4通利方(RichWin)、中文的星(CStar)是大家广为熟知汉化Windows产品,"陷阱"技术即动态修改Windows代码,直是其对外宣称过人技术本文从Windows模块机制和重定位概念着手,介绍了"陷阱"技术实现,并给出了采用"陷阱"技术动态修改Windows代码举例源

  、发现了什么?

  笔者多年来直从事Windows下软件Software开发工作,经历了Windows 2.0 、 3.0 、3.1 ,直至Windows 95、NT成长过程,也遍历了长青窗口、长城窗口、DBWin、CStar、RichWin等多个Windows汉化产品从现在看来,影响最大也最为成功,当推 4通利方RichWin;此外,中文的星CStar和RichWin师出门,其核心技术自然也差不多其对外宣传采用独特"陷阱"
  技术即动态修改Windows代码,直是笔者感兴趣地方

  EXEHDR是Microsoft Visual C开发工具中很有用个,它可以检查NE(New-Exe cutable)格式文件,用它来分析RichWinWSENGINE.DLL或CStarCHINESE.DLL,就会发现和众区别两点(以CStar
  1.20为例):

C:\CSTAR>exehdr chinese.dll /v
..................................
6 type   off target
  BASE    060a  seg   2 off 0000
  PTR     047e  imp GDI.GETCHARABCWIDTHS
  PTR     059b  imp GDI.ENUMFONTFAMILIES
  PTR     0451  imp DISPLAY.14  ( EXTTEXTOUT )
  PTR     0415  imp KEYBOARD.4  ( TOASCII )
  PTR     04ba  imp KEYBOARD.5  ( ANSITOOEM )
  PTR     04c9  imp KEYBOARD.6  ( OEMTOANSI )
  PTR     04d8  imp KEYBOARD.134( ANSITOOEMBUFF )
  PTR     05f5  imp USER.430    ( LSTRCMP )
  PTR     04e7  imp KEYBOARD.135( OEMTOANSIBUFF )
  PTR     0514  imp USER.431    ( ANSIUPPER )
  PTR     0523  imp USER.432    ( ANSILOWER )
  PTR     05aa  imp GDI.56      ( CREATEFONT )
  PTR     056e  imp USER.433    ( ISCHARALPHA )
  PTR     05b9  imp GDI.57      ( CREATEFONTINDIRECT )
  PTR     057d  imp USER.434    ( ISCHARALPHANUMERIC )
  PTR     049c  imp USER.179    ( GETSYSTEMMETRICS )
  PTR     0550  imp USER.435    ( ISCHARUPPER )
  PTR     055f  imp USER.436    ( ISCHARLOWER )
  PTR     0532  imp USER.437    ( ANSIUPPERBUFF )
  PTR     0541  imp USER.438    ( ANSILOWERBUFF )
  PTR     05c8  imp GDI.69      ( DELETEOBJECT )
  PTR     058c  imp GDI.70      ( ENUMFONTS )
  PTR     04ab  imp KERNEL.ISDBCSLEADBYTE
  PTR     05d7  imp GDI.82      ( GETOBJECT )
  PTR     048d  imp KERNEL.74   ( OPENFILE )
  PTR     0460  imp GDI.91      ( GETTEXTEXTENT )
  PTR     05e6  imp GDI.92      ( GETTEXTFACE )
  PTR     046f  imp GDI.350     ( GETCHARWIDTH )
  PTR     0442  imp GDI.351     ( EXTTEXTOUT )
  PTR     0604  imp USER.471    ( LSTRCMPI )
  PTR     04f6  imp USER.472    ( ANSINEXT )
  PTR     0505  imp USER.473    ( ANSIPREV )

  PTR     0424  imp USER.108    ( GETMESSAGE )
  PTR     0433  imp USER.109    ( PEEKMESSAGE )
35 relocations

(括号内为笔者加上对应Windows API)

  第,在数据段中,发现了重定位信息

  第 2,这些重定位信息提示,全都和文字显示输出和键盘、串有关也就是说汉化Windows,必须修改这些

  在这非常特殊地方,隐藏着什么呢?毋庸置疑,这和众区别两点,对打开"陷阱"技术的门而言,不是金钥匙,也是敲门砖

   2、Windows模块机制和重定位概念

  为了深入探究"陷阱"技术,我们先来介绍Windows模块机制

  Windows运行分实模式、标准模式和增强模式 3种,虽然这几种模式各不相同,但其核心模块关系却是完全致,见图

  主要 3个模块,有如下关系:

  ·KERNEL是Windows系统内核,它不依赖其它模块

  ·GDI是Windows图形设备接口模块,它依赖于KERNEL模块

  ·USER是Windows用户接口服务模块,它依赖于KERNEL、GDI模块及设备驱动等所有模块

  这 3个模块,实际上就是Windows 3个动态链接库KERNEL有 3种系统存在形式:Kern el.exe(实模式)、Krnl286.exe(标准模式)、Krnl386.exe(386增强模式);GDI模块是Gdi.ex
  e;USER模块是User.exe虽然文件名都以EXE为扩展名,但它们实际都是动态链接库

  <图片>

  图1 Windows模块机制

  同时,几乎所有API都隐藏在这 3个模块中用EXEHDR对这 3个模块分析,就可列出大堆大家所熟悉Windows API

  以GDI模块为例,运行结果如下:
C:\WINDOWS\SYSTEM＞exehdr gdi.exe
Exports:
rd seg off name
............
351 1 923e EXTTEXTOUT exported, shared data
56 3 19e1 CREATEFONT exported, shared data
............

至此,读者已能从Windows纷繁复杂系统中理出些头续来下面,再引入个重要概念——重定位

  个Windows执行对API或对其它动态库,在装入内存前,都是些不能定位动态链接;当调入内存时,这些远都需要重新定位,重新定位依据就是重定位表在Windows执行(包括动态库)每个段后面,通常都跟有这样个重定位表重定位包含所在模块、序列号以及定位在模块中位置

  例如,用EXEHDR /v 分析CHINESE.DLL得到:

  

6 type off target
..........
PTR 0442 imp GDI.351

..........

就表明,在本段0442H偏移处,了GDI第351号如果在0442H处是0000:FFFF ,表示本段内仅此处了GDI.351;否则,表明了本段内还有处此,位置就是0442H处所指向内容,实际上重定位表只含有引用位置链表链头那么,GDI.
351是个什么呢?用EXEHDR对GDI.EXE作分析,就可得出,在GDI出口(Export)中,第351号是ExtTextOut

  这样,我们在EXEHDR这简单而非常有用工具帮助下,已经在Windows浩瀚海洋中畅游了会,下面让我们继续深入下去

   3、动态汉化Windows原理

  我们知道,传统汉化Windows思路方法,是要直接修改Windows显示、输入、打印等模块代码,或用DDK直接开发"中文设备"驱动模块这样不仅工作量大,而且,系统完备性很难保证,性能上也有很多限制(早期长青窗口就是如此),所以只有从内核上修改Windows核心代码才是最彻底办法

  从Windows模块机制,我们可以看到,Windows实际上是由包括在KERNEL、GDI、US ER等几个模块中众多支撑那么,修改其中涉及语言文字处理,使的能适应中文需要,不就能达到汉化目了吗?

  因而,我们可以得出这样结论:在自己模块中重新编写涉及文字显示、输入多个,然后,将Windows中对这些引用,改向到自己这些模块中来修改哪些才能完成汉化,这需要深入分析Windows内部结构,但CHINESE.DLL已明确无误地告诉了我们,在其数据段重定位表中列出引用,正是CStar修改了Windows!为了验证这思路,
  我们利用RichWin作核实

  用EXEHDR分析GDI.EXE,得出ExtTextOut在GDI第代码段6139H偏移处(区别版本Windows其所在代码段和偏移可能不样)然后,用HelpWalk(也是Microsoft
  Visual C+ +开发工具中个)检查GDICode1段,6139H处前5个字节是 B8 FF 05 45 55,经过运行Ri chWin 4.3
  for Internet后,再查看同样地方,已改为 EA 08 08 8F 3D其实反汇编就知道,这5个字节就是 Jmp 3D8F:0808,而句柄为0x3D8F模块,用HelpWalk能观察正是RichWin
  WSENGINE.DLL第代码段( 模块名为TEXTMAN)而偏移0808H处 B8 B7 3D 45 55 8B E C 1E,正是个起始地方,这实际上就是RichWin所重改写ExtTextOut退出Ri
  chWin后,再用HelpWalk观察GDICode1代码段,切又恢复正常!这和前面分析结论完全吻合!那么,下个关键点就是如何动态修改Windows代码,也就是汉化Windows核心——"陷阱"技术

   4、"陷阱"技术

  讨论"陷阱"技术,还要回到前面两个发现发现的 2,已能解释为修改Windows,而发现的却仍是个迷

  数据段存放是变量及常量等内容,如果这里面包含有重定位信息,那么,必定要在变量介绍说明中将指针赋给个FARPROC类型变量,于是,在变量介绍说明中写下:

  FARPROC FarProcFunc=ExtTextOut;

  果然,在自己数据段中也有了重定位信息这样,当调入内存时,变量FarPro cFunc已是ExtTextOut地址了

  要直接修改代码段内容,还遇到个难题,就是代码段是不可改写这时,需要用到个未公开WindowsAllocCStoDSAlias,取得和代码段有相同基址可写数据段别名,
  其声明为:

  WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel);

  参数是代码段句柄,返回值是可写数据段别名句柄

  Windows中地址是32位,高字节是其模块内存句柄,低字节是在模块内偏移将得到可写数据段别名句柄锁定,再将偏移处5个字节保留下来,然后将其改为转向替代(用
  EA Jmp):

  *(lpStr+wOff) =0xEA;

   4通利方(RichWin)、中文的星(CStar)是大家广为熟知汉化Windows产品,"陷阱"技术即动态修改Windows代码,直是其对外宣称过人技术本文从Windows模块机制和重定位概念着手,介绍了"陷阱"技术实现,并给出了采用"陷阱"技术动态修改Windows代码举例源

//源 relocate.c
# ＜WINDOWS.H＞
# ＜dos.h＞
BOOL WINAPI MyExtTextOut(HDC hDC, x, y, UINT nInt1, const RECTFAR*l
pRect,LPCSTR lpStr, UINT nInt2, FAR* lpInt);
WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel);
typedef struct tagFUNC
{
FARPROC lpFarProcReplace;  //替代地址
FARPROC lpFarProcWindows;  //Windows地址
BYTE    bOld;        //保存原第字节
LONG    lOld;        //保存原接后 4字节长值
}FUNC;
FUNC  Func={MyExtTextOut,ExtTextOut};
//Windows主
PASCAL WinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,LPSTR lpCmdL
ine, nCmdShow){
HANDLE hMemCode;  //代码段句柄
WORD hMemData;  //相同基址可写数据段别名
WORD   wOff;   //偏移
LPSTR  lpStr;
LPLONG lpLong;
char   lpNotice[96];
hMemCode=HIWORD((LONG) Func.lpFarProcWindows );
wOff=LOWORD((LONG) Func.lpFarProcWindows );
wsprf(lpNotice,"所在模块句柄 0x%4xH,偏移 0x%4xH",hMemCode,wOff);
MessageBox(NULL,lpNotice,"提示",MB_OK);
//取和代码段有相同基址可写数据段别名
hMemData=AllocCStoDSAlias(hMemCode);
lpStr=GlobalLock(hMemData);
lpLong=(lpStr+wOff+1 );
//保存原要替换头几个字节
Func.bOld=*(lpStr+wOff);
Func.lOld=*lpLong;
*(lpStr+wOff)=0xEA;
*lpLong=Func.lpFarProcReplace;
GlobalUnlock(hMemData);
MessageBox(NULL,"改为自己","提示",MB_OK);
//将保留内容改回来
hMemData=AllocCStoDSAlias(hMemCode);
lpStr=GlobalLock(hMemData);
lpLong=(lpStr+wOff+1 );
*(lpStr+wOff)=Func.bOld;
*lpLong=Func.lOld;
GlobalUnlock(hMemData);
MessageBox(NULL,"改回原Windows","提示",MB_OK);
1;
}
//自己替代
BOOL WINAPI MyExtTextOut(HDC hDC, x, y, UINT nInt1, const RECT FAR*
lpRect, LPCSTR lpStr, UINT nInt2, FAR* lpInt){
BYTE NameDot[96]={
  0x09, 0x00, 0xfd, 0x08, 0x09, 0x08, 0x09, 0x10, 0x09, 0x20,
  0x79, 0x40, 0x41, 0x04, 0x47, 0xfe, 0x41, 0x40, 0x79, 0x40,
  0x09, 0x20, 0x09, 0x20, 0x09, 0x10, 0x09, 0x4e, 0x51, 0x84,
  0x21, 0x00, 0x02, 0x00, 0x01, 0x04, 0xff, 0xfe, 0x00, 0x00,
  0x1f, 0xf0, 0x10, 0x10, 0x10, 0x10, 0x1f, 0xf0, 0x00, 0x00,
  0x7f, 0xfc, 0x40, 0x04, 0x4f, 0xe4, 0x48, 0x24, 0x48, 0x24,
  0x4f, 0xe4, 0x40, 0x0c, 0x10, 0x80, 0x10, 0xfc, 0x10, 0x88,
  0x11, 0x50, 0x56, 0x20, 0x54, 0xd8, 0x57, 0x06, 0x54, 0x20,
  0x55, 0xfc, 0x54, 0x20, 0x55, 0xfc, 0x5c, 0x20, 0x67, 0xfe,
  0x00, 0x20, 0x00, 0x20, 0x00, 0x20
};
HBITMAP hBitmap,hOldBitmap;
  HDC     hMemDC;
  BYTE far *lpDot;
       i;
  for ( i=0;i＜3;i )
{
lpDot=(LPSTR)NameDot+i*32;
hMemDC=CreateCompatibleDC(hDC);
hBitmap=CreateBitmap(16,16,1,1,lpDot);
SetBitmapBits(hBitmap,32L,lpDot);
hOldBitmap=SelectObject(hMemDC,hBitmap);
BitBlt(hDC,x+i*16,y,16,16,hMemDC,0,0,SRCCOPY);
DeleteDC(hMemDC);
DeleteObject(hBitmap);
}
TRUE;
}
//模块定义文件  relocate.def
NAME      RELOCATE
EXETYPE   WINDOWS
CODE      PRELOAD MOVEABLE DISCARDABLE
DATA      PRELOAD MOVEABLE MULTIPLE
HEAPSIZE  1024
EXPORTS

5、结束语

  本文从原理上分析了称为"陷阱"技术动态汉化Windows思路方法,介绍了将任Windows改向到自己指定处通用思路方法,这种思路方法可以拓展到其它应用中,如多语种显示、区别内码制式切换显示等