首页
论坛
课程
招聘
[原创]使用IDA5.0进行VB的逆向分析--如何减轻我的工作量?
2007-5-19 23:55 13076

[原创]使用IDA5.0进行VB的逆向分析--如何减轻我的工作量?

2007-5-19 23:55
13076
使用IDA5.0进行VB的逆向分析--如何减轻我的工作量?
    刚进入破解界,是使用OD。糊里糊涂的破了一个软件。后来尝试的几个,都失败了。从那开始,我接触了IDA,喜欢上看汇编来。(老实说,我是程序疯子,比较熟悉VB和汇编)
    汇编看起来就像几年前的QB的低级版本。(QB中大量存在GOTO,和汇编的JMP一样,呵呵)我学过八位、十六位汇编,以及微机原理、计算机组成原理,做过十六位算术运算器及其微指令(就是汇编下一层)设计。看到32位汇编,感觉特别爽,看E文指令总比看实验箱上的那一排排小灯爽吧。因此,我觉得看汇编并不是什么难事,只是某些新增的指令(比如浮点指令)比较难懂点。
    使用IDA反汇编VB做的软件,看到里面的一个个被识别的VB函数,特高兴。在一个函数的图形试图中,鼠标点击选中任意一个call,使得整个函数的call变成黄色底,然后从头往下看,只看VB函数,一般是__vba或rtc开头的,大概就能明白这个函数都做了哪些操作,想干嘛的了。如果觉得这个函数做了一些可以操作,比如操作注册表、操作文件,或者大量字符串运算,那么,这里可能就是注册相关的位置了。我分析的许多VB程序,就是这么干的。
    许多用VB做的系统,绝大多数都是编译成DLL,也就是COM啦。可以供别的程序调用,或者供ASP调用(这种非常多)。对付这种程序,我一般是用VB的对象浏览器查看这个COM(如何注册如果引入就不用我说了吧,对象浏览器就是F2),看看它都有哪些类,哪些属性和方法。一般来说都可以发现注册相关的地方,然后自己用VB写一点代码调用这个COM,生成EXE,再用OD加载,专门调试这个DLL,呵呵,这回就不用因为别的限制而不方便了。用OD调试到目标函数,记住地址,同时用IDA打开DLL,看对应的位置。记得在IDA中把那个函数改名哦,省得下次再看到就不知道是什么函数了。
    上面的方法,我用了很久,慢慢的,觉得很无趣了--太多了,累!
    很喜欢IDA的一些功能:
    1,标签改名。这应该是我最喜欢的了。看那种数字排序的变量名,还真是天书。因此,每当我能确定某个函数的名字的时候,就及时改名,这样所有调用这个函数的地方,名字就跟着变了。
    2,注释。这一点,一点也不比第一点差。我这里说的注释可不是像OD那样的代码注释,而是IDA里面的变量注释,或者标签注释,或者函数注释。在一个变量、标签、函数后写注释,那么,所有引用的地方,后面会紧跟着这些注释。比如你可以给一个函数写一段注释,那么在别的引用这个函数的地方,不仅能看到这个函数的“真实”名字,还能详细看到这个函数是干嘛的。
    3,双击跳转。这个功能也经常使用。近来才发现,不仅代码的标签可以双击跳转,连注释中的也可以。不要怪我孤陋寡闻,本文中我说的用法,都是我自己琢磨出来的。在图形视图中,双击某一根线,就可以跳转到另一段的代码处。对于双击的跳转,如果想回头看前面的代码,按Esc就可以了。
    对付VB的一些技巧:
    1,VB函数的参数压栈方式是从右到左,同时,因为VB是OO语言(尽管不完全是),所以,一般还有一个默认参数,就是对象自身,如果有返回值,返回值的地址,会作为第一个参数压栈。因此,完整的参数压栈方式是:[返回值地址],从右到左的参数,对象自身。
    2,了解参数压栈方式以后,我喜欢进入函数,修改该函数的本地变量名。原来都是var_XX和arg_XX形式的。首先,arg_8就是第一个参数啦,把它改名为this,当然,你要改为me或者self也行,最后一个参数arg,改为return,当然,如果这个函数没有返回值就不要这样改了。如果能通过VB的对象浏览器确定参数名,也可以在这里改名。
    3,如果知道一个函数是否有返回值?一,看调用处,第一个压栈的参数,在函数调用后,时候马上用到这个变量,如果用到,就是有返回值得;二,看函数内部,在图形视图中看,一般来说,VB的函数在图形视图中会分成三截:主题、返回处理、错误处理,一大两小并排在顶头的,看小的那两个,是否用到了最后一个arg,如果用到,就是有返回值得。这里是一般方法,不敢肯定全部都是这样。
    4,在函数头部,一般首先是一大堆var_XX,然后是arg_XX,然后处理esp,然后有一个xor eax, eax,这个eax可以是别的,异或清零,往下应该是许多mov [esp+var_XX], eax,这里就是本地变量初始化了。大多数时候,会看到一个call [XXX+4]的,这里是安装SEH用的。老实说,我不懂SEH是什么东西。不过不用管它。往后,才是正文。
    5,往下看对应着哪些参数,一般都会有copy或者move指令把参数复制一份到本地变量var_XX中,这里也改名为var_参数名,表明这是某个参数的副本。
    6,看顶头的返回处理,就是一大两小中的其中一个小,找到return,一般可以看到:
        mov ecx, [esp+return]
        mov eax, [esp+var_XX]
        mov [ecx], eax
      这里把返回值地址复制到ecx中,可以是别的寄存器,然后把一个本地变量复制到eax中,然后再写入ecx对应的位置。这里也说明了为什么一般的函数即使有指定的返回值,也会在eax中有返回值。好,把这个var_XX改为var_return。这回好了,“两头夹攻”,看中间的代码就容易多了
    7,这回得OD出场了。用OD单步跟这个函数,看看中间会不会出现某些ado.XXXXXX或者capicom.XXXXXX之类的,这些就是ADO和CAPICOM等COM的方法啦。这些方法的地址一般都是固定的,自己平时慢慢积累一些方法地址对应表,就可以在这里时候排上用场啦。
    8,在IDA中定位到这个方法出现的对应位置,往上翻,一般都可以找到一个New2,这里就是ADO对象或者CAPICOM对象的实例化的地方。New2上面的两三行中会复制一个字符串常量,那个字符串常量,就是对应的对象类名了。比如Set obj=CreateObject("ADODB.Connection"),就要复制ADODB.Connection这个字符串。呵呵,这只是我的猜测而已。这回要干的事情,首先是把这个字符串的标签改名,这样,别的要用到这个类的地方,就明显可以看得出来了。然后,New2以后会把结果复制到某个var_XX中,改名改var_对象名。
    9,轮到结构体出场了。这个var_XX,一般会这样用
        mov eax, [esp+var_XX]
        mov edx, [eax]
        call [edx+XXh] ;执行位移为XXh的方法
      这种对象定位,会让我们很郁闷,尽管我们知道绝对地址。不过,强大的IDA给我们以极大的帮助。首先建立一个结构体(比如ADOConn),具体建立方法可以看看雪学院的教程,定义一个位移是XXh的成员(比如Open),写好名字。然后在cal [eax+XXh]中的XXh上点鼠标右键,IDA就会把合适的结构成员列出来,你只需要选择就可以了。比如:ADOConn.Open。需要主意的是,如果这个对象有属性,用法会稍微不一样,比如这样:
        mov edx, [esp+var_XX]
        mov eax, [edx+XXh] ;取位移为XXh的属性
      可以看到,似乎可以理解为:方法列表的首地址就是对象的第一个成员。所以,刚才那个结构体,就不适合用了,新建一个吧,专门放属性的。此外,所有常量用右键,都可以选结构成员。当然,结构体的成员,也可以写注释,同样,出现在每个引用的地方。
    10,一个COM,除了公开的类之外,还有一些类是不公开的,对象浏览器中看不到的。但是,在文件头中,可以看到有这么一个类存在,只不过,可能需要熟悉文件格式才行。不过没关系啦,分析的时候,感觉这个类应该是哪方面的,自己起一个名字就好了,反正都是给自己看的。
    11,这些结构体,如果在每个要分析的文件中都分析一次,那多麻烦呀。没关系,IDA已经为我们准备好了。“文件”-》“创建文件”-》“创建IDC文件”,就可以导出一个文件。在另一个待分析的文件中,“文件”-》“IDC文件”,就可以导入了。这方法是我自己胡弄得知的,不知道实际上应该怎么样。

    好了,上面是我的一些想法,很高兴能和大家分享。可以看出,我可真是菜鸟一只……
    我也遇到许多问题:
    1,像上面的ADO和CAPICOM等常用COM的类库方法位移,如果有一个全面的IDC就好了。比如我在《一个软件逆向分析》一文中写到的那样,如果我有jvm.dll的IDC就好了。
    2,许多字符串常量,我根本搞不懂,IDA也不能给我正确的限制。我查资料发现,VB的字符串,在变量指向的地方的前两个字节是字符串长度,我按照这种方式建立了一个结构体,但还是看不到完整的VB字符串,我自己用VB写代码试过。
    3,IDA插件或脚本,该怎么用?怎么写?论坛上也有一些文章,但是,资料实在太少了。
    4,我想写一个插件或脚本,给常用的VB函数的参数自动写上注释,这样,我只要看注释,就可以看懂大部分内容了。其实,我很早以前就想做一个VB反编译器了,但时间和难度的问题,始终无法解决,也就作罢。现在我想在IDA的基础上做这件事情,正如前文所说,我是一个程序疯子,就喜欢写代码。
    5,VB程序的文件里面,包含着所有类的成员结构,包括属性和方法。COM中所有类(包括不公开的)的名字都有,而公开的类,有所有成员的名字。因此,我想写插件,给这些类建立对应的结构体,然后给代码中相应的地方,直接把位移值换成结构体,也就不需要一个个取选了,后面这一点可能有点难度。
    6,IDA经常不能识别所有的用户函数,而需要手工去建立,好烦,也想写插件,因为这些都是纯体力劳动。
    就写到这吧。这几天不眠不休,破了一个VB做的软件,顺便把一些经验和问题发上来。整理的时候才发现,我几乎逆向了三分之一的汇编,才写出注册机,真丢脸……

看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

收藏
点赞0
打赏
分享
最新回复 (15)
雪    币: 1834
活跃值: 活跃值 (20)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
yingyue 活跃值 2007-5-20 00:00
2
0
楼主比我强多了,破解一般的软件(难度不高的那种)我可以用 OD 分析出算法而写出注册机
现在的难题是如何对付那些高难自检和新出的加密壳
但我对汇编的认识就在于 F8 和对基本指令的认识和 C++ 浅薄的基础
雪    币: 1836
活跃值: 活跃值 (160)
能力值: (RANK:330 )
在线值:
发帖
回帖
粉丝
Bughoho 活跃值 8 2007-5-20 01:28
3
0
IDA的好文

9,轮到结构体出场了。这个var_XX,一般会这样用
        mov eax, [esp+var_XX]
        mov edx, [eax]
        call [edx+XXh] ;执行位移为XXh的方法

这里应该是调用一个类的虚函数吧
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-5-20 01:50
4
0
VB中根本没有虚函数的概念。
似乎所有的对象成员函数都是这样调用的。

现在正在研究IDA的动态调试,尽管它的调试能力很差,至少我觉得远不如OD,但是,它可以在运行时得出一些在静态分析中无法确定位置的函数地址。
雪    币: 1836
活跃值: 活跃值 (160)
能力值: (RANK:330 )
在线值:
发帖
回帖
粉丝
Bughoho 活跃值 8 2007-5-20 02:00
5
0
但是COM组件有可能不是VB写的吧
支持LZ多贴贴IDA的文章,比如写写插件什么的,自动识别函数和添加注释那玩东西很好啊.
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-5-20 02:32
6
0
呵呵,我这里说的是VB的COM
正因为是VB的,许许多多地方,才能有专门的技巧

VB常用的汇编函数不多,大概几十个,正因为这样,我觉得想写VB的部分反编译器,是可行的。

我也很想很想写插件,但是不懂接口,也没什么资料。
早几天看了一份资料,是说如何用C#写IDA插件的,我非常喜欢,可惜老外只说了一点点就完了。似乎那是中级的文章,不怎么适合我这种初学者。
要是真能用C#.Net写IDA的插件,那就实在是太爽了。
据说IDA的插件是COM形式的,那么VB也应该非常不错,我比较喜欢,呵呵。
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-5-26 02:29
7
0
经过一周的努力,对IDA的脚本和插件,总算有了一个初步的认识。
    一般来说,代码量小,不太常用,熟悉IDC的,才写脚本。因为如果没有一定的功底,写脚本简直是天方夜谭。
    而插件就不一样了,一般可以选择使用VC来编写、编译,可以建立工程,构建较大的功能插件。此外,还可以利用VC的编译来检查语法。我比较喜欢这种方式。
    至于我前面说到的国外高手做的用C#和VB写插件,是真的。不过,实际上远没有想象中见到。它首先是用VC建立一个插件工程,这个功能很空,就一些代码,用于调用COM。这个COM嘛,当然就是用VB和C#来实现啦。在这里,有一个很致命的问题:IDA那两三百个函数,怎么办?按照作者的意思,“好办”,在VC工程中对每一个需要用到的IDA函数进行封装,导出,然后VB和C#中导入使用。事实上,VC工程,充当了一个传声筒的作用,只是,为每个内置函数做一个封装,实在是……。
    虽然我比较熟悉C++,但相比之下,更趋向于使用VB和C#来处理实际问题。以后,我一定会使用老外的这种办法来写插件,因为可以使用.Net的类库,以及高效的VS.Net开发环境。但是,现在我会选择传统的做法,使用VC来写插件,算是练好基本功吧。
    近来都比较忙,没太多时间研究。如果写IDA插件,如果编译,如果部署,这些问题都已经搞清楚,也尝试编译例子程序,并且在IDA中测试通过。有兴趣的可以一起交流(各位高手就不要笑话我等小菜了)
    我想我可以定下一步的目标:插件实现,搜索并建立所有函数、纠正被IDA适别为数据的字节码。
    定这个目标,一来是比较检查,但实用;二来是因为晚上有一个论坛里的网友问我怎么样早上函数所在。其实我也不懂,只好告诉他,搜索ebp和esp,看到push esp的多数就是了。
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-5-26 02:31
8
0
刚刚建了一个VB反编译群:1600800。只谈VB反编译!
请问坛主,我能否这样发群号?
如果有规定不行,我马上删除!^_^
雪    币: 200
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
魔一天 活跃值 2007-5-26 03:05
9
0
好学习一下.
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-6-7 11:48
10
0
第一次写这方面的文章,的确是难懂了点……
雪    币: 205
活跃值: 活跃值 (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
cool88cool 活跃值 2007-6-10 07:16
11
0
楼主能不能用一个实例来讲讲VB的COM怎么弄,我也刚开始弄这个
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-6-12 09:39
12
0
可以。
但是近来比较忙,可能要迟一点。

VB做的COM,公开的类名、成员名,都在资源里面,并且很有规律,正想着做插件好好利用它们。
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-12-4 16:42
13
0
初步研究成功,哈哈,正确识别八成的类以及成员。
雪    币: 211
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
smallworm 活跃值 2007-12-5 09:14
14
0
哎,逆向不光是看懂汇编指令,整体思路才是最重要的!体力活。。。
雪    币: 45
活跃值: 活跃值 (15)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
nnhy 活跃值 3 2007-12-6 15:49
15
0
是呀!

我做的这些程序,就是为了减少这些体力活
雪    币: 1736
活跃值: 活跃值 (1313)
能力值: (RANK:215 )
在线值:
发帖
回帖
粉丝
china 活跃值 5 2007-12-9 23:33
16
0
偶很直接,期待成品,期待例子,期待教学作品,期待更高更强的功能实现.
游客
登录 | 注册 方可回帖
返回