在MFC中快速定位按钮事件的新方式

我在上一篇文章《 如何在MFC中定位按钮事件 》采用了寻找虚函数表的方法来寻找按钮事件，但是用不同版本的VS编译器编译出来的MFC程序，在进入afxWinMain入口前做了非常多的工作，而且在不同版本中所做的内容是不尽相同的。下图左边是vs6.0的MFC的调用堆栈，右边是vs2010的MFC的调用堆栈。

在MFC程序中，有且仅有一个继承自CWinApp的类，而且这个类是全局的，只有一个，程序运行的时候已经初始化了。

1，原理：
继承自CWinApp的类和窗口的类在内存中有 static const AFX_MSGMAP_ENTRY _messageEntries[]消息映射数组，我们知道消息映射的结构是
struct AFX_MSGMAP_ENTRY
　　{
　　　UINT nMessage; // windows message
　　　UINT nCode; // control code or WM_NOTIFY code
　　　UINT nID; // control ID (or 0 for windows messages)
　　　UINT nLastID; // used for entries specifying a range of control id’s
　　　UINT nSig; // signature type (action) or pointer to message #
　　　AFX_PMSG pfn; // routine to call (or special value)
　　};
那么，我们就可以在内存中搜索这个特征。
默认的MFC程序会添加如下的消息映射，当我们添加按钮事件的时候入右图所示。

ON_WM_SYSCOMMAND的定义如下，WM_SYSCOMMAND对应的数字就是0x112；按钮按下形成的数字是0x111，然后我们就利用这些特征搜索数据。

2，OD分析
经过大量的实验发现， _messageEntries是全局静态数组，基本都存在于程序的 .rdata段。

双击这个.rdata段，进入到内存中，然后我们查找二进制字符串。

找到了如下数据，内存中有可能存在多个这样的结构，每个都要试一下。

然后我们在内存里面查看这些数据，发现它刚好符合 AFX_MSGMAP_ENTRY 的结构体，说明我们找到了。

然后我们往下找0x111这个数据，并在反汇编窗口中定位代码，程序执行函数是0x013315ea，跟上面的01354fe0不一样，为什么呢？因为 0x013315ea处就是一个跳转jmp到 01354fe0处。我在这个按钮事件中只写了一个函数Messagebox(0,“2010”,0)，大家分析这段代码可以发现正是按钮的响应事件函数。