAD-.01004A9B

010049EA 57 push edi

010049EB BF 00A90001 mov edi,NOTEPAD-.0100A900 ; UNICODE "C:\QQ600.txt"

010049F0 57 push edi

010049F1 E8 A3F5FFFF call NOTEPAD-.01003F99

010049F6 53 push ebx

010049F7 68 80000000 push 80

010049FC 6A 03 push 3

010049FE 53 push ebx

010049FF 6A 03 push 3

01004A01 68 00000080 push 80000000

01004A06 57 push edi

01004A07 FF15 04110001 call dword ptr ds:[<&KERNEL32.CreateFile>; kernel32.CreateFileW

大家看到了吗?在010049EB处对edi赋值,edi的值来源于0100A900处

010049EB BF 00A90001 mov edi,NOTEPAD-.0100A900 ; UNICODE "C:\QQ600.txt"

也许大家已经想到了将0100A900处的数据改为自己的数据,但是修改完了你会发现数据无法保存，在这里我就不介绍怎么保存数据了.

0100A900处修改后无法保存,那么我们就将0100A900的地址指到其他可以保存数据的位置.例如0100874E

010049EB BF 00A90001 mov edi,NOTEPAD-.0100A900 ; UNICODE "C:\QQ600.txt"

修改后

010049EB BF 4E870001 mov edi,NOTEPAD-.0100874E ; UNICODE "C:\QQ600.txt"

然后在0100874E处写入自己的参数数据,程序调试完成后，双击运行程序,你会发现程序打开后,并没有读取C:\QQ600.txt的数据.

不要急,程序能够正常运行而没有出现错误,这说明调试没有出错,可能调试的代码没有生效，

Ollydbg载入调试过的程序,Debug>>Attachment，输入"C:\QQ600.txt"，对函数CreateFileW下断点,F9运行,程序在01004A07处被断下,

调试过的部分上面有几处跳转,其中有一个是跳过调试代码,我们在他前面下断，我选择010049C8，然后重新载入程序,F9运行，在010049C8处程序被断下来,现在开始F8单步向下分析一下跳转是否实现了

分析后大家,只需让010049E4处的跳转不实现就可以了

。

=====================================================

建议大家自己分析一下程序参数是如何传递到edi中的

在这里留个问题吧，希望能够刺激大家努力学习!

将文本的数据添加到记事本程序的尾部,然后每次打开程序时自动读取尾部的数据