010脚本编写入门

broadviewbj

010脚本编写入门

学过C/C++的您会发现010 Editor的文件解析脚本（即010脚本）看起来跟C/C++的结构体定义比较相似。然而文件解析脚本不是结构体，而是一个自上而下执行的程序，所以它可以使用if、for、while等语句。

在010脚本中，声明的每个变量都对应着文件的相应字节。比如以下声明：

char header[4];

int numRecords;

这意味着，文件的首4个字节将会映射到字符数组header中，下4个字节则会映射到整型变量numRecords中，并最终显示在解析结果中。

然而，在编写010脚本时可能会遇到这种情况：需要定义一些变量，但是这些变量并不对应着文件中的任何字节，而仅仅是程序运行中所需要的，这时可以使用local关键字来定义变量。比如以下声明：

local int i, total = 0;

int recordCounts[5];

for(i=0; i < 5; i++)

       total += recordCounts[i];

double records[total];

这样，i和total就不会映射到文件中去，也不会在解析结果中显示出来。

另外，在数据的定义中，可以加上一些附加属性，如格式、颜色、注释等。附加属性用尖括号<>括起来。常用的属性包括以下几种：

<format=hex|decimal|octal|binary, fgcolor=<color>, bgcolor=<color>, comment= "<string>", open=true|false|suppress, hidden=true|false,

read=<function_name>, write=<function_name> >

下面给出一个简单的实例。假设有一种文件格式如图17.3.2所示，我们可以看出，它由一个Header和若干个Record数据块组成。在Header中，numRecords表示Record的个数，而在Record中，根据Header中version值的不同，data的类型也不同。

 

根据文件格式，我们可以写出如下脚本：

struct FILE {

    struct HEADER {

    char    type[4];

           int     version;

        int     numRecords;

    } header;

 

    struct RECORD {

           int     len;

               char    name[20];

               if( file.header.version == 1 )

                      char data[len];

               if( file.header.version == 2 )

                      byte data[len];

    } record[ file.header.numRecords ];

} file;

本文节选自《0day安全：软件漏洞分析技术（第2版）》一书。

 

图书详细信息:http://blog.chinaunix.net/space.php?uid=13164110&do=blog&id=1645730