3) samsrv!SampUpdateEncryption()

用IDA Pro 4.6.0.785逆向英文版XP SP1的samsrv!SampUpdateEncryption:

下面是C风格的伪代码:

--------------------------------------------------------------------------
/*
 * samsrv.dll中定义的全局变量
 */
extern PSAM_DOMAIN SampDefinedDomains;

/*
 * 我猜不出var_9、var_10的意义所在，也没时间逆得更深，暂时先不管这两个变量
 * 了，以后有时间再来修正。
 *
 * status不是栈式局部变量，在汇编代码中不直接对应某个内存位置。
 *
 * 标号SampUpdateEncryption_exit不直接对应汇编代码中的标号，毕竟逆向是试着
 * 还原最初的C代码，要考虑编译器的工作。
 */
NTSTATUS __stdcall SampUpdateEncryption
(
    HANDLE  samhandle   // 第01形参，[EBP+0x008]
)
{
    BOOL                            nomoredata;             // 第01个局部变量，[EBP-0x001]
                                                            // 由于对齐优化的缘故实际将占去4字节
    HANDLE                          ContextHandle;          // 第02个局部变量，[EBP-0x008]
    PSAM_DOMAIN_USER_ENUMERATION    DomainUserEnumeration;  // 第03个局部变量，[EBP-0x00C]
    HANDLE                          DomainHandle;           // 第04个局部变量，[EBP-0x010]
    PSAM_PRIVATE_USER_DATA          PrivateUserData;        // 第05个局部变量，[EBP-0x014]
    HANDLE                          SamHandle;              // 第06个局部变量，[EBP-0x018]
    DWORD                           UserCount;              // 第07个局部变量，[EBP-0x01C]
    HANDLE                          EnumerationHandle;      // 第08个局部变量，[EBP-0x020]
                                    var_9;                  // 第09个局部变量，[EBP-0x024]
                                    var_10;                 // 第10个局部变量，[EBP-0x028]
    NTSTATUS                        status;
    DWORD                           count;

    DomainHandle            = ( HANDLE )NULL;
    ContextHandle           = ( HANDLE )NULL;
    SamHandle               = ( HANDLE )NULL;
    EnumerationHandle       = ( HANDLE )NULL;
    DomainUserEnumeration   = ( PSAM_DOMAIN_USER_ENUMERATION )NULL;
    nomoredata              = FALSE;
    PrivateUserData         = ( PSAM_PRIVATE_USER_DATA )NULL;
    if ( NULL == samhandle )
    {
        status      = SamIConnect
                      (
                          0,
                          &SamHandle,     // [out]参数
                          0x000F003F,     // Access Mask，参SamrConnect2()的Ethereal解码
                          1
                      );
        if ( !NT_SUCCESS( status ) )
        {
            goto SampUpdateEncryption_exit;
        }
        samhandle   = SamHandle;
    }
    status  = SamrOpenDomain
              (
                  samhandle,
                  0x00000301,                     // Access Mask，参Ethereal解码
                  SampDefinedDomains->DomainSid,
                  &DomainHandle                   // [out]参数
              );
    if ( !NT_SUCCESS( status ) )
    {
        goto SampUpdateEncryption_exit;
    }
    var_9   = DomainHandle->Unkown_0E0;
    /*
     * 下面这段我实在没法逆成C风格的伪代码，SAM_DOMAIN结构未明。显然var_9
     * 是个Index，0x340是sizeof( struct xxx )。但结构数组的偏移未必是0x19E，
     * 注意到+0x344处是DomainSid。DomainSid很可能并不直接是SAM_DOMAIN结构
     * 的成员，而是第一个xxx结构的成员。SAM_DOMAIN结构中包含xxx结构数组。
     * 此处无关本次意图，放弃之，下面的汇编代码不是直接反汇编的结果。
     */
    status  = 0;
    __asm
    {
        test    byte ptr [var_9 * 0x340 + SampDefinedDomains + 19Eh],1
        jz      offset SampUpdateEncryption_exit
    }
    do
    {
        status                  = SamrEnumerateUsersInDomain
                                  (
                                      DomainHandle,             // Context Handle
                                      &EnumerationHandle,       // [in/out]参数，Resume Handle
                                      0,                        // filter，Access Mask
                                      &DomainUserEnumeration,   // [out]参数
                                      0x0000FFFF,               // 意义未明，似乎对应Pref MaxSize
                                      &UserCount                // [out]参数
                                  );
        if ( !NT_SUCCESS( status ) )
        {
            goto SampUpdateEncryption_exit;
        }
        /*
         * from ntstatus.h(\WINDDK\2600.1106\inc\ddk\wxp\)
         *
         * Returned by enumeration APIs to indicate more information is
         * available to successive calls.
         *
         * #define STATUS_MORE_ENTRIES ((NTSTATUS)0x00000105L)
         */
        if ( STATUS_MORE_ENTRIES != status )
        {
            nomoredata = TRUE;
        }
        count                   = 0;
        while ( count < UserCount )
        {
            status          = SampAcquireWriteLock();
            if ( !NT_SUCCESS( status ) )
            {
                /*
                 * 注意这是do-while循环里嵌套while循环
                 */
                goto SampUpdateEncryption_exit;
            }
            SampSetTransactionDomain( var_9 );
            status          = SampCreateAccountContext
                              (
                                  4,
                                  DomainUserEnumeration->DomainUser[count],
                                  1,
                                  0,
                                  1,
                                  &ContextHandle  // [out]参数
                              );
            if ( !NT_SUCCESS( status ) )
            {
                /*
                 * 与SampAcquireWriteLock()配对
                 */
                SampReleaseWriteLock( FALSE );
                goto SampUpdateEncryption_exit;
            }
            status          = SampGetPrivateUserData
                              (
                                  ContextHandle,
                                  &var_10,
                                  &PrivateUserData
                              );
            if ( !NT_SUCCESS( status ) )
            {
                SampReleaseWriteLock( FALSE );
                goto SampUpdateEncryption_exit;
            }
            status          = SampSetPrivateUserData
                              (
                                  ContextHandle,
                                  var_10,
                                  PrivateUserData
                              );
            MIDL_user_free( PrivateUserData );
            PrivateUserData = NULL;
            if ( !NT_SUCCESS( status ) )
            {
                SampReleaseWriteLock( FALSE );
                goto SampUpdateEncryption_exit;
            }
            SampStoreObjectAttributes
            (
                ContextHandle,
                NULL
            );
            /*
             * 与SampCreateAccountContext()配对
             */
            status          = SampDeleteContext( ContextHandle );
            ContextHandle   = NULL;
            if ( !NT_SUCCESS( status ) )
            {
                SampReleaseWriteLock( FALSE );
                goto SampUpdateEncryption_exit;
            }
            SampSetTransactionWithinDomain( NULL );
            /*
             * 与SampAcquireWriteLock()配对
             */
            status          = SampReleaseWriteLock( TRUE );
            if ( !NT_SUCCESS( status ) )
            {
                goto SampUpdateEncryption_exit;
            }
            count++;
        }  /* end of while */
        SamIFree_SAMPR_ENUMERATION_BUFFER
        (
            ( PSAM_ENUMERATION_BUFFER )DomainUserEnumeration
        );
        DomainUserEnumeration   = NULL;
    }
    while ( FALSE == nomoredata );

SampUpdateEncryption_exit:

    if ( NULL != ContextHandle )
    {
        /*
         * 与SampCreateAccountContext()配对
         */
        SampDeleteContext( ContextHandle );
    }
    if ( NULL != DomainHandle )
    {
        /*
         * 与SamrOpenDomain()配对
         */
        SamrCloseHandle( &DomainHandle );
    }
    if ( NULL != SamHandle )
    {
        /*
         * 与SamIConnect()配对
         */
        SamrCloseHandle( &SamHandle );
    }
    if ( NULL != DomainUserEnumeration )
    {
        SamIFree_SAMPR_ENUMERATION_BUFFER
        (
            ( PSAM_ENUMERATION_BUFFER )DomainUserEnumeration
        );
    }
    return( status );
}   /* end of SampUpdateEncryption */
--------------------------------------------------------------------------

对比pwdump2/samdump.c，不再神密了吧，尤其是貌似突兀的STATUS_MORE_ENTRIES，
这可是正经的NTSTATUS值！

SamIFree_SAMPR_ENUMERATION_BUFFER()不只用于DomainUserEnumeration，因此其形
参类型不是PSAM_DOMAIN_USER_ENUMERATION，调用时可能需要对指针做强制类型转换。