使用OllyDbg从零开始Cracking-26第二十六章-Visual Basic程序的破解-Part1.pdfVIP

第二十六章-Visual Basic程序的破解-P art1 接下来几章我们将介绍如何使用OllyDbg 破解Visual Basic编写的程序,有人可能 会说破解VB有更好的工具,比如SmartChec k,但是本系列教程主要是围绕OllyDbg展 开的,所以会尽可能的尝试少使用其他工 具,如果OllyDbg实在解决不了的时候,我 们再来使用其他工具。 首先,给大家准备了一个好用的OllyDbg。 名字叫做olly_parcheado_para_vb (翻译 过来就是:打过补丁的OD,专门用于定位OE P),也就是说用其在脱壳过程中定位OEP比 较方便。但是实际上,用它分析VB编写并 编译成Native code的程序也比较方便 (但 并不适用于VB编写的并编译成为P-CODE的 程序)。 VB编写的应用程序有两种编译方式,一种 是Native code方式,另一种是P-code方式 。实际上,VB 4.0以前只采用P-code编译, VB 4.0以前只采用P-code编译,VB Nativ Code是在VB 5.0以后发展起来的,其 目的 是为了在一定程序上改善VB应用程序的运 行速度。VB P-Code的运行速度较慢,这是 由它本身的运行机制所决定的。P-code, 即Pseudo Code(伪代码),这一概念最早出 现在Pascal编译器中,它是为了提供跨平 台可移植性而产生的,实现这一编译机制 的Pascal编译器被称之为”Pascal P Com iler”。Sun公司在其推出的Java语言上 也成功实现了这种机制。Java程序的伪编 译代码由一系列代表一定意义的字节码 (b yte code)组成。它们同属于一套特定的 指令集,这种字节码不能由不同的CPU直接 执行,而是通过特殊的解释器翻译为CPU可 以识别的指令才能执行,这种解释器就是 我们常说的”虚拟机”。只要在不同的平 台上提供虚拟机,把字节码翻译为对应的C PU指令集,也就实现了所谓的跨平台特性 。微软推出的VB P-code,实际上也是一组 自定义的指令集,必须通过基于堆栈的虚 拟机翻译为80X86上的指令集才能执行,担 任虚拟机任务的就是msvbvm50.dll和msvb vm60.dll这两个动态链接库文件。由于在 文件执行过程中多出了解释的步骤,自然 要影响到其执行的速度。正如我们所看到 的,VB P-code并没有实现所谓的跨平台运 行特性,这对于Pseudo这一词的起源就不 恰当了,另一方面,采用P-code形式编译的 VB应用程序的体积要小于Native Code形 式编译的同样程序 (这是由于P-code指令 集的每条指令对应于一组80X86指令所完 成的任务),所以VB P-code实际上意味着V B Packed-code(压缩代码),用以强调VB P -code程序较小的代码体积。所以说这两 者之间还是存在显著差别的。 关于P-code的具体原理我们后面章节再讨 论。 那么刚刚那个打过补丁的OllyDbg有什么 特别的地方呢?其特别之处在于:如果你设 置一个内存访问断点,正常情况下应该是 内存读取(ON READ)或者执行(ON EXECUTE )都断下来。但是该OllyDbg(前面提到的P atch过的)只会在执行(ON EXECUTE)的时 候断下来。这样更有助于我们寻找应用程 序的OEP,对于分析非P-code的VB程序也非 常有帮助。 另外,我们要破解VB程序的话,首先应该了 解一些VB的API函数,但是VB相关的API函 数在MSDN中查不到。 并且网络上也可以找到很多专门针对VB的 教程,你可以通过阅读COCO等人的VB系列 破解教程来提高自己分析VB程序的功力。 我这里的话直接使用这个Patch过的OD来 破解VB程序了。 我们可以将这个Patch过的OD放到原版OD 的根 目录下,我们分析普通程序的时候使 用原版的OD,当我们需要破解VB程序,或者 需要定位OEP,再或者需要内存访问断点仅 对内存执行断点生效的时候我们就可以使 用这个Patch过的OD。 但是如果我们需要读取或者执行都能生效 的话,我们就可以使用硬件访问断点来替 代。 现在最纠结的问题是MSDN中并没有提供VB API函数相关的解释,如果你想知道某个VB API函数的解释,只能Google了,如果你运 气好的话,也许会搜索到一些对该API进行 相应解释的页面。好了,我们介绍如何破 解VB程序之前