python逆向入门教程

1、开发环境

我们在Windows 10上开始python逆向之旅，首先开始搭建开发环境，python解释器使用最新的3.6.1，IDE使用PyCharm社区版2017.1.3，下载地址如下所示，下载完成后直接双击安装包安装即可，随后设置PyCharm的Project Interpreter为刚才安装的Python解释器就可以了。

【Python】https://www.python.org/downloads/
【PyCharm】http://www.jetbrains.com/pycharm/download/#section=windows

2、ctypes

首先介绍一下ctypes，它是一个用于Python的外部函数库，提供了与C语言兼容的数据类型，允许调用动态链接库或共享库中的函数，还可以包装这些库。下面是ctypes中的数据类型与C语言、Python中的数据类型的对应关系。

ctypes中的数据类型全部通过class来实现，在Python中加载C库涉及如下几个类。

class ctypes.CDLL 加载共享库，使用标准C函数调用惯例即cdecl，返回类型为int。 class ctypes.OleDLL 加载共享库，只用于Windows平台，使用stdcall函数调用惯例，返回类型为HRESULT。 class ctypes.WinDLL 加载共享库，只用于Windows平台，使用stdcall函数调用惯例，返回类型为int。 class ctypes.PyDLL 类似于CDLL，与前面三个不同的是，在函数调用期间不会释放GIL，Global Interpreter Lock。 class ctypes.LibraryLoader(dlltype) dlltype为CDLL、OleDLL、WinDLL、PyDLL，这个类有一个加载共享库的函数LoadLibrary。

加载C库更简单的方法是使用如下几个预先创建的类实例。

ctypes.cdllctypes.oledllctypes.windllctypes.pydllctypes.pythonapi

上面提到了函数调用惯例cdecl和stdcall，cdecl的意思是函数的参数从右往左依次压入栈内，函数的调用者在函数执行完成之后负责函数的平衡，常用于X86架构的C语言里，返回值存储在EAX寄存器中，从汇编代码的角度来看，函数参数从右往左依次压栈，然后调用函数，最后修改栈指针ESP为原来的位置。stdcall，参数传递的顺序也是从右到左，不过栈的平衡处理由函数自己完成，而不是调用者，返回值同样存储在EAX中，也就是说，函数参数压栈、函数调用之后没有像cdecl一样的栈指针ESP移动。

下面的例子在Python中调用C的printf函数，printf属于“C:/Windows/System32/msvcrt.dll”，也就是Linux上的“libc.so”。

from ctypes import *msvcrt = cdll.msvcrtmessage = b"Hello World/n"msvcrt.printf(b"Message is %s", message)

上面的代码输出“Message is Hello World”。另外，ctypes还允许在Python中定义结构和联合等其它高级功能，详细介绍请参考https://docs.python.org/3.6/library/ctypes.html?highlight=ctypes#。

3、调试原理

使用调试器，能够对程序进行动态跟踪和分析，特别是涉及到exploit、fuzzer和病毒分析的时候，动态分析程序的能力就显得非常重要了。调试程序时，如果可以获得源代码，调试起来就容易一些，也就是透明的白盒测试，如果没有源代码，也就是黑盒测试，想要得到理想的结果，那就必须拥有高超的逆向技术和逆向工具的帮助。黑盒测试包括用户模式与内核模式两种情况，两者有不同的权限。