作 者: 冲天剑
时 间: 2007-08-13,01:01:38
链 接:
真是晕啊，这篇文章写到一半的时候竟然有人说cards.dll的源代码可以在MSDN Library中找到，我看了一下本机的MSDN，反正我是没找到，有谁知道在哪找的麻烦指点一下，哎，害的我后面写那么一大堆废话来凑篇幅
Windows XP 系统自带扑克牌资源动态链接库cards.dll逆向分析笔记
使用工具：IDA Pro, Resource Hacker
0. 前言
cards.dll是Windows系统目录下的一个动态链接库，主要提供扑克牌图像及相关操作等资源，以供
Windows附带的扑克游戏程序（如纸牌、红心大战等）使用。
我们希望知道cards.dll具体提供了哪些东西，可供自由编程所用。
1. 反编译
一般而言，将原始二进制文件还原成高级语言源文件的逆向工程有两个步骤：一是反编译，根据目
标文件反汇编的内容，识别指令、存储单元等基本要素并理解这些要素之间的相互关系，从而写出相应
的高级语言语句；二是自文档化，根据程序的上下文，理解程序中各个变量所代表的含义，给它们重新
赋予意义明了的名称，必要时添加一定的注释，以使得源程序具有一定的文档性，容易看懂和理解。
由于这里是人工逆向，这两个步骤分得并不清楚，实际上也难以分清楚。毕竟，原始的反汇编文本
中充斥着大量形如dword_70142004以及var_8之类缺乏意义的符号，不同变量的名字看上去都差不多，
如果不及时给它们起个容易分辨的名称，就很容易弄错。这样看来，上述的第二步就部分地提前了。同
时，为了简洁起见，在下面的正文中也不打算贴那种大片的反汇编文本（事实上也不必要，若要看这些
内容，自己用IDA打开这个DLL文件就能看到了），只提供还原出来的源代码，源代码中的变量都已赋予
合适的名称。这就是说，反编译的过程在正文中也省略了。
但毕竟反编译是本文的一个重要组成部分，不能将它真正省略掉。由于要说清楚这个过程势必又要
附上大量的反汇编文本，因此，关于反编译的一般原则（如识别高级语言的控制结构等内容）我会以附
录形式另起一章，而具体的反汇编过程则把它放到附件里了，附件里的origdasm.asm是最初的没有经过
任何分析的反汇编文本，而annodasm.asm是分析过后的文本，我的分析主要以注释形式放在其中，大家
可以对照着看。
IDA加载后切换到Exports选项卡，可以看到7个导出函数：
WEP
cdtAni
