双击记事本自动打开文本

标 题: 【原创】双击记事本自动打开文本
作 者: Gall
时 间: 2010-07-11,10:20:50
链 接: http://bbs.pediy.com/showthread.php?t=116595

前几天看了一篇文章,关于overlay介绍的,里面说可以实现记事本打开单一文本，所以自己手痒就想试试.
我的第一步是让记事本程序在打开时，自动读取已经存在的文本文件.
大家都很清楚双击文本文件程序会自己用记事本打开,这说明这个文件名被当作参数传递给了记事本.
例如: notepad.exe C:QQ600.txt

接下来我们要做的就是获取那个参数的位置,然后修改,实现自己的功能。

ollydbg载入程序notepad,选择菜单Debug>>Attachment，输入参数C:QQ600.txt，提示重新载入程序,参数才会生效。[不理他,等下面设置了端点后,再重新载入]
要想获取参数的位置,必须要对程序下断点,文件读取一般会在CreateFile,ReadFile等上下断点

利用快捷键Ctrl+N,查看程序的函数,看到了CreateFileW,下面对他断点,在命令栏中输入bpx CreateFileW，Ctrl+F2重新载入程序,重新载入程序后F9运行，在01004A07处程序被断下来，查看一下寄存器与堆栈,你会发现edi中存放的值与参数值完全一致.
那么现在我们要搞清楚的就是edi在何时被赋值的


010049CE    6A 10                     push 10
010049D0    FF35 30980001             push dword ptr ds:[1009830]
010049D6    FF15 A4120001             call dword ptr ds:[<&USER32.PostMessageW>; USER32.PostMessageW
010049DC    E9 77010000               jmp NOTEPAD-.01004B58
010049E1    66:391F                   cmp word ptr ds:[edi],bx
010049E4    0F84 B1000000             je NOTEPAD-.01004A9B
010049EA    57                        push edi
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:QQ600.txt"
010049F0    57                        push edi
010049F1    E8 A3F5FFFF               call NOTEPAD-.01003F99
010049F6    53                        push ebx
010049F7    68 80000000               push 80
010049FC    6A 03                     push 3
010049FE    53                        push ebx
010049FF    6A 03                     push 3
01004A01    68 00000080               push 80000000
01004A06    57                        push edi
01004A07    FF15 04110001             call dword ptr ds:[<&KERNEL32.CreateFile>; kernel32.CreateFileW

大家看到了吗?在010049EB处对edi赋值,edi的值来源于0100A900处
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:QQ600.txt"

也许大家已经想到了将0100A900处的数据改为自己的数据,但是修改完了你会发现数据无法保存，在这里我就不介绍怎么保存数据了.
0100A900处修改后无法保存,那么我们就将0100A900的地址指到其他可以保存数据的位置.例如0100874E
010049EB    BF 00A90001               mov edi,NOTEPAD-.0100A900                ; UNICODE "C:QQ600.txt"
修改后
010049EB    BF 4E870001               mov edi,NOTEPAD-.0100874E         ; UNICODE "C:QQ600.txt"

然后在0100874E处写入自己的参数数据,程序调试完成后，双击运行程序,你会发现程序打开后,并没有读取C:QQ600.txt的数据.
不要急,程序能够正常运行而没有出现错误,这说明调试没有出错,可能调试的代码没有生效，

Ollydbg载入调试过的程序,Debug>>Attachment，输入"C:QQ600.txt"，对函数CreateFileW下断点,F9运行,程序在01004A07处被断下,
调试过的部分上面有几处跳转,其中有一个是跳过调试代码,我们在他前面下断，我选择010049C8，然后重新载入程序,F9运行，在010049C8处程序被断下来,现在开始F8单步向下分析一下跳转是否实现了

分析后大家,只需让010049E4处的跳转不实现就可以了
。


=====================================================

建议大家自己分析一下程序参数是如何传递到edi中的
在这里留个问题吧，希望能够刺激大家努力学习!

将文本的数据添加到记事本程序的尾部,然后每次打开程序时自动读取尾部的数据

最后

以上就是义气朋友为你收集整理的双击记事本自动打开文本的全部内容，希望文章能够帮你解决双击记事本自动打开文本所遇到的程序开发问题。

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。