Windows未公開函數

[貝斯特]

在網站中有些範例是使用Windows未公開的函數，也許你會想這樣是否是正確的寫程式方法，也許Windows下一個版本也就不提供這些函數了，那時不就完蛋了嗎？其實微軟有許多程式都有使用到未公開的函數，如果你的程式掛了，Windows的這些程式也會完蛋，若能更容易的達成你所要的目標，用用無訪。
　但這些函數要如何尋找呢？　通常是用TDUMP等工具來取得，某個函式庫中所有的可用函數名稱　如這樣


--------------------------------------------------------------------------------
C:\WINDOWS\SYSTEM>TDUMP -ee shell32.dll
Turbo Dump Version 5.0.16.6 Copyright (c) 1988, 1999 Inprise Corporation
Display of File SHELL32.DLL

EXPORT ord:0022='CheckEscapesA' => 'jx?BR>EXPORT ord:0044='CheckEscapesW' => 'jx?BR>:
:
EXPORT ord:0274='SHFormatDrive' => '?U?BR>:
:
--------------------------------------------------------------------------------
其中SHFormatDrive在MSDN上並沒有紀錄 這就是個未公開函數
其中ord:0274就是這個函數所在的位置,實際上呼叫SHFormatDrive就是呼叫 Shell32.274 你可以試試以下例子 用相同的方式在User32.dll中可以得到
EXPORT ord:0439='MessageBoxA' => 'U?BR>因此MessageBoxA的ord=439 試試這兩種呼叫方法
--------------------------------------------------------------------------------
Private Declare Function MessageBox Lib "user32" Alias _
"MessageBoxA" (ByVal hwnd As Long, ByVal lpText As String, _
ByVal lpCaption As String, ByVal wType As Long) As Long
Private Declare Function MessageBoxH Lib "user32" Alias _
"#439" (ByVal hwnd As Long, ByVal lpText As String, _
ByVal lpCaption As String, ByVal wType As Long) As Long

Private Sub Command1_Click()
MessageBox Me.hwnd, "Hello", "這是一般呼叫", 0
MessageBoxH Me.hwnd, "Hello", "這是透過ord呼叫", 0
End Sub
--------------------------------------------------------------------------------
也許你會想,既然能透過名稱來呼叫,何必透過ord,碰巧的是有許多未公開函數也只能 找到ord而已,有的即使知道Ord也沒辦法呼叫,必須透過PE檔案格式,直接取得函數位址再呼叫,一般尋找未公開函數是從應用程式著手,比較有效率,不過最好是懂得Assembly,因為函數參數必須透過反組譯才能知道.