界面篇等我先搞完这个通信协议解析再说，要不我老觉得自己是在扯淡。在这里我也给自己这两天搞的协议解析找个网络存储做一下备份。
Gh0st通信协议解析（1）
正所谓蛇打七寸，今天我们对gh0st的通信协议进行一个完整的解析，看看gh0st这款远控的核心技术的来龙去脉。
************************************************************************ *******
从主控端初始化IOCP服务器开始讲起
[cpp]view plaincopyprint?
1.// 启动IOCP服务器
2.int nPort = m_IniFile.GetInt("Settings", "ListenPort");
3.int nMaxConnection = m_IniFile.GetInt("Settings", "MaxConnection")
;
4.if (nPort == 0)
5. nPort = 80;
6.if (nMaxConnection == 0)
7. nMaxConnection = 10000;
8.
9.if (m_IniFile.GetInt("Settings", "MaxConnectionAuto"))
10. nMaxConnection = 8000;
11.
12.((CMainFrame*) m_pMainWnd)->Activate(nPort, nMaxConnection); IOCP服务器是在CGh0stApp::InitInstance这个函数中被调用的，实际上是调用了CMainFrame的一个成员函数：CMainFrame::Active。看看这个函数都做了哪些事情。
[cpp]view plaincopyprint?
1.void CMainFrame::Activate(UINT nPort, UINT nMaxConnections)
2.{
3. CString str;
4.
5.if (m_iocpServer != NULL)
6. {
7. m_iocpServer->Shutdown();
8.delete m_iocpServer;
9.
10. }
11. m_iocpServer = new CIOCPServer;
12.
13.// 开启IPCP服务器
14.if (m_iocpServer->Initialize(NotifyProc, this, 100000, nPort))
15. {
16.
17.char hostname[256];
18. gethostname(hostname, sizeof(hostname));
19. HOSTENT *host = gethostbyname(hostname);
20.if (host != NULL)
21. {
22.for ( int i=0; ; i++ )
23. {
24. str += inet_ntoa(*(IN_ADDR*)host->h_addr_list[i]);
25.if ( host->h_addr_list[i] + host->h_length >= host
->h_name )
26.break;
27. str += "/";
28. }
29. }
30.
31. m_wndStatusBar.SetPaneText(0, str);
32. str.Format("端口: %d", nPort);
33. m_wndStatusBar.SetPaneText(2, str);
34. }
35.else
36. {
37. str.Format("端口%d绑定失败", nPort);
38. m_wndStatusBar.SetPaneText(0, str);
39. m_wndStatusBar.SetPaneText(2, "端口: 0");
40. }
41.
42. m_wndStatusBar.SetPaneText(3, "连接: 0");
43.}
首先判断这个m_iocpServer全局变量是否已经指向了一个CIOCPServer，如果是的话，就要先关闭它，并且删除掉这个CIOCPServer所占的内存空间。到这里我有些犹豫要不要去追踪这个CIOCPServer::Shutdown函数呢，一方面，如果去追踪的话，我们将不得不深入到CIOCPServer这个类里面去抽丝剥茧，寻找Shutdown函数，以及这个函数内部所调用的一系列的函数，这样我不得不深度遍历整个调用过程。另一方面，如果追踪吧，会使得这篇文章的主线凌乱掉，如果不追踪吧，我自己会凌乱掉，思前想后，宁可让大家疯掉，也不能让我疯掉，因为我疯掉了就写不出这个分析文章了……
好了，我们接下来看看这个CIOCPServer::Shutdown这个函数内部的一个执行逻辑。[cpp]view plaincopyprint?
1.void CIOCPServer::Shutdown()
2.{
3.if (m_bInit == false)
4.return;
5.
6. m_bInit = false;
7. m_bTimeToKill = true;
8.
9.// Stop the listener
10. Stop();
11.
12.
13. closesocket(m_socListen);
14. WSACloseEvent(m_hEvent);
15.
16.
17. CloseCompletionPort();
18.
19. DeleteCriticalSection(&m_cs);
20.
21.while (!m_listFreePool.IsEmpty())
22.delete m_listFreePool.RemoveTail();
23.
24.}
先来看看这个CIOCPServer::m_bInit这个变量。这个变量有什么作用呢，看这些个地方：
1：在CIOCPSserver的构造函数中有这么一句：m_bInit = false;
2：在CIOCPServer::Initialize这个函数中有这么一句：m_bInit = true;
3：在CIOCPServer::Shutdown这个函数中有这么一句：m_bInit = false;
4：在CIOCPServer::IsRunning这个函数中有这么一句：return m_bInit；
从以上的各个地方我们可以知道，这个m_bInit就是一个记录CIOCPServer这个服务器的运行状态的，它只有两个意思：开启或者关闭。当CIOCPServer服务器初始化完毕的时候，此值将会被设为true。在关闭的时候，此值将会被设为false，其它的时候此值作为CIOCPServer运行状态的一个考量。
首先判断这个m_binit是否为false，如果为false那CIOCPServer本身就没有开启，还关闭个屁，如果为true的话，接下来就将其运行状态设为false。
然后看看CIOCPServer::m_bTimeToKill这个变量。这个变量的作用：
1：在CIOCPSserver的构造函数中有这么一句：m_bTimeToKill = false；