使用IDA5.0进行VB的逆向分析－－如何减轻我的工作量？

 刚进入破解界，是使用OD。糊里糊涂的破了一个软件。后来尝试的几个，都失败了。从那开始，我接触了IDA，喜欢上看汇编来。（老实说，我是程序疯子，比较熟悉VB和汇编）
汇编看起来就像几年前的QB的低级版本。（QB中大量存在GOTO，和汇编的JMP一样，呵呵）我学过八位、十六位汇编，以及微机原理、计算机组成原理，做过十六位算术运算器及其微指令（就是汇编下一层）设计。看到32位汇编，感觉特别爽，看E文指令总比看实验箱上的那一排排小灯爽吧。因此，我觉得看汇编并不是什么难事，只是某些新增的指令（比如浮点指令）比较难懂点。
使用IDA反汇编VB做的软件，看到里面的一个个被识别的VB函数，特高兴。在一个函数的图形试图中，鼠标点击选中任意一个call，使得整个函数的 call变成黄色底，然后从头往下看，只看VB函数，一般是__vba或rtc开头的，大概就能明白这个函数都做了哪些操作，想干嘛的了。如果觉得这个函数做了一些可以操作，比如操作注册表、操作文件，或者大量字符串运算，那么，这里可能就是注册相关的位置了。我分析的许多VB程序，就是这么干的。
许多用VB做的系统，绝大多数都是编译成DLL，也就是COM啦。可以供别的程序调用，或者供ASP调用（这种非常多）。对付这种程序，我一般是用VB的对象浏览器查看这个COM（如何注册如果引入就不用我说了吧，对象浏览器就是F2），看看它都有哪些类，哪些属性和方法。一般来说都可以发现注册相关的地方，然后自己用VB写一点代码调用这个COM，生成EXE，再用OD加载，专门调试这个DLL，呵呵，这回就不用因为别的限制而不方便了。用OD调试到目标函数，记住地址，同时用IDA打开DLL，看对应的位置。记得在IDA中把那个函数改名哦，省得下次再看到就不知道是什么函数了。
上面的方法，我用了很久，慢慢的，觉得很无趣了－－太多了，累！
很喜欢IDA的一些功能：
1,标签改名。这应该是我最喜欢的了。看那种数字排序的变量名，还真是天书。因此，每当我能确定某个函数的名字的时候，就及时改名，这样所有调用这个函数的地方，名字就跟着变了。
2,注释。这一点，一点也不比第一点差。我这里说的注释可不是像OD那样的代码注释，而是IDA里面的变量注释，或者标签注释，或者函数注释。在一个变量、标签、函数后写注释，那么，所有引用的地方，后面会紧跟着这些注释。比如你可以给一个函数写一段注释，那么在别的引用这个函数的地方，不仅能看到这个函数的“真实”名字，还能详细看到这个函数是干嘛的。
3,双击跳转。这个功能也经常使用。近来才发现，不仅代码的标签可以双击跳转，连注释中的也可以。不要怪我孤陋寡闻，本文中我说的用法，都是我自己琢磨出来的。在图形视图中，双击某一根线，就可以跳转到另一段的代码处。对于双击的跳转，如果想回头看前面的代码，按Esc就可以了。
对付VB的一些技巧：
1,VB函数的参数压栈方式是从右到左，同时，因为VB是OO语言（尽管不完全是），所以，一般还有一个默认参数，就是对象自身，如果有返回值，返回值的地址，会作为第一个参数压栈。因此，完整的参数压栈方式是：[返回值地址]，从右到左的参数，对象自身。
2,了解参数压栈方式以后，我喜欢进入函数，修改该函数的本地变量名。原来都是var_XX和arg_XX形式的。首先，arg_8就是第一个参数啦，把它改名为this，当然，你要改为me或者self也行，最后一个参数arg，改为return，当然，如果这个函数没有返回值就不要这样改了。如果能通过VB的对象浏览器确定参数名，也可以在这里改名。
3,如果知道一个函数是否有返回值？一，看调用处，第一个压栈的参数，在函数调用后，时候马上用到这个变量，如果用到，就是有返回值得；二，看函数内部，在图形视图中看，一般来说，VB的函数在图形视图中会分成三截：主题、返回处理、错误处理，一大两小并排在顶头的，看小的那两个，是否用到了最后一个 arg，如果用到，就是有返回值得。这里是一般方法，不敢肯定全部都是这样。
4,在函数头部，一般首先是一大堆var_XX，然后是arg_XX，然后处理esp，然后有一个xor eax, eax，这个eax可以是别的，异或清零，往下应该是许多mov [esp+var_XX], eax，这里就是本地变量初始化了。大多数时候，会看到一个call [XXX+4]的，这里是安装SEH用的。老实说，我不懂SEH是什么东西。不过不用管它。往后，才是正文。
5,往下看对应着哪些参数，一般都会有copy或者move指令把参数复制一份到本地变量var_XX中，这里也改名为var_参数名，表明这是某个参数的副本。
6,看顶头的返回处理，就是一大两小中的其中一个小，找到return，一般可以看到：
mov ecx, [esp+return]
mov eax, [esp+var_XX]
mov [ecx], eax
这里把返回值地址复制到ecx中，可以是别的寄存器，然后把一个本地变量复制到eax中，然后再写入ecx对应的位置。这里也说明了为什么一般的函数即使有指定的返回值，也会在eax中有返回值。好，把这个var_XX改为var_return。这回好了，“两头夹攻”，看中间的代码就容易多了
7,这回得OD出场了。用OD单步跟这个函数，看看中间会不会出现某些ado.XXXXXX或者capicom.XXXXXX之类的，这些就是ADO和 CAPICOM等COM的方法啦。这些方法的地址一般都是固定的，自己平时慢慢积累一些方法地址对应表，就可以在这里时候排上用场啦。
8,在IDA中定位到这个方法出现的对应位置，往上翻，一般都可以找到一个New2，这里就是ADO对象或者CAPICOM对象的实例化的地方。New2 上面的两三行中会复制一个字符串常量，那个字符串常量，就是对应的对象类名了。比如Set obj=CreateObject("ADODB.Connection")，就要复制ADODB.Connection这个字符串。呵呵，这只是我的猜测而已。这回要干的事情，首先是把这个字符串的标签改名，这样，别的要用到这个类的地方，就明显可以看得出来了。然后，New2以后会把结果复制到某个 var_XX中，改名改var_对象名。
9,轮到结构体出场了。这个var_XX，一般会这样用
mov eax, [esp+var_XX]
mov edx, [eax]
call [edx+XXh] ;执行位移为XXh的方法
这种对象定位，会让我们很郁闷，尽管我们知道绝对地址。不过，强大的IDA给我们以极大的帮助。首先建立一个结构体（比如ADOConn），具体建立方法可以看看雪学院的教程，定义一个位移是XXh的成员（比如Open），写好名字。然后在cal [eax+XXh]中的XXh上点鼠标右键，IDA就会把合适的结构成员列出来，你只需要选择就可以了。比如：ADOConn.Open。需要主意的是，如果这个对象有属性，用法会稍微不一样，比如这样：
mov edx, [esp+var_XX]
mov eax, [edx+XXh] ;取位移为XXh的属性
可以看到，似乎可以理解为：方法列表的首地址就是对象的第一个成员。所以，刚才那个结构体，就不适合用了，新建一个吧，专门放属性的。此外，所有常量用右键，都可以选结构成员。当然，结构体的成员，也可以写注释，同样，出现在每个引用的地方。
10,一个COM，除了公开的类之外，还有一些类是不公开的，对象浏览器中看不到的。但是，在文件头中，可以看到有这么一个类存在，只不过，可能需要熟悉文件格式才行。不过没关系啦，分析的时候，感觉这个类应该是哪方面的，自己起一个名字就好了，反正都是给自己看的。
11,这些结构体，如果在每个要分析的文件中都分析一次，那多麻烦呀。没关系，IDA已经为我们准备好了。“文件”－》“创建文件”－》“创建IDC文件 ”，就可以导出一个文件。在另一个待分析的文件中，“文件”－》“IDC文件”，就可以导入了。这方法是我自己胡弄得知的，不知道实际上应该怎么样。

好了，上面是我的一些想法，很高兴能和大家分享。可以看出，我可真是菜鸟一只……
我也遇到许多问题：
1,像上面的ADO和CAPICOM等常用COM的类库方法位移，如果有一个全面的IDC就好了。比如我在《一个软件逆向分析》一文中写到的那样，如果我有jvm.dll的IDC就好了。
2,许多字符串常量，我根本搞不懂，IDA也不能给我正确的限制。我查资料发现，VB的字符串，在变量指向的地方的前两个字节是字符串长度，我按照这种方式建立了一个结构体，但还是看不到完整的VB字符串，我自己用VB写代码试过。
3,IDA插件或脚本，该怎么用？怎么写？论坛上也有一些文章，但是，资料实在太少了。
4,我想写一个插件或脚本，给常用的VB函数的参数自动写上注释，这样，我只要看注释，就可以看懂大部分内容了。其实，我很早以前就想做一个VB反编译器了，但时间和难度的问题，始终无法解决，也就作罢。现在我想在IDA的基础上做这件事情，正如前文所说，我是一个程序疯子，就喜欢写代码。
5,VB程序的文件里面，包含着所有类的成员结构，包括属性和方法。COM中所有类（包括不公开的）的名字都有，而公开的类，有所有成员的名字。因此，我想写插件，给这些类建立对应的结构体，然后给代码中相应的地方，直接把位移值换成结构体，也就不需要一个个取选了，后面这一点可能有点难度。
6,IDA经常不能识别所有的用户函数，而需要手工去建立，好烦，也想写插件，因为这些都是纯体力劳动。