逆向 stdio.h 函数库 fseek 函数（调试版本）-CFANZ编程社区

0x01 fseek

函数原型：int fseek(FILE *stream, long int offset, int whence)
函数功能：设置流stream 的文件位置为给定的偏移offset，参数offset 意味着从给定的whence 位置查找的字节数
动态链接库：ucrtbased.dll
C\C++ 实现：

#define// 抛弃安全警告
#include <stdio.h>
#include <string.h>

int main()
{
  FILE* fp;

  fp = fopen("D:\\1.txt", "w+");
  fputs("This is runoob.com", fp);

  fseek(fp, 7, SEEK_SET);
  fputs(" C Programming Langauge", fp);
  fclose(fp);

  return(0);
}

上述程序的功能主要是打开D:\1.txt 文件，之后调整文件流的偏移，最后关闭文件
调试工具：x32dbg 调试器
逆向分析：首先利用定位字符串的方式找到fseek 函数

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值

fseek（一级函数）中调用了两个子函数：ucrtbased.sub_625FF510 负责将传入的参数一（文件句柄）赋值到局部变量[ebp-4] 中，之后压入文件句柄调用ucrtbased.sub_6261C940

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_02

ucrtbased.sub_6261C940（二级函数）函数内部首先判断传入的第一个参数（文件句柄）是否存在，不存在的话就调用_CrtDbgReportW 和_error 进行错误处理

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_03

之后判断传入的第四个参数（SEEK_SET）是否为0、1、2 中的一个

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_04

SEEK_SET： 文件开头 0
SEEK_CUR： 当前位置 1
SEEK_END： 文件结尾 2

然后调用ucrtbased.sub_ 625EC550 获取文件句柄，文件句柄的类型为FILE。紧接着调用_lock_file 锁住文件。既然锁住了文件，那么肯定要解锁文件，如图所示：解锁文件的函数_unlock_file 在结尾处调用

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_05

最后压入参数调用ucrtbased.sub_6261CCE0（三级函数），参数如下图注释所示

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_06

进入ucrtbased.sub_6261CCE0（三级函数）函数单步调试：首先会调用ucrtbased.sub_62616B10 和ucrtbased.sub_626168F0 对_flag 进行判断

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_07

注：_flag 是_iobuf 结构体的成员，而FILE 结构体指针指向的原型就是_iobuf。结构体示意图如下图所示：

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_08

ucrtbased.sub_62616B10：判断（_flag & 2000）是否大于0，若等于0，则函数直接返回。因为查阅不到_flag 成员的有关资料，所以暂时不知道这一步操作是什么目的

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_09

ucrtbased.sub_626168F0 判断方式：先循环比较_flag 和(_flag & FFFFFFF7) 是否相等，然后比较_flag & 8 是否等于0 。这里有两个bug，假如_flag 为204e 的话，就变成死循环了。而且通过观察ucrtbased.sub_626168F0 的返回值，发现没有对返回值做任何处理，也就是说这个判断_flag 的函数没有任何作用

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_10

然后压入 4 个参数后，调用ucrtbased.sub_6261CB00（四级函数）

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_11

进入ucrtbased.sub_6261CB00（四级函数）函数进行分析：首先这个函数判断传入的第四个参数（SEEK_SET）是否为指向文件结尾，如果指向文件结尾此函数返回0，之后调用ucrtbased.sub_62615130 和ucrtbased.sub_62615150 对 _flag 进行判断

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_12

注ucrtbased.sub_62615130 的判断方式：(_flag & 4c0) 是否等于0，若不等于0，返回1

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_13

ucrtbased.sub_62615150 的判断方式：在 (_flag & 4c0) 是不等于0 的前提下判断 (_flag & 6) 是否等于0，若不等于0，返回1

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_14

ucrtbased.sub_62615150 判断完成之后直接清空eax，ucrtbased.sub_6261CB00（四级函数）返回

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_15

返回之后判断传入的第四个参数（SEEK_SET）是否为当前文件位置，由于不是当前文件位置，故发生了跳转

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_16

之后调用ucrtbased.sub_625EC550 获取文件句柄，把文件句柄做为参数压入，接着调用ucrtbased.sub_62619070

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_17

ucrtbased.sub_62619070（四级函数）这个函数主要是对_iobuf->cnt 和_iobuf->*_ptr 进行操作，进入这个函数看看：首先会调用ucrtbased.sub_625FF510 将文件句柄赋值到局部变量[ebp-4] 当中，接着调用ucrtbased.sub_62615070 将取出_iobuf->_flag 取出

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_18

注：ucrtbased.sub_62619010 是对_iobuf->_flag 进行判断

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_19

判断方式：

if((_flag & 3 == 2) && (_flag & C0 == 0)) { return 1; } else { return 0; }

判断完成之后，将_iobuf->*_ptr - _iobuf->_cnt，

逆向 stdio.h 函数库 fseek 函数（调试版本）_文件句柄_20

接着调用ucrtbased.sub_62618EA0，该函数的主要功能：_iobuf->*ptr = iobuf->cnt，并将_iobuf->*_base 赋值为0

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_21

之后在_iobuf->*ptr - _iobuf->_cnt 大于0 的前提下调用_fileno 和_write 函数

逆向 stdio.h 函数库 fseek 函数（调试版本）_sed_22

之后再判断写入的字节和_iobuf->*ptr - _iobuf->_cnt 相等的前提下调用ucrtbased.sub_62618FA0，该函数的主要功能就是判断_iobuf->_flag & 4 和4 是否相等，eax 返回1 表示相等

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_23

逆向 stdio.h 函数库 fseek 函数（调试版本）_赋值_24

最后调用ucrtbased.sub_62618FA0 判断_flag & 8 是否等于0，ucrtbased.sub_62619070（四级函数）返回0
接着向下调试，发现会将_iobuf->*ptr 赋值为iobuf->cnt，_iobuf->*_base 设置为0，并且判断_iobuf->flag & 4 和4 是否相等，再相等的前提下判断_flag & 8 是否为0