逆向 time.h 函数库 time、gmtime 函数
0x01 time 函数
- 函数原型:
time_t time(time_t *t)
- 函数功能:返回自纪元
Epoch(1970-01-01 00:00:00 UTC)
起经过的时间,以秒为单位。如果seconds
不为空,则返回值也存储在变量seconds
中 - C\C++ 实现:
#include <stdio.h>
#include <time.h>int main ()
{time_t seconds;seconds = time(NULL);printf("自 1970-01-01 起的小时数 = %ld\n", seconds/3600);return(0);
}
- 上述程序的功能是通过
time
函数获取自1970-01-01 00:00:00
后经过的时间,之后打印出经过的小时数,程序的运行结果如下图所示:表示自1970-01-01 00:00:00
之后经过了432971
个小时 - 逆向分析:首先进入
main
函数,由于time
函数传入的参数为NULL
,所以将0
压入栈之后调用time
函数 - 进入函数后进行栈顶和栈底的操作,之后直接通过
jmp
跳转到msvcrt._time32
的地址,然后继续向下调试 - 单步到这个位置可以发现在
time
函数中直接调用了GetSystemTimeAsFileTime()
这个 API 函数,这个函数属于底层函数,是操作系统直接提供的接口函数 - 看一下微软文档中给出的定义,从函数功能上可以看出这个
API
函数可以实时的获取系统时间,且获取到的时间是UTC
格式。从参数上来看,传入的参数是一个指向FILETIME
结构体的指针 - 再来看一下
FILETIME
结构体,有两个数据成员都是DWORD
格式(4
个字节),dwLowDateTime
表示低位时间,而dwHighDateTime
表示高位的时间,关于高位时间和低位时间的区别会在下面说到,值得注意的是时间的单位是100
纳秒 - 再来看一下调用
GetSystemTimeAsFileTime
API 函数的例子,lea eax,[local]
这个命令是取函数中第二个局部变量的地址并且存放到eax
当中,再将eax
压入栈中之后调用函数,结合上面GetSystemTimeAsFileTime
函数的文档的分析可以知道eax
其实就是FILETIME
结构体 - 调用完
GetSystemTimeAsFileTime
函数之后,会将FILETIME
结构体的dwLowDateTime
储存在ecx
当中,将dwHighDateTime
储存在eax
当中 - 还记得上面的文档吗 ?
GetSystemTimeAsFileTime
函数返回的时间格式是UTC
时间格式,且是从1601-01-01
开始计时的,单位为100
纳秒,而time
函数返回的时间则是从1970-01-01
开始计时的,单位为秒,所以下面会进行UTC
格式的时间转换。首先会将时间的高位加上0xfe624e21
,低位加上2AC18000
,这一步的目的就是将1601-01-01
调整到1970-01-01
- 以高位为例子,调整前为
0x01d5122f
而调整后为0x00376050
,用前减去后结果为0x19db1df
- 转换为
10
进制 - 由于是以
100
纳秒为单位,所以乘以100
得出为369
年,而1970
减去1601
刚刚为369
年 - 时间转换之后,调用如下函数,这个函数的作用是将纳秒转换为秒
- 进入这个函数看一下,首先取出第四个参数判断是否为
0
,之后取出第三个参数10000000
,然后将低位和高位的时间分别处以100000000
即可转换为秒单位
注:
1
秒等于十亿纳秒,而上述时间单位为100
纳秒,所以转换为秒只需要除以1
千万即可
- 最后返回自
1970
年以来的秒数 - 在
time
函数的最后会判断传入的参数是否为0
,如果不为0
,则将结果放入传入的变量内
0x02 gmtime
函数
- 函数原型:
struct tm *gmtime(const time_t *timer)
- 函数功能:C 库函数
struct tm *gmtime(const time_t *timer)
使用time
函数返回的值来填充tm
结构,并用协调世界时(UTC)也被称为格林尼治标准时间(GMT)表示 - C\C++ 实现:
#include <stdio.h>
#include <time.h>#define BST (+1)
#define CCT (+8)int main ()
{time_t rawtime;struct tm *info;time(&rawtime);/* 获取 GMT 时间 */info = gmtime(&rawtime);printf("当前的世界时钟:\n");printf("伦敦:%2d:%02d\n", (info->tm_hour+BST)%24, info->tm_min);printf("中国:%2d:%02d\n", (info->tm_hour+CCT)%24, info->tm_min);return(0);
}
- 上述程序的作用主要是获取由
time
函数返回的时间(从1970.1.1
开始的小时数),之后放入gmtime
函数转换成更为详细的时间单位。tm
结构体如下图所示,这个就是更为精确的时间细分:
struct tm {int tm_sec; /* 秒,范围从 0 到 59 */int tm_min; /* 分,范围从 0 到 59 */int tm_hour; /* 小时,范围从 0 到 23 */int tm_mday; /* 一月中的第几天,范围从 1 到 31 */int tm_mon; /* 月份,范围从 0 到 11 */int tm_year; /* 自 1900 起的年数 */int tm_wday; /* 一周中的第几天,范围从 0 到 6 */int tm_yday; /* 一年中的第几天,范围从 0 到 365 */int tm_isdst; /* 夏令时 */
};
- 程序运行的步骤:(1) 获取纤程局部储存
fls
(2)申请堆空间储存tm
结构体(3)对传入的time
返回的参数开始转换,转换的结果放入tm
结构体当中(4)返回tm
结构体的指针,函数调用结束 - 运行结果如下图所示:
- 下面开始逆向分析,由于计算机处理数据和人的计算方式有很大的不同,所以逆向其中的算法还是比较爽的。首先找到
main
函数的入口点,这里用的是Cfree-5
编译所以main
入口点比较好找,如果是微软的VS
编译的话就需要别的方法了,因为在 main 函数之前的初始化工作太复杂了。在main
函数的入口处可以很清楚的看到首先调用了time
函数,返回值储存在eax
当中,之后通过push eax
将其压入栈中,然后调用gmtime
函数,最后调用打印函数printf
- 查询一下
eax
中的值为0x240FF1C
- 由于传入的是一个地址,所以根据
eax
查询其指向的地址,可以发现值为0x5CEA203A
,需要注意的是单位是秒,为什么是倒过来读呢,因为time
函数返回的是数字类型,所以是以小尾的方式储存在内存空间中,其大小为4
个字节 - 将
0x5CEA203A
转换成年单位,得到49.4307314
年,刚刚说了这个时间是从1970-01-01
开始算的,以年为单位加上49
的结果刚好是2019
年 - 接下来
F7
进入gmtime
函数看看,开始的时候主要操作栈顶和栈底,这个对分析函数没什么用处,直接跳转到mscrt._gmtime32
即可 - 跳转过后发现会调用两个子函数,逆向之后发现第一个函数主要功能是获取纤程局部储存
FLS
,并且申请堆空间用于存放tm
结构体;而第二个函数则是核心函数,主要负责时间的转换 - 首先看一下第一个函数把,由于功能比较简单就不单步调试了。如图和注释所示,有两个子函数,第一个是获取纤程局部储存
FLS
,而第二个函数是申请堆空间,而msvcrt,_error
函数主要用作错误处理
注:调用一些比较复杂的系统
API
函数需要非常小心,因为容易出错,所以error
函数用的非常多。但是需要注意的是error
的使用要注意多线程问题,防止多个线程对用一个error
变量进行争抢
- 下面就是获取纤程局部储存的函数,其中调用了系统
API
函数FlsGetValue
,并且使用GetLastError
函数设置错误信息。当时逆向的时候也是查阅了很多的资料但没有FLS
和FlsGetValue
的资料可供了解,所以尚不清楚这个调用这个函数的目在哪里。 - 由于
FlsGetValue
调用成功了,所以直接跳转到如下位置,之后通过SetLastError
设置错误码为最后一次获取到的错误码,也就是刚刚GetLastError
函数获取到的错误码,最后返回FlsGetValue
的返回值,也就是获取到的局部储存FLS
的地址 - 调用完获取纤程局部储存的函数,之后看看获取堆空间的函数,可以看出调用这个函数只有一个参数
0x24
,应该是申请堆空间的大小 - 进入申请堆空间函数,从函数的运行流程可以大致的得出这个函数主要是通过循环的方式调用
malloc
申请堆空间,申请堆空间的大小就是传入的第一个参数0x24
,如果malloc
调用失败的话就通过sleep
函数隔段时间后再次调用,直到超出了某些限制值。如果malloc
调用成功,那么该函数则返回申请堆空间的首地址 - 运行完申请堆空间的函数后将堆空间的首地址储存在
FLS
偏移44
个字节的地方,之后再次返回堆空间的首地址 - 这样一来第一个函数就分析完了,下面来到第二个函数,这个函数就是转换时间的核心函数。从图中可以看出,这个函数传入了两个参数,第一个参数是申请的堆空间的首地址,第二个参数是
time
函数返回的时间,两个参数的作用就不再多述了 F7
进入这个函数,开始单步调试。首先从参数中取出堆空间的首地址,之后判断是否申请成功,如果申请成功的话就跳过设置错误信息的步骤- 然后初始化堆空间,其实就是将堆空间覆盖为
FFFF...
,成功之后再次跳转,目的是忽略设置异常的步骤 - 之后从参数中取出
time
函数的返回值,并且和0xFFFF5740
做比较,说明该时间不能大于136
年,成功之后再次跳转 - 还记得
tm
结构体吗,首先做的转换就是将time
函数返回的秒数转换成年,具体算法:(1)通过0x5CEA203A / 0x7861F80
得到多少年,且余数edx
约在1 - 4
年之间(2)使用5CEA203A / 7861F80 * F879E080 + 5CEA203A
公式计算出余数(3)根据余数加上固定的年数得到一共多少年,如果是1.3
年就加上1
年;2.4
年就加上2
年 - 机器的
CPU
计算方法和人的计算方法有很大的不同,最大的难点就是为何使用5CEA203A / 7861F80 * F879E080 + 5CEA203A
公式去计算余数,直接取出余数不行吗 - 来分析一下
5CEA203A / 7861F80 * F879E080 + 5CEA203A
取余公式:
原式等于: 5CEA203A / 7861F80 * F879E080 + 5CEA203A = C * F879E080 + 5CEA203A = BA5B68600 + 5CEA203A = A5B68600 + 5CEA203A = 102A0A63A= 02A0A63A
- 可能有点难理解,转换一下就行了:
原式等于: 原数 / 7861F80 * F879E080 + 原数 = 商 * F879E080 + 原数 = BA5B68600 + 原数 = A5B68600 + 原数 = 102A0A63A= 余数
- 之后还需要考虑到溢出:
原式等于: 原数 / 7861F80 * F879E080 + 原数 - B00000000 - 100000000= 商 * F879E080 + 原数- B00000000 - 100000000= BA5B68600 + 原数 - B00000000 - 100000000= A5B68600 + 原数 - 100000000= 102A0A63A - 100000000= 02A0A63A= 余数
- 而人的计算方式是这样的:
原数/ 7861F80 = 商 ... 余数 => 余数 = 原数 - 商 * 7861F80
- 所以将上面的式子化简之后,和
商 * 7861F80 + 余数 = 原数
其实是一样的:
原数/ 7861F80 * F879E080 + 原数 - B00000000 - 100000000 = 余数原数 / 7861F80 * F879E080 + 原数 - C00000000 = 余数C * F879E080 + 原数 - C00000000 = 余数C * (F879E080 - 100000000) + 原数 = 余数C * -7861F80 + 原数 = 余数原数 - 商 * 7861F80 = 余数
eax
当中储存的就是年数- 之后将
eax
存入tm
结构体偏移0x14
的位置,也就是int tm_year
在结构体tm
中的位置,其中ebx
指向的就是tm
结构体的地址,而且用的是类似数组的寻址 - 既然知道了
ebx
是tm
结构体的地址,那么下面逆向起来就快了,因为理解时间格式便于逆向其中的算法。完成了年的转换之后接下来根据tm
结构体成员变量的位置就可以推出下面转换的是天数,首先将0x15180
放入ecx
中,接着将余下的年数除以0x15180
得出一年当中的第几天(余下的年数就是上面转换年数的余数,以秒表示),将商存入tm
结构体偏移0x1C
的位置,余数存入esi
中
0x15180
十进制表示为86400
秒,刚好为1
天
- 接下来转换月份,就是处于一年当中的第几个月,范围是
0 - 11
,0
表示1
月,怎么转换的呢:通过循环比较ecx + 4
地址往后的值进行比较,如果大于就跳转。最后将月份储存在tm
结构体偏移0x10
的地方 ecx + 4
之后的值其实就是月份叠加起来的值,比如1
月就是1E(30天)
,2 月就是3A(58天=1月+2月)
,edi
中记录着月份的值,且每次循环加1
。那为什么1
月是30
天,2
月是58
天,怎么都少了一天呢,因为edi
初始值就为1
,所以是在1
月的基础上加的- 然后转换的是一月当中的第几天,这个比较简单,只需要将一年当中第几天减去
ecx + 4
的数组中表示的最大月数即可,计算结果为1A(26天)
。结果储存在tm
结构体偏移0xC
的位置 - 完成了一月当中的第几天的转换后,下面转换的是一周当中的第几天,算法很简单:首先取出
time
函数返回的秒数,之后除以0x15180(1天)
得到 1 年当中第几天,之后再除以7
,余数edx
就是一周当中第几天。结果储存在tm
结构体偏移0x18
的位置 - 最后就是转换时分秒了,由于算法比较简单就统一说了:(1)小时的转换是用上面余下的天数除以
0x1E0(3600秒)
(2)分的转换是使用余下的小时数除以3C(60秒)
(3)秒的转化就是余下的秒数,这个不需要计算(4)最后将这三个值分别存入tm
结构体偏移0x8、0x4、0x0
的地方 - 最后返回堆空间的首地址,也就是
tm
结构体的地址。如图所示tm
结构体的所有变量都已经被覆盖成转换后的值。需要注意的是返回值通过esi
返回,而不是一般的eax
逆向
time
、gmtime
函数到此结束,如有错误,欢迎指正
逆向 time.h 函数库 time、gmtime 函数相关推荐
- 【Android 内存优化】libjpeg-turbo 函数库交叉编译 ( libjpeg-turbo 函数库下载 | libjpeg-turbo 编译文档 | 环境准备 | NASM 安装 )
文章目录 一. libjpeg-turbo 函数库下载与解压 二. libjpeg-turbo 编译文档 三. 编译前环境准备 四. 安装 NASM 汇编工具 1. 下载 NASM 汇编工具 2. 拷 ...
- php常用系统函数库,PHP常用函数大全
php usleep() 函数延迟代码执行若干微秒. unpack() 函数从二进制字符串对数据进行解包. uniqid() 函数基于以微秒计的当前时间,生成一个唯一的 ID. time_sleep_ ...
- curses函数库_Shell Curses函数库
Shell Curses成立于1993年,旨在解决需要一组可移植的游标操纵函数的特定问题,而不必为每个新平台都重新编译它们. 这些功能最初是用Bourne Shell编写的,此后已迁移到Korn Sh ...
- linux shell 函数库,bash shell 函数库
bash shell 函数库ash由自由软件基金会,Inc.版权所有(C) 1989-2011. 语法 bash [options] [file] 描述 Bash是一种与sh兼容的命令语言解释器,它执 ...
- c语言stdlib函数库,C语言函数库——stdlib.h
1.abs 功能:求绝对值 2.atof 功 能: 把字符串转换成浮点数 例子: #include #include int main() { float f; char *str = "1 ...
- discuz核心函数库function_core的函数注释
/*** 系统错误处理* @param <type> $message 错误信息* @param <type> $show 是否显示信息* @param <type> ...
- mysql动态函数库_mysql自定义函数与动态查询
介绍下mysql自定义函数的例子,以及插入单引号的方法,动态执行查询与字符串拼接的相关内容. 1.mysql自定义函数的例子 mysql不能像oracle 一样写 动态SQL. 代码示例: DROP ...
- matlab函数库-optimset,OptimsetOptimget 函数用法
利用optimset函数,可以创建和编辑参数结构:利用optimget函数,可以获得options优化参数. ●optimget函数 功能:获得options优化参数. 语法: val = optim ...
- c语言常用函数库 c++常用函数库
<cstring> strlen() 字符串长度 strcmp() 字符串比较 strcpy() 字符串复制 memset() 暴力清空 memcpy() 暴力拷贝 <cmath&g ...
- c语言标准函数库怎么建立教程,C语言入门教程-创建一个函数库
描述 创建一个函数库 上述程序中的rand和bubble_sort函数很实用,很可能在您写其他程序时也能派上用场.为了能更方便地重复使用,您可以为它们创建一个实用工具函数库. 所有的函数库都包括两部分 ...
最新文章
- Swift学习——Swift解释特定的基础(七)
- 数据结构学习笔记(六):二叉树(Binary Tree)
- 信息时代计算机应用技术,计算机应用技术
- nyoj 寻找最大数
- python中r55的执行结果是_import numpy as np
- oracle回滚事务的关键字,Oracle ROLLBACK语句(回滚事务)
- [Kaggle] Housing Prices 房价预测
- 修改epo服务器 gps,epo
- 云资源管理有助于减少服务滥用和开支
- 月入10w+的offer,变成了整容、传销、网红届的韭菜
- w3school---JQuery HTML
- 36、NSTimer使用详解-开启、关闭、移除
- Python代码之三级登录
- Linux安装和卸载JDK
- 三到五年Java简历模板
- 泛微oa明细表添加按钮_关于E8,这些快捷方式你必须知道
- edge浏览器主页被360篡改如何修改?
- bzoj1189: [HNOI2007]紧急疏散evacuate
- Policy Gradient (PG)与Proximal Policy Optimization (PPO)算法详解
- 最强内存稳定性测试软件,内存稳定性测试软件TM5
热门文章
- android下载管理功能,Android下载管理器
- 2021/07/11 老男孩带你21周搞定Go语言 (二)
- ubuntu删除了python恢复_报告老师,这个坑好大(ubuntu手贱删除python3导致的桌面进不去)...
- 计算机网络实验哈工大威海,哈工大威海计算机网络实验报告2
- 中国种业大会落户 国稻种芯·中国水稻节:生命更健康主题
- matlab 85个实用案例勘误,MATLAB数字信号处理85个实用案例精讲.入门到进阶+源代码(无需密码).rar...
- 【Torch API】torch.nonzero用法详解
- Android中String.xml中空格转义字符不起作用
- css标签折行显示溢出隐藏,css 文本自动换行和超出隐藏
- android 斜边_今天,我撸了一个“可爱”的环形 Android 图表