写教程是需要激情的，所以趁激情还在继续写……
发现自己没有把文章组织好，可能一开始看我写得会觉得头大，没事，最后具体讲编写插件时会好的……抱歉
上次最后说到了从调试的角度来看，如果要调用显示IP等信息的QQ内部函数，关键问题就是通过调用
1.3 IQQCore和Uin
这个函数，从而获得那个struct IQQData *指针。但问题就是要调用这个函数必须要提供2个参数:IQQCore *和一个unsigned long(DWORD)的神秘数据。
在开始正式分析前请各位思考下，如果要你编写一个能显示好友IP的函数，你需要先知道什么呢？
至少需要知道要去获取哪个QQ好友吧。这个肯定是必须的，否则函数就没有执行的意义了
现在我们跟踪下上面这个GetFriendQQData函数。在其入口点下断点。然后小心的把鼠标移动到QQ好友列表中某个头像上（需要使用CoralQQ……有点不厚道）。这时候应该程序就会被断下。
因为正常理鼠标移至好友头像会显示信息卡片，CoralQQ会在下面显示IP信息，所以按照上一篇文章反汇编的代码，GetFriendQQData必然会调用。我们从堆栈里面找到这个unsigned long对应的数据：
因为是DWORD数据，把它转化为10进制看看：27605046
呵呵，这不是我的QQ号码么……的确，先前鼠标是移动在我的头像上了。
所以可以猜测这个unsigned long就是好友的QQ号码。
经过多次验证，的确如此。
所以，这个神秘的unsigned long明确：他是要获取好友信息的号码,顺便补充下，这个unsigned long在QQ中可是有专门名字的：Uin
接下来就是struct IQQCore*，我想他的作用从名字中应该就能猜出大概来。虽然具体他的结构我还没弄清，但可以肯定他好比是QQ程序内核信息的指针。而现在最关键的问题是如何去获得它。
如果你研究过BasicCtrlDll.dll中导出的函数，你会发现几乎一半的函数的参数都由这个IQQCore，比如：
int GetCurrentStatus(struct IQQCore *,int *)
int GetCurrentUin(struct IQQCore *,unsigned long *)
int GetFriendStat(struct IQQCore *,unsigned long)
那么我们就拦截其中的一部分函数，看看提供给他们的这个struct IQQCore *参数具体是什么。
如果你的确这样做了，那么会发现所有的函数，无论在什么时候，这个struct IQQCore *的值是确定的唯一的。如果你这个IQQCore *指针的地址区域下内存写入断点的话会发现struct IQQCore *实际上在QQ进行登录初始化时就创建了，以后就不再被修改。
所以现在的问题就很简单了，我们可以暂时不用理会struct IQQCore *到底是什么，只要能获取到他就ok
1.4 如何获取struct IQQCore *？
如果只是调试个QQ，得到struct IQQCore *是非常容易的，但记住我们是要编写外挂。所以就是说我们要问：外挂如果通过程序来获取这个指针呢？
最野蛮的办法：把外挂写成一个调试器，模拟手工调试的过程，获得这个IQQCore *。ok，我很佩服你这样做，这也是我原先的想法。虽然写这个一个调试器是很简单的，但是他基本上没有实际意义，因为不能应对各种版本的QQ程序，而且也就无法再使用OD这些调试器来调试你的程序了
下面的方法要感谢明日帝国(sunwangme)写的教程了，可能一开始你看他教程会不知所云，但相信你现在去看他的文章就会很有感触。
上面说过这个IQQCore 是不会改变的，而且BasicCtrlDll.dll导出的那么多函数又偏偏要用到他，为什么不去拦截一个有IQQCore *参数的函数来获取这个IQQCore *呢？
具体的做法我会在编写插件时说明。可能你会想拦截导出函数（也就是API）不也是调试器作的事么？其实也有别的办法，这里就是用API Hook技术来实现的（建议先了解下win32的hook技术）。
问题是API SetWindowsHookEx是不可能hook一个API的。所以这里要用比较“底层”的办法：
一个导出函数的入口内存地址可以用GetProcAddress API获取，我们只要修改程序的代码，使得他在原先函数入口点执行时跳入我们的函数取执行，然后再跳转回来即可。（实际做法不是这样，在说明如何编写插件时我会说到）
现在问题就是要在BasicCtrlDll.dll导出函数中选取一个比较理想的函数取拦截，得到IQQCore
要拦截的函数应该具有如下特点：
- 函数形参简单，最好只有IQQCore *一个参数
- 函数能尽早被调用，这样能及早的获取IQQCore *
- 函数不能是thiscall规范的，也就是说函数必须是全局函数，不是一个成员函数
为何要这些特点应该都能理解，我对最后一个做下说明，thiscall规范的函数还需要一个类的this指针地址，这会给拦截造成一定麻烦（今后就会遇到这样的情况，以后再讨论）。
最终我们选取的函数是QQHelperDll.dll中的一个导出函数：
很满足我们的要求，而且用OD跟踪发现，他在QQ登录后就不停的调用，太爽了……
总结一下：要获取struct IQQCore *通过拦截API获取参数实现，我们拦截的函数选用了IsLogin()。
1.5 Uin和struct IQQData *
现在还有2个问题要去研究，第一，在调用GetFriendQQData时候，Uin（就是那个unsigned long参数）如何确定呢？
这个问题要等到我介绍插件编写时在讨论，但可以先做下暗示，我们编写的插件是需要在打开和好友聊天的对话框以及将鼠标移动到好友头像上时，显示对方的IP信息，就第一个情况:QQ的聊天对话框里面不就有好友的QQ号码(Uin)么？第二个情况：虽然探出的信息卡片没有号码，但可以猜测QQ也是先需要获取相关信息的。
现在我们再说说这个IQQData *的作用，看看BasicCtrlDll.dll的一些导出函数：
long GetQQDataBuf(struct IQQData *,char const *,class CString &)
long GetQQDataStr(struct IQQData *,char const *,class CString &)
其中需要IQQData *参数，那么我们看看这些函数有什么作用呢？以GetQQDataStr在CoralQQ中的使用情况为例：
0056DAC5 68 DCBA5900 push CoralQQ.0059BADC ; ASCII NAME
0056DACA 52 push edx
0056DACB FF15 44AB5A00 call dword ptr ds:[5AAB44] ; BasicCtr.GetQQDataStr
0056DAE5 8B4424 24 mov eax,dword ptr ss:[esp+24]
0056DAE9 8D56 34 lea edx,dword ptr ds:[esi+34]
0056DAEC 52 push edx
0056DAED 68 ECBA5900 push CoralQQ.0059BAEC ; ASCII REMARK_REALNAME
0056DAF2 50 push eax
0056DAF3 FF15 44AB5A00 call dword ptr ds:[5AAB44] ; BasicCtr.GetQQDataStr
0056DAF9 8B5424 30 mov edx,dword ptr ss:[esp+30]
0056DAFD 8D4E 38 lea ecx,dword ptr ds:[esi+38]
0056DB00 51 push ecx
0056DB01 68 FCBA5900 push CoralQQ.0059BAFC ; ASCII COUNTRY
0056DB06 52 push edx
0056DB07 FF15 44AB5A00 call dword ptr ds:[5AAB44] ; BasicCtr.GetQQDataStr
0056DB0D 8B4C24 3C mov ecx,dword ptr ss:[esp+3C]
0056DB11 8D46 3C lea eax,dword ptr ds:[esi+3C]
0056DB14 50 push eax
0056DB15 68 04BB5900 push CoralQQ.0059BB04 ; ASCII PROVINCE
0056DB1A 51 push ecx
0056DB1B FF15 44AB5A00 call dword ptr ds:[5AAB44] ; BasicCtr.GetQQDataStr
这些代码是在获取IP信息后出现的，猜猜在做什么呢？NAME，COUNTRY，PROVINCE这些词汇来看，应该是在获取当前要显示ip好友的名字、国籍、省份。而具体的执行函数就是GetQQDataStr。
再结合这个函数的参数来看，IQQData *,很有可能就是存放着一个用户相关信息的结构
事实也是如此的，到目前为止编写QQ外挂插件的条件已经具备
--------------------------------------
下一篇开始介绍如何编写插件了，所以文章应该也会有趣些了
CSK版权所有，如需转载请告知作者