VB程序的调试

3.VB程序的调试

由于VB会把程序编译成解释型(http://zh.wikipedia.org/wiki/VB_%E4%BC%AA%E4%BB%A3%E7%A0%81)或者P-Code(http://en.wikipedia.org/wiki/Microsoft_P-Code)，所以它的执行方式有点奇怪，它要通过MSVBVM60.DLL才可以解释运行，而一般VB程序的入口都是如下代码：

004011E0 >/$  68 24134000   push    00401324                         ;  (initial cpu selection)
004011E5  |.  E8 EEFFFFFF   call    <jmp.&MSVBVM60.#100>

这次示例程序也不例外，那么怎么调试它呢？如果你单步走的话你会发现这个程序一会儿在EXE领空，一会儿在DLL领空（http://www.unpack.cn/archiver/tid-46130.html），很是麻烦，有两种方法可以快速调试它。

本文来自www.sacour.cn 转载注明来源

第一种：由于VB程序是基于Unicode的，所以可以右键点击代码区，选择“Ultra String Reference”－“2 Find UNICODE”，然后找到对应的UNICODE字符，再移动到该段代码的第一句（1002.HTML中有提到，即表示为$的语句）下断点，运行程序。

第二种：右键点击代码区，选择“Analysis”－“Analysis code”，

然后按下Ctrl+M，右键点击“Search”－ascii中输入“vb6chs.dll”，然后Search，记下此字符出现的地址，然后回到代码窗口，按下Ctrl+G，进入此地址，往下翻找到类似

00401454     /2C184000      dd      工程1.0040182C                     ;  ASCII "Form"

的地址，然后其后面一个dd xxx.xxxxxx即为Form_Load函数。

找到以后，

0040145C     /FC144000      dd      工程1.004014FC

在这儿按Enter键，调到4014FC，

004014FC   . /E9 0F060000   jmp     00401B10

再按Enter键，到达Form_Load函数内，在此按F2，然后F9运行：

00401B10   > \55            push    ebp

 

接着就可以调试了，过程都很简单，1002已经说过了，这儿稍微列一下VB使用的函数：

00401B4F   .  FF52 04       call    dword ptr [edx+4]                ;  MSVBVM60.Zombie_AddRef

这个是用来处理对象引用（Object Reference）的函数

00401B7B   .  FF15 48104000 call    dword ptr [<&MSVBVM60.__vbaFixst>;  MSVBVM60.__vbaFixstrConstruct

这句是因为我使用了Dim x As String * 256这一固定长度字符串而出现的，它就是处理固定长度字串的函数。

继续往下走，可以看到：

00401C84   .  E8 5FFCFFFF   call    004018E8

这儿可以按F7进入

004018E8   $  A1 DC324000   mov     eax, dword ptr [4032DC]
004018ED   .  0BC0          or      eax, eax
004018EF   .  74 02         je      short 004018F3
004018F1   .  FFE0          jmp     eax
004018F3   >  68 D0184000   push    004018D0
004018F8   .  B8 60114000   mov     eax, <jmp.&MSVBVM60.DllFunctionC>
004018FD   .  FFD0          call    eax                              ;  <jmp.&MSVBVM60.DllFunctionCall>
004018FF   .- FFE0          jmp     eax                              ;  kernel32.GetModuleFileNameA

可以看到这就是VB调用函数的方法，可以跟进看看，跟进系统函数以后，可以使用菜单栏的Debug－Execute till return返回

而函数

00401C9D   .  FF15 5C104000 call    dword ptr [<&MSVBVM60.__vbaStrTo>;  MSVBVM60.__vbaStrToUnicode

则是把ANSI字串转为Unicode用的。

00401CA9   .  FF15 18104000 call    dword ptr [<&MSVBVM60.__vbaLsetF>;  MSVBVM60.__vbaLsetFixstr

则是对应String函数

00401D49   .  FF15 7C104000 call    dword ptr [<&MSVBVM60.__vbaStrCo>;  MSVBVM60.__vbaStrCopy

这个就是简单的“＝”操作符

00401D50   .  FF15 14104000 call    dword ptr [<&MSVBVM60.#519>]     ;  MSVBVM60.rtcTrimBstr

 这个对应Trim函数

00401D10   .  FF15 28104000 call    dword ptr [<&MSVBVM60.#595>]     ;  MSVBVM60.rtcMsgBox

这个对应Msgbox函数

其他的调试方法都类似C++程序的方法，不过调试的时候应该多注意一下堆栈，很多信息都是在这里面表现出来的。