目錄#

• 一、多型概念速查
• 二、虛函式、vptr 與 vtable
• 三、編譯器實作差異
• 四、多重繼承與虛擬繼承
• 五、RTTI 與動態轉型
• 六、匯編觀察：動態呼叫流程
• 七、攻擊面：vtable 劫持
• 八、防禦技術與最佳實踐
• 九、常見問答與誤區
• 十、參考資源

多型概念速查#

一句話記憶：虛函式 + 指標/參考 ⇒ 執行期多型。
提示：虛函式是實現執行期多型的關鍵。

虛函式、vptr 與 vtable#

1
class Base {
2
public:
3
    virtual void speak() { std::cout << "Base\n"; }
4
    virtual ~Base() {} // 虛擬解構子，確保資源正確釋放，避免洩漏
5
};
6
class Derived : public Base {
7
public:
8
    void speak() override { std::cout << "Derived\n"; }
9
};

編譯器實作差異#

建議：跨編譯器逆向時，先確認 ABI 差異，再找 vtable。IDA/Ghidra 的 auto-analysis 會標示 vftable, vftable_ref 等符號。
ABI 重要性：ABI（Application Binary Interface）定義了二進位層級的相容性，逆向工程時必須關注 ABI 差異以正確解析 vtable 和 vptr。

多重繼承與虛擬繼承#

注意：這部分較為複雜，建議初學者先跳過，待熟悉單一繼承後再回頭學習。

1
class A { virtual void fa(); };
2
class B { virtual void fb(); };
3
class C : public A, public B { void fa() override; void fb() override; };

• C 物件內部佈局（Itanium ABI 簡化示意）：

1
+0  vptr_A -> vtable_C_for_A  (offset-to-top = 0)
2
+8  vptr_B -> vtable_C_for_B  (offset-to-top = -8)

• offset-to-top 是 thunk 修正 this 回到物件實際起始位址。MSVC 以兩張獨立 vtable + vfptr adjustor 實現。

1
class VBase { ... };
2
class A : virtual public VBase { ... };
3
class B : virtual public VBase { ... };
4
class C : public A, public B { ... };

RTTI 與動態轉型#

逆向小技巧：觀察 vtable + RTTI 結構 (符號如 __RTTI_Type_Descriptor) 可以迅速鎖定類名（建議搭配 IDA Pro 截圖展示）。

匯編觀察：動態呼叫流程#

以 GCC 14 x86-64 為例：

1
mov rax, QWORD PTR [rdi]    ; 讀取 vptr (rdi 是 this 指標)
2
mov rax, QWORD PTR [rax]    ; 從 vtable 取出 speak() 的位址
3
call rax                    ; 呼叫 Derived::speak

• 若多重繼承，可能有 thunk：

1
add rdi, -0x8   ; 修正 this 指標偏移
2
jmp Derived::fb

步驟解說：

1. [rdi] 取出 vptr。
2. [rax] 從 vtable 取函式位址。
3. call 跳轉執行。
   thunk 作用：在多重繼承中調整 this 指標，確保指向正確子物件。

攻擊面：vtable 劫持#

警告：本節內容僅用於教育目的，切勿用於非法活動。

1
struct Cmd { virtual void run() { puts("run"); } };
2
void exploit() {
3
    Cmd* p = new Cmd();
4
    delete p;                      // 釋放物件，造成 UAF
5
    char* buf = new char[sizeof(Cmd)]; // 重新分配記憶體
6
    *(uintptr_t*)buf = (uintptr_t)evil_vtable; // 覆寫 vptr
7
    p->run();                      // 呼叫虛函式，跳轉到惡意程式碼
8
}

防禦技術與最佳實踐#

實務建議：

1. 使用 RAII 和智能指標（如 std::unique_ptr），自動管理資源，有效防止 UAF 漏洞。
2. 開啟所有硬體/編譯器防禦（/guard:cf, -fcf-protection）。
3. 多型僅用於必要抽象；效能敏感路徑考慮 final 或 CRTP (Curiously Recurring Template Pattern)。

常見問答與誤區#

參考資源#

• Itanium C++ ABI：https://itanium-cxx-abi.github.io/cxx-abi/abi.html
• Microsoft PE/COFF ABI：MSDN 文件
• 《Deep C++》Chapter 6 — Virtual Table
• IDA Pro / Ghidra 官方文件：RTTI 與 Class Structure Recovery
• 安全研究：《VTable Hijacking Revisited》(BlackHat 2023)
• 入門資源：
  • 線上課程：Coursera 的「C++ For C Programmers」
  • 教學影片：YouTube 上的「C++ Polymorphism Explained」

IMPORTANT

再次感謝，馬斯克創立的AI〖Grok〗幫我整理文章。(時代的進步真好ಥ_ಥ)