linux - VB程式分析方法及修改例 （「萬能分析中斷點」、啟動form修改，form隱藏）

[psac]

VB程式的分析一直較為麻煩。用OD打開VB程式後，游標停在程式入口點，如下所示：
00406BDC > $ 68 20614600 push 00466120
00406BE1 . E8 EEFFFFFF call <jmp.&MSVBVM60.#100>
按F8鍵也不能實現步進跟蹤，程式直接進入程式界面。
進入程式界面後，對於按鈕事件可設置按鈕事件中斷點來確定按鈕事件的入口點。但對於程式啟動時的初始過程就難以跟蹤，同時程式中除了一些按鈕外，還有一些lable事件（即點一個label後，執行一段程式）很難用事件中斷點來斷。
為了能跟蹤程式啟動時在formload中執行的一些初始化操作，以及對每一個動作（按鈕動作、label點擊動作）等全部進行跟蹤，可以採用以下笨辦法:

找到以下結構的跳轉語句：注意，關鍵特徵是在sub dword ptr [esp+4],後有JMP，而且這種語句總是好多組在一起的。
00467600 . 816C24 04 37000000 sub dword ptr [esp+4], 37
00467608 . E9 03313B00 jmp 0081A710
0046760D . 816C24 04 3B000000 sub dword ptr [esp+4], 3B
00467615 . E9 06323B00 jmp 0081A820
0046761A . 816C24 04 4B000000 sub dword ptr [esp+4], 4B
00467622 . E9 E9323B00 jmp 0081A910
00467627 . 816C24 04 4F000000 sub dword ptr [esp+4], 4F
0046762F . E9 2C413B00 jmp 0081B760
00467634 . 816C24 04 43000000 sub dword ptr [esp+4], 43
0046763C . E9 DF413B00 jmp 0081B820
00467641 . 816C24 04 43000000 sub dword ptr [esp+4], 43
00467649 . E9 D25A3B00 jmp 0081D120
0046764E . 816C24 04 47000000 sub dword ptr [esp+4], 47
00467656 . E9 755B3B00 jmp 0081D1D0

在程式開頭部分，有不少這樣的結構JMP，注意在不連續的地方可能都會找到這種結構的JMP（估計是一個FORM中的事件放在一起，不同的FORM就放在不同的地方了）。

接下來就是有點耐心，將這種結構跳轉的JMP全部設置中斷點。

好了。接下F9吧。程式的每一步都在你的掌控中了。


實例1：改變程式啟動時顯示的FORM的順序：

一個學習軟件，啟動時要先選擇用戶，然後才能進入學習。它設計的目的是這個軟件在同一台電腦上可由不同的人用來學習，每人的學習記錄分別儲存。
但一般情況下，這台電腦也就是自己用這個軟件來學習，因此，改造一下，讓它啟動後直接進入學習界面。

好，動手！

對每一個sub dword ptr [esp+4], + JMP結構的JMP全部設置中斷點。
按下F9，一步一步跟蹤，看那一步執行後顯示用戶選擇界面，然後按下用戶確定鍵後，程式停在那裡：

.
46B2CD jmp 7A2156 在此按F9後，顯示用戶選擇界面
.
.

46B2D8 jmp 7A2290 選擇用戶後，停在此處。在此按F9後，顯示學習界面
.
.
就在這裡下手：
將46B2CD jmp 7A2156 改為 jmp 7A2290

重新啟動一下，哈哈，直接進入學習界面。

需要注意的是，這種修改啟動form的方法不一定能全部成功，因為可能會跳過一些初始化過程，因而造成後面的程式不能正常執行。



實例2：讓程式實現自己註冊，你都不用輸入什麼，按註冊鍵後，程式自己將正確的註冊碼寫入註冊文件

對上面說到的學習軟件進行分析，發現它竟採用明碼方式顯示註冊碼的字元串。而且輸入註冊碼後，不管註冊碼是否正確，都寫入註冊文件。

思路：在獲得輸入假碼的地方，換為程式自己產生的真碼。這樣程式就自動將真碼寫入註冊文件了。

動手：按「註冊」後，程式停下，按F8跟蹤：（注意這個「註冊」按鈕不是按鈕，只是一個label，一般用按鈕事件方法不能斷下來）

00765F71 . 8B35 C4608900 mov esi, [8960C4]
00765F77 . 8D4D CC lea ecx, [ebp-34]
00765F7A . 51 push ecx
00765F7B . 56 push esi
00765F7C . 8B06 mov eax, [esi]
00765F7E . FF90 04070000 call [eax+704] 關鍵CALL，根據機器碼產生註冊碼明碼
00765F84 . 8B45 D4 mov eax, [ebp-2C] F8執行這一句後，EAX暫存器中顯示出註冊碼了
00765F87 . 8945 E8 mov [ebp-18], eax

好了，按F9,顯示註冊界面。
輸入假碼。
按「註冊」按鈕（這個是真的按鈕了）。程式停下，按F8跟蹤：


007E7919 . FF15 6C104000 call [<&MSVBVM60.__vbaHresultCheckObj>; MSVBVM60.__vbaHresultCheckObj
007E791F > \83EC 10 sub esp, 10
007E7922 . 8B45 E8 mov eax, [ebp-18] F8執行這一句後，EAX暫存器中顯示出辦入的假碼 這就是關鍵點了。
007E7925 . 8BD4 mov edx, esp
007E7927 . B9 08000000 mov ecx, 8

哈哈，以上兩段代碼都是將註冊碼放入EAX！

動手：對007E791F處的代碼修改如下：
007E7919 . FF15 6C104000 call [<&MSVBVM60.__vbaHresultCheckObj>; MSVBVM60.__vbaHresultCheckObj
007E791F > E9 4CE60A00 jmp 00895F70 跳去新增的代碼，產生真註冊碼
007E7924 90 nop
007E7925 > 8BD4 mov edx, esp
007E7927 . B9 08000000 mov ecx, 8
.
.
.


在程式最後的空白處增加以下代碼：
00895F70 > \56 push esi
00895F71 . 8B35 C4608900 mov esi, [8960C4]
00895F77 . 8D4D CC lea ecx, [ebp-34]
00895F7A . 51 push ecx
00895F7B . 56 push esi
00895F7C . 8B06 mov eax, [esi]
00895F7E . FF90 04070000 call [eax+704] 呼叫註冊碼產生
00895F84 . 8B45 D4 mov eax, [ebp-2C] 產生的真碼放入EAX
00895F87 . 8945 E8 mov [ebp-18], eax
00895F8A . 5E pop esi
00895F8B . 83EC 10 sub esp, 10
00895F8E .^ E9 9219F5FF jmp 007E7925 返回原程式段，此時真碼就已放入EAX了

嘿嘿！重新啟動程式看看：是不是「未註冊」已變為「已註冊」，所有的限制已取消了。

註：這個軟件的新版已不再採用產生明碼註冊碼的方式了。這個老版留做記念。


實例3：改變程式啟動form順序，隱藏一些form（用VBExplorer配合）

還是前面的程式，增加自己註冊功能後，想做成個專門的註冊程式，不需要什麼學習界面。
按實例1方法，在進入學習界面後，點「註冊」，停在了下面：

46FF5D jmp 7F2BC2 在此按F9後，顯示註冊界面。

好了，按實例1中找到的啟動畫面顯示處，進行修改：

將：46B2CD jmp 7A2156 修改為 jmp 7F2BC2

不好，怎麼啟動程式後，不僅顯示了註冊界面，還顯示了用戶選擇界面，想了多種跳轉修改，還是要顯示用戶選擇。
鬱悶！

先是自己用VB做了兩個FORM，一個是可顯示的，一個的顯示內容設置為隱藏。然後分析兩個form的資料結構，發現隱藏的form資料結構中的資料多了幾個資料。看來想修改用戶選擇界面form的隱藏內容是不太可能了（因為要增加資料項）。

這下動用VBExplorer了。
用VBExplorer打開程式，找到用戶選擇的form，檢視它的內容，將top 設置為-5，left設置為-5，height設置為1，width設置為1，將視窗顯示方式設置為manual，存盤。

再啟動程式，嘿！這個用戶選擇界面終於消失了（它只是1*1大小，而且是放在了左上角顯示器之外了，當然看不見了 ^D^）


附實例4：利用VBExplorer改變程式對像放置位置

奇跡智慧式英語用來背單詞還是很優秀的，但原版程式有個BUG：一啟動就將系統音量調整到最大。真是很煩人的。

這個好辦，找到啟動時設置音量的代碼，nop就行了。
但剩下的問題還有：程式音量調整按鈕的音量指示還在音量最大處，想調音量時，一點指示器，音量又調到最大了。看來需要將這個指示器的初始位置調整一下了：

用VBExplorer打開程式，找到用於音量指示的image，將其left內容調整到一個適當值即可。