这个原理我也不是很懂，不过正好看到有一篇文章讲到，贴给你吧！
<br><br>摘要: 四通利方(RichWin)，中文之星(CStar) 是大家广为熟知的汉化Windows 产品，“陷阱”技术即动态修改Windows 代码，一直是其对外宣称的过人技术，它究竟是如何实现的，这自然是核心机密。本文试图解开这个秘密，并同时介绍Windows 的模块调用机制与重定位概念，并给出了采用“陷阱”技术动态修改Windows 代码的示例源程序。<br>关键词：汉化Windows 重定位技术<br><br>一、发现了什么？<br><br> 作者多年来一直从事Windows 下的软件开发工作，经历了Windows2.0 、3.0 、3.1 , 直至Windows NT , 95 的成长过程，也遍历了长青窗口、长城窗口、DBWin、CStar、RichWin 等多个Windows 汉化产品。从现在看来，影响最大也最为成功的，当推四通利方的RichWin，此外，中文之星CStar 与RichWin 师出一门，其核心技术自然也差不许多。其对外宣传采用独特的“陷阱”技术动态修改Windows 代码，一直是作者感兴趣的地方。<br> EXEHDR 是Microsoft Visual C++ 开发工具中很有用的一个程序，它可以检查NE（New_Executable）格式文件，用它来分析RichWin 的WSENGINE.DLL 或CStar 的CHINESE.DLL 就会发现与众不同的两点：（以CStar 1.20 为例）<br><br><br>C:/CSTAR>exehdr chinese.dll /v<br> ..................................<br>6 type offset target<br>BASE060aseg 2 offset 0000<br>PTR 047eimp GDI.GETCHARABCWIDTHS<br>PTR 059bimp GDI.ENUMFONTFAMILIES<br>PTR 0451imp DISPLAY.14( EXTTEXTOUT )<br>PTR 0415imp KEYBOARD.4( TOASCII )<br>PTR 04baimp KEYBOARD.5( ANSITOOEM )<br>PTR 04c9imp KEYBOARD.6( OEMTOANSI )<br>PTR 04d8imp KEYBOARD.134( ANSITOOEMBUFF)<br>PTR 05f5imp USER.430( LSTRCMP )<br>PTR 04e7imp KEYBOARD.135( OEMTOANSIBUFF)<br>PTR 0514imp USER.431( ANSIUPPER)<br>PTR 0523imp USER.432( ANSILOWER )<br>PTR 05aaimp GDI.56( CREATEFONT)<br>PTR 056eimp USER.433( ISCHARALPHA )<br>PTR 05b9imp GDI.57( CREATEFONTINDIRECT )<br>PTR 057dimp USER.434( ISCHARALPHANUMERIC )<br>PTR 049cimp USER.179( GETSYSTEMMETRICS )<br>PTR 0550imp USER.435( ISCHARUPPER)<br>PTR 055fimp USER.436( ISCHARLOWER)<br>PTR 0532imp USER.437( ANSIUPPERBUFF)<br>PTR 0541imp USER.438( ANSILOWERBUFF)<br>PTR 05c8imp GDI.69( DELETEOBJECT )<br>PTR 058cimp GDI.70( ENUMFONTS )<br>PTR 04abimp KERNEL.ISDBCSLEADBYTE<br>PTR 05d7imp GDI.82( GETOBJECT)<br>PTR 048dimp KERNEL.74 ( OPENFILE )<br>PTR 0460imp GDI.91( GETTEXTEXTENT)<br>PTR 05e6imp GDI.92( GETTEXTFACE)<br>PTR 046fimp GDI.350 ( GETCHARWIDTH )<br>PTR 0442imp GDI.351 ( EXTTEXTOUT )<br>PTR 0604imp USER.471( LSTRCMPI )<br>PTR 04f6imp USER.472( ANSINEXT )<br>PTR 0505imp USER.473( ANSIPREV )<br>PTR 0424imp USER.108( GETMESSAGE )<br>PTR 0433imp USER.109( PEEKMESSAGE)<br>35 relocations<br><br><br><br> ******* 扩号内为作者加上的对应Windows API 函数<br> 第一，在数据段中，发现了重定位信息。<br>牋牋牋牋第二，这些重定位信息提示的函数，全都与文字显示输出和键盘，字符串有关。也就是说汉化Windows，必须修改这些函数。<br><br> 在这非常特殊的地方，隐藏着什么呢？无庸致疑，这与众不同的两点，对打开“陷阱”技术之门而言，不是金钥匙，也是敲门砖。<br><br>二、Windows 的模块调用机制与重定位概念<br><br> 为了深入探究“陷阱”技术，我们先来介绍Windows 的模块调用机制。Windows 的运行分实模式（Real Mode），标准模式（Stand Mode）和增强模式（386Enhanced Mode）三种，虽然这几种模式各不相同，但其核心模块的调用关系却是完全一致的。<br><br> 主要的三个模块，有如下的关系：<br><br>KERNEL 是Windows 系统内核，它不依赖其它模块。<br>GDI 是Windows 图形设备接口模块，它依赖于KERNEL 模块。<br>USER 是Windows 用户接口服务模块，它依赖于KERNEL，GDI 模块及设备驱动程序等所有模块。<br><br> 个模块，实际上就是Windows 的三个动态连接库，在系统的存在形式如下，KERNEL 有三种不同形式，Kernel.exe( 实模式),Krnl286.exe( 标准模式),Krnl386.exe(386 增强模式)；GDI 模块是Gdi.exe；USER 模块是User.exe，虽然文件名都以EXE 为扩展名，但它们实际都是动态连接库。<br><br> 同时，几乎所有的API 函数都隐藏在这三个模块中。用EXEHDR 对这三个模块分析，就可列出一大堆你所熟悉的Windows API 函数。<br><br> 以GDI 模块为例，<br><br><br>C:/WINDOWS/SYSTEM>exehdr gdi.exe<br>Exports:<br>ord seg offset name<br>............<br>351 1923eEXTTEXTOUT exported, shared data<br> 56 319e1CREATEFONT exported, shared data<br>............<br><br><br><br> 至此，你已能从Windows 纷繁复杂的系统中，理出一些头续来。下面，再引入一个重要概念——重定位。<br><br> 一个Windows 执行程序对调用API 函数，或对其它动态库的调用，在程序装入内存前，都是一些不能定位的动态连接，当程序调入内存时，这些远调用都需要重新定位，重新定位的依据就是重定位表。在Windows 执行程序（包括动态库）的每个段后面，通常都跟有这样一个重定位表。重定位包含调用函数所在模块，函数序列号，以及定位在模块中的位置。<br><br> 例如，用EXEHDR /v 分析CHINESE.DLL 得到<br><br><br>6 type offset target<br> ..........<br>PTR 0442imp GDI.351 <br> ..........<br><br><br><br> 就表明，在本段的0442H 偏移处，调用了GDI 的第351 号函数。如果在0442H 处是0000:FFFF，则表示，本段内仅此一处调用了GDI.351 函数，否则，表明了本段内还有一处调用此函数，调用的位置就是0442H 处所指向的内容，实际上重定位表只含有引用位置的链表的链头。那么，GDI.351 是一个什么函数呢？还是用EXEHDR 对GDI.EXE 作一分析，就可得出，在GDI 的出口（Export）函数中，第351 号是ExtTextOut。<br><br> 这样，我们在EXEHDR 这一简单而非常有用的工具帮助下，已经在Windows 的浩瀚海洋中畅游了一会，下面就来掀开“陷阱”技术的神秘面纱。<br><br>三、动态汉化Windows 原理<br>牋我们知道，传统的汉化Windows 的方法，是要直接修改Windows 的显示、输入、打印等模块代码，或用DDK 直接开发“中文设备”驱动模块，这样不仅工作量浩大，而且，系统的完备性很难保证，性能上也有很多限制（早期的长青窗口就是这样），这样，只有从内核上修改Windows 核心代码才是最彻底的办法。<br><br> 从Windows 的模块调用机制，我们可以看到，Windows 实际上是由包括在KERNEL，GDI，USER 等几个模块中的众多函数支撑的。那么，修改其中涉及语言文字处理的函数，使之能适应中文需要，不就能达到汉化目的了吗？因而，我们可以得出这样的结论：在自己的模块中重新编写涉及文字显示，输入的多个函数，然后，将Windows 中对这些函数的引用，改向到自己的这些模块中来。<br><br> 修改哪些函数才能完成汉化，这需要深入分析Windows 的内部结构，但CHINESE.DLL 已明确无误地告诉了我们，在其数据段的重定位表中列出的引用函数，正是CStar 修改了的Windows 函数！<br><br> 为了验证这一思路，我们利用RichWin 作一核实。<br><br> 用EXEHDR 分析GDI.EXE，得出ExtTextOut 函数在GDI 的第一代码段6139H 偏移处（不同版本的Windows 其所在代码段和偏移可能不一样）。然后，用HelpWalk（也是Microsoft Visual C++ 开发工具中的一个）检查GDI 的Code1 段，6139H 处前5 个字节是B8 FF 05 45 55，经过运行RichWin 4.3 for Internet 后，再查看同样的地方，已改为EA 08 08 8F 3D, 其实反汇编就知道，这5 个字节就是代表Jmp 3D8F:0808，而句柄为0x3D8F 的模块，用HelpWalk 能观察到正是RichWin 的WSENGINE.DLL 的第一代码段（模块名为TEXTMAN）。而偏移0808H 处B8 B7 3D 45 55 8B EC 1E，正是一个函数起始的地方，这实际上就是RichWin 所重改写的ExtTextOut 函数。退出RichWin 后，再用HelpWalk 观察GDI 的Code1 代码段，一切又恢复正常！这与前面的分析结论完全吻合！那么，下一个关键点就是如何动态修改Windows 的函数代码，也就是汉化Windows 的核心——“陷阱”技术。<br><br>四、“陷阱”技术<br><br> 讨论“陷阱”技术，还要回到前面的两个发现。发现之二，已能解释为修改的Windows 函数，而发现之一，却仍是一个迷。<br><br> 数据段存放的是变量及常量等内容，如果这里面包含有重定位信息，那么，必定要在变量说明中将函数指针赋给一个FARPROC 类型的变量，于是，在变量说明中写下：<br> FARPROCFarProcFunc=ExtTextOut; <br> 果然，我自己程序的数据段中也有了重定位信息。这样，当程序调入内存中时，变量FarProcFunc 已是函数ExtTextOut 的地址了。<br><br> 要直接修改代码段的内容，还遇到一个难题，就是代码段是不可改写的。这时，需要用到一个未公开的Windows 函数AllocCStoDSAlias 取得与代码段有相同基址的可写数据段别名，其函数声明为<br> WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel); <br> 参数是代码段的句柄，返回值是可写数据段别名句柄。<br><br> Windows 中函数地址是32 位，高字是其模块的内存句柄，低字是函数在模块内的偏移。将得到的可写数据段别名句柄锁定，再将函数偏移处的5 个字节保留下来，然后将其改为转向替代函数（用EA Jmp）<br><br><br> *(lpStr+wOffset)=0xEA; <br> *(lpStr+wOffset+1)=lpFarProcReplace;<br><br><br><br> 反汇编即是JmplpFarProcReplace，最后，内存解锁。<br><br> 这就是我们为Windows 设的“陷阱”，当所有对此函数的调用都无条件地转到我们规定的替代函数处。当程序结束之前，将保留的5 字节内容再置回来，否则，系统会崩溃。<br><br> 下面给出作者编写的使Windows 的ExtTextOut 函数落入自己函数“陷阱”的源程序。<br><br><br>//源程序relocate.c<br>#include <br>#include <br><br>BOOL WINAPI MyExtTextOut(HDC hDC, int x, <br> int y, UINT nInt1, const RECT <br> FAR* lpRect,LPCSTR lpStr, UINT nInt2, int FAR* lpInt);<br>WORD FAR PASCAL AllocCStoDSAlias(WORD code_sel);<br><br>typedef struct tagFUNC<br>{ <br> FARPROC lpFarProcReplace;//替代函数地址<br> FARPROC lpFarProcWindows;//Windows函数地址<br> BYTEbOld;//保存原函数第一字节<br> LONGlOld;//保存原函数接后的四字节长值<br>}FUNC;<br><br>FUNCFunc={MyExtTextOut,ExtTextOut};<br><br>//Windows主函数<br>int PASCAL WinMain(HINSTANCE <br> hInstance,HINSTANCE hPrevInstance,<br>LPSTR lpCmdLine,int nCmdShow)<br>{<br> HANDLE hMemCode;//代码段句柄<br> WORD hMemData;//相同基址的可写数据段别名<br> WORD wOffset; //函数偏移<br> LPSTRlpStr;<br> LPLONG lpLong;<br> char lpNotice[96];<br> <br><br> hMemCode=HIWORD((LONG) Func.lpFarProcWindows );<br> wOffset=LOWORD((LONG) Func.lpFarProcWindows );<br><br> wsprintf(lpNotice,"函数所在模块句柄0x%4xH,偏移0x%4xH",<br>hMemCode,wOffset);<br> MessageBox(NULL,lpNotice,"提示",MB_OK);<br><br>//取与代码段有相同基址的可写数据段别名<br> hMemData=AllocCStoDSAlias(hMemCode);<br><br> lpStr=GlobalLock(hMemData); <br> <br> lpLong=(lpStr+wOffset+1 );<br>//保存原函数要替换的头几个字节<br> Func.bOld=*(lpStr+wOffset);<br> Func.lOld=*lpLong;<br><br> *(lpStr+wOffset)=0xEA; <br> *lpLong=Func.lpFarProcReplace;<br> GlobalUnlock(hMemData);<br> <br> MessageBox(NULL,"改为自己的函数","提示",MB_OK);<br> <br>//将保留的内容改回来<br> hMemData=AllocCStoDSAlias(hMemCode);<br> lpStr=GlobalLock(hMemData); <br> lpLong=(lpStr+wOffset+1 );<br> *(lpStr+wOffset)=Func.bOld; <br> *lpLong=Func.lOld;<br> GlobalUnlock(hMemData);<br><br> MessageBox(NULL,"改回原Windows函数","提示",MB_OK);<br> return 1;<br>}<br><br>//自己的替代函数<br>BOOL WINAPI MyExtTextOut(HDC hDC, int x, int y, UINT nInt1, <br>const RECT FAR* lpRect, LPCSTR lpStr, UINT nInt2, int FAR* lpInt)<br>{<br>BYTE NameDot[96]={<br> 0x09, 0x00, 0xfd, 0x08, 0x09, 0x08, 0x09, 0x10, 0x09, 0x20, <br> 0x79, 0x40, 0x41, 0x04, 0x47, 0xfe, 0x41, 0x40, 0x79, 0x40, <br> 0x09, 0x20, 0x09, 0x20, 0x09, 0x10, 0x09, 0x4e, 0x51, 0x84, <br> 0x21, 0x00, 0x02, 0x00, 0x01, 0x04, 0xff, 0xfe, 0x00, 0x00, <br> 0x1f, 0xf0, 0x10, 0x10, 0x10, 0x10, 0x1f, 0xf0, 0x00, 0x00, <br> 0x7f, 0xfc, 0x40, 0x04, 0x4f, 0xe4, 0x48, 0x24, 0x48, 0x24, <br> 0x4f, 0xe4, 0x40, 0x0c, 0x10, 0x80, 0x10, 0xfc, 0x10, 0x88, <br> 0x11, 0x50, 0x56, 0x20, 0x54, 0xd8, 0x57, 0x06, 0x54, 0x20, <br> 0x55, 0xfc, 0x54, 0x20, 0x55, 0xfc, 0x5c, 0x20, 0x67, 0xfe, <br> 0x00, 0x20, 0x00, 0x20, 0x00, 0x20<br> }; <br><br> HBITMAP hBitmap,hOldBitmap;<br> HDC hMemDC;<br> BYTE far *lpDot;<br> int i;<br><br> for ( i=0;i<br><br><br><br> 五、结束语<br><br> 本文从原理上分析了称为“陷阱”技术的汉化Windows 方法。要彻底汉化Windows 还要涉及显示，键盘输入等诸多内容，决非一日之功。但作为对“陷阱”技术的分析，本文介绍了将任一Windows 函数调用改向到自己指定函数处的通用方法，这种方法可以拓展到其它应用中，如多语种显示，不同内码制式的切换显示等。
