windows - WinExec 返回 0x21，但它到底是什么意思呢？-6ren

windows - WinExec 返回 0x21，但它到底是什么意思呢？

转载作者：可可西里更新时间：2023-11-01 13:28:16

当调用 WinExec 运行 .exe 时，我得到返回值 0x21。
根据 MSDN，返回值大于 31 (0x1F) 表示函数成功。
但是0x21是什么意思，为什么没有返回其他值给我呢？

最佳答案

知道是什么意思对你没有用。那是一个实现细节。即使您知道此版本的含义，下一个版本中的含义也可能会发生变化。作为程序员，您只关心针对接口(interface)进行编程，而不关心底层实现。

但是，如果您真的感兴趣，我将带您了解我将采用的对函数进行逆向工程的方法。在我的系统上，WinExec 被反汇编为:

764F2C21 > 8BFF             MOV EDI,EDI
764F2C23   55               PUSH EBP
764F2C24   8BEC             MOV EBP,ESP
764F2C26   81EC 80000000    SUB ESP,80
764F2C2C   53               PUSH EBX
764F2C2D   8B5D 0C          MOV EBX,DWORD PTR SS:[EBP+C]
764F2C30   56               PUSH ESI
764F2C31   57               PUSH EDI
764F2C32   33FF             XOR EDI,EDI
764F2C34   47               INC EDI
764F2C35   33F6             XOR ESI,ESI
764F2C37   85DB             TEST EBX,EBX
764F2C39   79 4F            JNS SHORT kernel32.764F2C8A
764F2C3B   8D45 FC          LEA EAX,DWORD PTR SS:[EBP-4]
764F2C3E   50               PUSH EAX
764F2C3F   56               PUSH ESI
764F2C40   57               PUSH EDI
764F2C41   8D45 C8          LEA EAX,DWORD PTR SS:[EBP-38]
764F2C44   50               PUSH EAX
764F2C45   C745 FC 20000000 MOV DWORD PTR SS:[EBP-4],20
764F2C4C   E8 90BE0200      CALL <JMP.&API-MS-Win-Core-ProcessThread>
764F2C51   85C0             TEST EAX,EAX
764F2C53   0F84 D2000000    JE kernel32.764F2D2B
764F2C59   56               PUSH ESI
764F2C5A   56               PUSH ESI
764F2C5B   6A 04            PUSH 4
764F2C5D   8D45 F8          LEA EAX,DWORD PTR SS:[EBP-8]
764F2C60   50               PUSH EAX
764F2C61   68 01000600      PUSH 60001
764F2C66   56               PUSH ESI
764F2C67   8D45 C8          LEA EAX,DWORD PTR SS:[EBP-38]
764F2C6A   50               PUSH EAX
764F2C6B   C745 0C 00000800 MOV DWORD PTR SS:[EBP+C],80000
764F2C72   897D F8          MOV DWORD PTR SS:[EBP-8],EDI
764F2C75   E8 5CBE0200      CALL <JMP.&API-MS-Win-Core-ProcessThread>
764F2C7A   85C0             TEST EAX,EAX
764F2C7C   0F84 95000000    JE kernel32.764F2D17
764F2C82   8D45 C8          LEA EAX,DWORD PTR SS:[EBP-38]
764F2C85   8945 C4          MOV DWORD PTR SS:[EBP-3C],EAX
764F2C88   EB 03            JMP SHORT kernel32.764F2C8D
764F2C8A   8975 0C          MOV DWORD PTR SS:[EBP+C],ESI
764F2C8D   6A 44            PUSH 44
764F2C8F   8D45 80          LEA EAX,DWORD PTR SS:[EBP-80]
764F2C92   56               PUSH ESI
764F2C93   50               PUSH EAX
764F2C94   E8 B5E9F7FF      CALL <JMP.&ntdll.memset>
764F2C99   83C4 0C          ADD ESP,0C
764F2C9C   33C0             XOR EAX,EAX
764F2C9E   3975 0C          CMP DWORD PTR SS:[EBP+C],ESI
764F2CA1   897D AC          MOV DWORD PTR SS:[EBP-54],EDI
764F2CA4   0F95C0           SETNE AL
764F2CA7   66:895D B0       MOV WORD PTR SS:[EBP-50],BX
764F2CAB   8D0485 44000000  LEA EAX,DWORD PTR DS:[EAX*4+44]
764F2CB2   8945 80          MOV DWORD PTR SS:[EBP-80],EAX
764F2CB5   8D45 E8          LEA EAX,DWORD PTR SS:[EBP-18]
764F2CB8   50               PUSH EAX
764F2CB9   8D45 80          LEA EAX,DWORD PTR SS:[EBP-80]
764F2CBC   50               PUSH EAX
764F2CBD   56               PUSH ESI
764F2CBE   56               PUSH ESI
764F2CBF   FF75 0C          PUSH DWORD PTR SS:[EBP+C]
764F2CC2   56               PUSH ESI
764F2CC3   56               PUSH ESI
764F2CC4   56               PUSH ESI
764F2CC5   FF75 08          PUSH DWORD PTR SS:[EBP+8]
764F2CC8   56               PUSH ESI
764F2CC9   E8 A4E3F7FF      CALL kernel32.CreateProcessA
764F2CCE   85C0             TEST EAX,EAX
764F2CD0   74 27            JE SHORT kernel32.764F2CF9
764F2CD2   A1 3C005476      MOV EAX,DWORD PTR DS:[7654003C]
764F2CD7   3BC6             CMP EAX,ESI
764F2CD9   74 0A            JE SHORT kernel32.764F2CE5
764F2CDB   68 30750000      PUSH 7530
764F2CE0   FF75 E8          PUSH DWORD PTR SS:[EBP-18]
764F2CE3   FFD0             CALL EAX
764F2CE5   FF75 E8          PUSH DWORD PTR SS:[EBP-18]
764F2CE8   8B35 A0054776    MOV ESI,DWORD PTR DS:[<&ntdll.NtClose>]  ; ntdll.ZwClose
764F2CEE   FFD6             CALL ESI
764F2CF0   FF75 EC          PUSH DWORD PTR SS:[EBP-14]
764F2CF3   FFD6             CALL ESI
764F2CF5   6A 21            PUSH 21
764F2CF7   EB 1D            JMP SHORT kernel32.764F2D16
764F2CF9   E8 C9E4F7FF      CALL <JMP.&API-MS-Win-Core-ErrorHandling>
764F2CFE   48               DEC EAX
764F2CFF   48               DEC EAX
764F2D00   74 12            JE SHORT kernel32.764F2D14
764F2D02   48               DEC EAX
764F2D03   74 0B            JE SHORT kernel32.764F2D10
764F2D05   2D BE000000      SUB EAX,0BE
764F2D0A   75 0B            JNZ SHORT kernel32.764F2D17
764F2D0C   6A 0B            PUSH 0B
764F2D0E   EB 06            JMP SHORT kernel32.764F2D16
764F2D10   6A 03            PUSH 3
764F2D12   EB 02            JMP SHORT kernel32.764F2D16
764F2D14   6A 02            PUSH 2
764F2D16   5E               POP ESI
764F2D17   F745 0C 00000800 TEST DWORD PTR SS:[EBP+C],80000
764F2D1E   74 09            JE SHORT kernel32.764F2D29
764F2D20   8D45 C8          LEA EAX,DWORD PTR SS:[EBP-38]
764F2D23   50               PUSH EAX
764F2D24   E8 A2BD0200      CALL <JMP.&API-MS-Win-Core-ProcessThread>
764F2D29   8BC6             MOV EAX,ESI
764F2D2B   5F               POP EDI
764F2D2C   5E               POP ESI
764F2D2D   5B               POP EBX
764F2D2E   C9               LEAVE
764F2D2F   C2 0800          RETN 8

Win32 下使用的调用约定是 stdcall，它要求返回值保存在 EAX 中。在 WinExec 的情况下，函数只有一个导出 (0x764F2D2F)。从那里追溯，EAX 设置为(至少当返回为 0x21 时):

764F2D29   8BC6             MOV EAX,ESI

进一步追溯，ESI 本身是从 POP ESI 设置的，它将堆栈的顶部弹出到 ESI 中。 this 的值取决于之前压入堆栈的内容。在 0x21 的情况下，这发生在:

764F2CF5   6A 21            PUSH 21

紧接着，对 POP ESI 进行了 JMP。我们如何到达 PUSH 21 只有在 CreateProcess 调用之后才有趣。

764F2CC9    E8 A4E3F7FF     CALL kernel32.CreateProcessA
764F2CCE    85C0            TEST EAX,EAX
764F2CD0    74 27           JE SHORT kernel32.764F2CF9
764F2CD2    A1 3C005476     MOV EAX,DWORD PTR DS:[7654003C]
764F2CD7    3BC6            CMP EAX,ESI
764F2CD9    74 0A           JE SHORT kernel32.764F2CE5
764F2CDB    68 30750000     PUSH 7530
764F2CE0    FF75 E8         PUSH DWORD PTR SS:[EBP-18]
764F2CE3    FFD0            CALL EAX
764F2CE5    FF75 E8         PUSH DWORD PTR SS:[EBP-18]
764F2CE8    8B35 A0054776   MOV ESI,DWORD PTR DS:[<&ntdll.NtClose>]  ; ntdll.ZwClose
764F2CEE    FFD6            CALL ESI
764F2CF0    FF75 EC         PUSH DWORD PTR SS:[EBP-14]
764F2CF3    FFD6            CALL ESI
764F2CF5    6A 21           PUSH 21

要查看路径如何将您带到 PUSH 21，请观察不同的分支。第一个发生为:

764F2CD0   74 27            JE SHORT kernel32.764F2CF9

这是说如果 CreateProcess 返回 0，调用 Win-Core-ErrorHandling。然后返回值设置不同(如果 CreateProcess 失败，0x2、0x3 和 0xB 都是可能的返回值)。

下一个分支对于逆向工程来说不太明显:

764F2CD9   74 0A            JE SHORT kernel32.764F2CE5

它所做的是读取一个可能包含函数指针的内存地址(我们知道这一点是因为稍后会调用读取的结果)。此 JE 仅指示是否进行此调用。不管是否调用，下一步是调用 ZwClose(两次)。最后返回0x21。

因此，一种简单的查看方式是，当 CreateProcess 成功时，返回 0x21，否则返回 0x2、0x3 或 0xB。这并不是说这些是唯一的返回值。例如，0x0 也可以从位于 0x764F2C53 的分支返回(在这种情况下，ESI 根本没有以相同的方式使用)。还有一些可能的返回值，但我会将这些留给您自己研究。

我向您展示的是如何针对 0x21 返回对 WinExec 进行非常浅显的分析。如果你想了解更多，你需要更深入地探索，并尝试从更高的层次上理解这是怎么回事。只需为函数设置断点并逐步执行它(通过这种方式，您就可以观察数据值)，您将能够找到更多信息。

另一种方法是查看 Wine source ，有人已经为您完成了所有艰苦的工作:

UINT WINAPI WinExec( LPCSTR lpCmdLine, UINT nCmdShow )
{
    PROCESS_INFORMATION info;
    STARTUPINFOA startup;
    char *cmdline;
    UINT ret;

    memset( &startup, 0, sizeof(startup) );
    startup.cb = sizeof(startup);
    startup.dwFlags = STARTF_USESHOWWINDOW;
    startup.wShowWindow = nCmdShow;

    /* cmdline needs to be writable for CreateProcess */
    if (!(cmdline = HeapAlloc( GetProcessHeap(), 0, strlen(lpCmdLine)+1 ))) return 0;
    strcpy( cmdline, lpCmdLine );

     if (CreateProcessA( NULL, cmdline, NULL, NULL, FALSE,
                        0, NULL, NULL, &startup, &info ))
    {
        /* Give 30 seconds to the app to come up */
        if (wait_input_idle( info.hProcess, 30000 ) == WAIT_FAILED)
            WARN("WaitForInputIdle failed: Error %d\n", GetLastError() );
        ret = 33;
        /* Close off the handles */
        CloseHandle( info.hThread );
        CloseHandle( info.hProcess );
    }
    else if ((ret = GetLastError()) >= 32)
    {
        FIXME("Strange error set by CreateProcess: %d\n", ret );
        ret = 11;
    }
    HeapFree( GetProcessHeap(), 0, cmdline );
    return ret;
}

33d 是 0x21 所以这实际上只是证实了我们之前分析的结果。

关于返回 0x21 的原因，我的猜测是可能存在更多内部文档，使其在某些方面更有用。

关于windows - WinExec 返回 0x21，但它到底是什么意思呢？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/9869417/

文章推荐： windows - 将 x86/64 Windows 程序移植到 Windows 8 ARM

文章推荐： html - 导航栏顶部的 Bootstrap 警报

文章推荐： php - 在 PHP 中插入和选择存储过程

文章推荐： windows - 参见 .exe 的 std::cout

JavaScript:意思？
关闭。这个问题需要多问focused 。目前不接受答案。想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post . 已关闭 9 年前。 Improve this ques
python - 装箱(意思)
关闭。这个问题是not reproducible or was caused by typos .它目前不接受答案。这个问题是由于错别字或无法再重现的问题引起的。虽然类似的问题可能是on-topi
c - 返回什么；意思？
在main()中声明其原型(prototype)的函数的返回数据类型为void。它包含一个指令返回；如 main() { void create(int *p); *some code
scala 奇怪的符号 "_@"意思
我想知道这个 scala 符号是什么:_@。 (搜索引擎无法识别奇怪的字符，因此很难在 google 上找到任何内容...) 这里是上下文: def doNodeParse(json: JValue)
gcc - 什么 '__asm__(".previous");'意思？
在尝试编译我的项目时，它使用了一些第三方头文件，使用 mingw 4.4，我遇到了以下错误: Assembler messages: Error: junk at end of line, first
c - 什么 ((void (*)())buf)();意思？
我正在解决 picoCTF 上的二进制漏洞利用挑战，并遇到了这段代码: ((void (*)())buf)(); 哪里buf是一个字符数组。我解决了挑战，但似乎无法理解它到底在做什么。我看了this
javascript - export default something() 意思
我正在浏览 React Navigation docs我在那里遇到了这样的事情: import Ionicons from 'react-native-vector-icons/Ionicons';
selenium -//按钮[@type ='submit']意思
selenium 中以下命令的含义是什么？我尝试创建一个自动测试用例。然后如下://button[@type='submit'] 我在 selenium 工具中看到的语法。最佳答案这是一个 XP
c - a[0] 在多维数组中表示(意思)是什么？
我刚开始看书学习 C 语言，对他们讨论指针和数组的部分并没有感到困惑。如果有一个名为 a[NUM_ROW][NUM_COLS] 的多维数组(我只是将此数组讨论为特定的二维数组)，那么 a[0] 是什么
c - while (*p2++ = *p1++); 是做什么的？意思？
这个问题在这里已经有了答案: How does "while(*s++ = *t++)" copy a string? (17 个答案) 关闭 9 年前。我有一个代码块: int main ()
linux - 什么信号(SIGCHLD，SIG_DFL);意思？
我没有在我的代码中处理 SIGCHLD。我的进程在终止后仍然立即被删除。我希望它成为僵尸进程。如果我将 SIGCHLD 设置为 SIG_DFL 那么它会起作用吗？如何将 SIGCHLD 设置为 SI
python - fig, ax = plt.subplots() 意思
我已经使用 matplotlib 一段时间了，但我并不真正理解这一行的作用。 fig, ax = plt.subplots() 谁能解释一下？最佳答案 plt.subplots() 基本上是一个(非
c - double* (*p[3]) (void* (*)()); 是什么意思？意思？
我很难理解以下声明的含义。这个申报标准吗？ double* (*p[3]) (void* (*)()); 谁能帮我理解这个声明的意思？最佳答案阅读复杂声明的规则:找到最左边的标识符并向外工作，记住
c - 这个声明 typedef void foo(); 是什么意思？意思？
关闭。这个问题需要details or clarity .它目前不接受答案。想改进这个问题吗？通过 editing this post 添加细节并澄清问题. 关闭 8 年前。 Improve t
shell - 1>/dev/null 2>&1 & pid1=$!意思？
我正在学习如何并行运行多个进程 ./script1.sh param1 1>/dev/null 2>&1 & pid1=$! ./script1.sh param2 1>/dev/null
javascript - 在 Chaplin js 框架中，以 ! 为前缀的事件是做什么的？意思？
我看到这些事件散布在 chaplin 示例代码中，但在文档或源代码中没有任何解释。似乎这意味着它是一个全局事件，触发了一个 Action 。那是对的吗？它们只是一个惯例，还是以某种方式强制执行？ #
c - C 表达式 ((void(*)(void))0)(); 是什么意思？意思？
((void(*)(void))0)(); 所以我们将整数 0 类型转换为这个棘手的类型 (void(*))(void) 然后执行它。消息来源声称这应该有效，但实际上是什么？我想这一定是像 #def
javascript - following a function with (jQuery, window, document) 是什么意思？意思？
这个问题在这里已经有了答案: How does this JavaScript/jQuery syntax work: (function( window, undefined ) { })(win
fortran - 在 Fortran 中，.feq 有什么作用？或.fne。意思？
if(a .feq. 5.0_dp) then **** if(a .fne. 5.2_dp) then ***我遇到了一些这样的代码。 .feq 有什么作用？或.fne。意思？是“=”还是“\=”？
java - Java 中的通配符 Generic 和意思，下界或上界
所以我在阅读泛型方法时感到很困惑。先说一下这里的问题: 在这个例子中:假设我需要一个适用于任何类型 T 的 selectionSort 版本，方法是使用调用者提供的外部可比较对象。第一次尝试: pu

可可西里

个人简介

我是一名优秀的程序员,十分优秀！

作者热门文章

滴滴打车优惠券免费领取

全站热门文章

首页

博学

6Ren·AI

商城

windows - WinExec 返回 0x21，但它到底是什么意思呢？