WARNING: 此文章非常长，如果你感兴趣但是没耐心看完，可以做个标记然后按浏览器的关闭按钮，等到下次有兴趣了再看。这里我尽量多和详细地解释了VB程序的破解(其实也可看到反破解)的相关东西，把一个简单的VB计时器程序研究透了，对于VB破解应有较大帮助，如果觉得无用的不要喷，谢谢！可能包含错误认识，如有错误欢迎指出。
VB程序也是一个非常有趣的东西，你去看VB的主程序，是用Microsoft Visual C++ 5.0编写的，也就是说，其实里面调用的各种命令和控件，都是一段VC++的代码。还有VB运行时必须的“库”(虚拟机)：msvbvm50, msvbvm60, 都是Microsoft Visual C++ DLL，所以非常明显的，只要研究透了VB的这个VM虚拟机DLL，完全可以反编译出P-code的程序的源码。著名的程序就有比如VB Decompiler，它对于P-code的效果大家可以在下面的分析中看得出来，当然它对于编译成Native Code的程序效果也不错，只不过名称什么的都不太清楚。所以说，VB的P-code程序(其实Native Code程序也差不了多少，只不过虚拟机里的代码一部分都插入了程序里而已)和Flash的SWF还是有异曲同工之妙的：都可以反编译(可能可以得到源码)，原因都在于它们用了比较“通用”的虚拟机。vb的就是vbvmXX.dll，flash的就是Flash Player XX。
为了更好地研究VB程序的破解，我特意使用了一个小程序来做演示。
另外，由于正向和逆向是有联系的，所以我这里写正向的时候可以类推到逆向，写逆向的时候可以类推到正向。
这个程序是某个同学给我的，听说我学破解，就想让我来看看他的程序编译到底是编译成P-code好还是编译成native code好，如果编译成native code又要不要优化一下呢?
我打算顺便骗到源码，但是居然不给我！不过他倒是送我一对注册名和 注册码 。拿到程序一看关于窗口还写着“演示版”，不就是传说中的Demo吗！算了，不管这些细节了。
我拿到的程序有以下几个:Timer_nc_speed.exe(256KB)[Native-Code并进行代码速度优化]、Timer_p-code.exe(80KB)[P-code程序]、Timer_nc_length.exe(240KB)[Native-Code并进行代码长度优化]、Timer_nc_none.exe(240KB)[Native-code无优化]。可以看到，P-code程序非常小，但是它运行必须要VB的VM DLL。
首先来看看这个程序是如何进行授权及验证的:
打开后主窗口:
上面有一个注册按钮正好遮掉计时器的“分”的十位(也就是说你计时不能超过10分钟，否则你自己都不知道过了多久)，然后会过随机的时间跳出“请尽快注册”的窗口，输入了注册码之后会提示“注册码已存储，请立即重启程序，如果正确下次将不再有限制。”看来是纯重启验证类型的。不过貌似还有个突破点，就是按“倒”按钮(即倒计时)会提示“未注册版本不支持倒计时，是否立即注册？y/n”。也许可以从这个对话框入手哦！
另外，这个软件还有个版本更新历史(我去，都更新到构造23了)，里面有一句话引起我的注意:
更改 VB 内部 MSGBOX 成为 user32.dll 的 API 里的 "MessageBoxA".
额，这么说，所有对话框在入口点前的API表(后面会提到)里下断点都是无效的了。
现在，拿出几个神器(网上有提到的): SMARTCHECK，WKTVBDebugger，VB Decompiler。当然OD也用来看看效果。
首先是P-code程序载入OD:入口点的特征就是push XXXXXXXX，Call XXXXXXXX。入口点上方是各种VB虚拟机DLL里面的API，下面就是各种OD识别不出的东西。(不是汇编代码当然识别不出啦)
然后是Native-code程序载入OD:其实做各种优化的都差不多，首先入口点特征与P-code的差不多，上方也是一张表(不过好像更大?)，下方也有一段数据，但是再往下拉会发现：
这不是我们熟悉的汇编代码了嘛呵呵。
所以说，到目前为止，P-code的防破解作用远远大于Native-code的。
<破解思路1>在API上面下断点跟踪......
这个对于P-code程序是完全无效的了，但是对于Native Code的可以一试。
首先，以他的水平来说，比较注册码肯定是明码比较，但是我没那么无聊去做内存 注册机 ，来爆破试试看。
打开Timer_nc_XXX.exe，在入口点前面的大表这里下断:
运行程序，第一次断下先放行，结果窗口就出来了，说明第一次断下就已经到了关键.
重载程序，断下后F8，来到这里:
再按Alt+F9来到这里:
这里已经是程序的代码段了，可以更改代码了，继续跟踪看看。
可以看到，00414BE1这里跳转跳了，但是应该是不要跳的，因为下面的代码才开始读取注册码. 于是NOP。
但是接下来问题也随之出现，就是说这个文件不存在，却要被打开(00414C05处)，会出现异常的，所以这句代码也得NOP。不过这个程序令我惊讶的是，居然自带了异常处理程序!现在不能观摩，否则异常不断产生会导致程序卡死，先要把所有异常都处理好，不过那时候也不能再观摩了.
所以还要NOP:
另外，为了不浪费程序的感情不断读取文件，我们把00414C1D的jnz改为jmp跳过读取阶段. 然后就到了这里:
一样的，需要NOP的:
而在00414D36这里，如果跳转就是未注册了. 所以NOP.
继续:
00414DC9这个跳转不跳的话就会产生1个异常，并且计时器的显示不正确，虽然可以正确及时，而且调整窗口是否全屏也会出错，不过现在可以顺便观摩一下异常处理窗口了:
感觉好高级的。呵呵。扯远了，重载程序，这里需要把00414DC9跳转改成jmp.
继续看:
00415059此处也得NOP。
经过了3段类似代码以后，终于来到关键跳(前面跳转必须全部改对才能执行到这里哦):
00415330直接NOp了，这下后面的代码就是设置成已注册的了！
很好，并且没有了注册按钮，而且程序开启还会显示已注册！(虽然注册名和注册码都是空的。)
先保存到文件，再来看看关于窗口，反正看了也不会怎么样吧。(因为某些原因，需要把学号和学校代号抹掉，呵呵)
一连3个未注册提示，额，有一种不祥的预感，不过至少现在没有注册提示框. 并且设置窗口大小、是否置顶都没出现任何问题。
于是，我再手贱地按了一下“倒”按钮(即倒计时)。结果:
额，果然有暗桩。我一开始以为本来功能就没有的，结果我用他给我的注册码一试，发现还是有倒计时功能而且完整的。所以再次拖入OD调试。
不过这个反破解有点坑，虽然不是最坑，但是想退出程序还真难！按“返回”按钮没有任何用处，按了开始计时按钮提示"00:00已用完."(这是正常的，因为我还没有设置过多长时间的倒计时)，于是又一次手贱按了“设”按钮(设置)，结果倒计时窗体不见了，只有一个设置窗口。再次手贱设置完了倒计时时间，还勾选了"允许超时"，最后一次手贱就按了“关”按钮(关闭设置窗口)，结果程序一个窗口都不见了......好窘。打开任务管理器，发现还在运行啊：
算了，先结束了进程，再载入OD调试看看:
按了一下“倒”按钮，发现真的又一次读取了注册码:
于是我们也有思路了，只要搜索push 0040747C即可，把所有相关的都改掉. (改的东西都基本一模一样的，因为是单独的再次读取和验证，所以不可能改一处就完美，得一个一个改.......蛋疼啊。)<--此处反破解思路
总共有6处。都改完了以后......终于是完美的了。哈哈。
<破解思路2>使用动态调试程序 SMARTCHECK快速定位
SMARTCHECK是NUMEGA公司推出的一款调试VB程序的程序。我找到的最新版是6.20(Build1286) RC2的，1999年发布的......老古董了。网上有几篇文章的，貌似很好用，其实限制也有，不信打开一个P-code程序试试看:
悲剧的是，貌似同学给我的这几个程序都不符合要求:
于是，我联系同学，让他再给我发个符合要求的......终于来了，Timer_nc_none_dbg.exe就是这个了。(从这里可以看出，SMARTCHECK是为编程程序员设计的，不是为逆向而生......)
试试看......
what??还是没有结果，那这个程序就扔掉了吧。没用啊。
不过，幸好，我在扔掉前想到会不会是因为我用的是 绿色版 的原因，于是我费尽千辛万苦找到6.20 RC2 Retail安装包，安装以后发现要输 序列号 ，不管，先用，结果发现程序没有正确的序列号就不能调试其他程序，显示试用期已过，于是爆破SCShell.dll，可以正常使用了。
结果再测试......发现其实之前的非P-code文件也是可以正常调试的，甚至被优化的也可正常调试，而且P-code程序也可以调试，而且也有有用的东西，只不过一些语句不太明确而已......真是白忙活了，绿色版害死人啊.
好吧，打开程序，调试，由于Timer事件不断产生，所以我们就点击一次注册按钮，再点击一次“倒”按钮，发现真的好清楚:
看了老半天，没发现这些语句如何修改，于是只能做追码工具了......
我们先输入注册名注册码:(此程序貌似支持中文注册名啊......)
额，然后同一目录下生成了明码的注册码存储......
然后是长长的检验和计算过程:
在注册码明码出现的时候，看旁边的细节窗口:
string (variant)
String .bstrVal = 001559A4
= "h1141X:if:2Vt:y78OTEiMr34VyX11HaF"
这就是我们的注册码了。使用这个注册码注册一下，然后看看关于窗口:
不过只看关于窗口是不够的，因为它这个程序只要检测到输入过注册码，就会显示已注册，所以我们再来按“倒”按钮：<--反破解思路
发现一切正常(这就好啦哈哈).
(其实如果软件设计成注册码分段验证的会更好，这样的话追码是不可能了，算法分析也会有阻碍.)
---拓展:算法分析
它这个算法也不难，不过是单向的，如果反过来就会检验错误。呵呵。所以只能是明码比较。算法贴出来，让他自己去改代码去。
由于SMARTCHECK代码太长，我这里来说一下它的大致算法。
首先把你的用户名逐位转换成HEX，然后把第一个HEX+4(第一个Hex指用户名第一位的HEX值，后面类推)，第二个HEX+8，第三个HEX+C，第四个HEX+10，以此类推，然后取最小为0的hex即48(0x30)，最大为z(区分大小写)的hex即122(0x7A)，如果过小就+48(0x30)，过大就-74(0x4A)，然后最后组合起来就是注册码. 既然它程序使用VB写，那么我们也可以用VB来写写看。最后成品放在附件上了。
<3>使用静态反编译工具 VB Decompiler快速找到爆破点并更清晰地分析算法
VB Decompiler 是神器了。用它作用非常的大，可以快速找到Native-Code编译的程序爆破点，而不像SMARTCHECK那样不能用来爆破程序。
并且，它不像SMARTCHECK一样渴望是Native Code的程序，它对于P-code的支持反而大于Native Code。看来真是分析了VB虚拟机的运作的成品啊!
应该说，它可以直接把程序算法给爆出来，如下:
恩，挺变态的吧，再试试看Native-code的:
恩，代码明显差很多，但是对于调试的帮助还是有挺多的，比如上面可以得出415330的跳转应该不跳，然后到OD里面前前后后看看即可爆破了，不需要再费尽心思猜API来入手了。
这里我也不多说明，但是很明显的，编译成P-code的程序在遇到VB Decompiler的时候马上就跪了，之前的硬壳直接被看穿。
<破解思路3>利用动态调试器WKTVBDebugger来动态调试与修改P-code的VB程序
之前的VB Decompiler对于P-code的程序支持很好，但是并没有很明显的线索去修改VB程序。这时使用WKTVBDebugger就可以按照它里面的帮助文件进行修改跳转等东西了。
注意事项:
1. 此程序只能用于动态调试VB的P-code程序，对于Native-Code程序没有任何用处。
2. XP下使用时为了不出错，要把要调试的程序放在WKTVBDebugger同一目录下。(XP以前的系统应该没有这个问题，以后的没测试)
还有，帮助文件也很重要，里面有P-code和opcode的对应，对于修改爆破程序是有必要稍微了解一些的，否则代码你看不懂的话怎么破解呢。
我们先来看帮助文件，我这里直接打开会显示“已取消到该网页的导航”，对于这种问题解决办法:
右键属性，在下部看到一个“安全”，按旁边的“解除锁定”即可。最后记得要按确定.
然后就正常了。点击目录中“操作码与助记符列表”，然后点击"标准设置"，就是长长的一列对照表了。因为P-code与Intel的汇编代码完全不一样，所以得像初学OD那样先掌握一些P-code的含义。
目光聚焦到了这里:
这里可以知道,1c就代表jnz，1d就代表je，1e就代表jmp。(至少我当时是这么稚嫩地认为的。)然后我就到处找，汇编中的NOP在P-code里面该怎么表示呢？我在里面看这张表，找了三遍都没找到相关指令。然后无意中看到了这篇文章: http://blog.sina.com.cn/s/blog_5000f4c901013iiy.html
里面有提到:
这一来，我才明白，原来P-code的vb程序不能像Intel程序一样，随便把je,jnz改成jmp，也没有NOP指令给你用了，必须要另辟途径。
好了，到这里准备工作也做得差不多了，把程序载入WKTVBDebugger。看一下关于窗口，发现是2001年的作品，说明最近十几年除了VB Decompiler在不断更新以外，其他的VB工具基本都停留在了10几年以前，这跟微软的保密策略肯定有着非常大的关系(未公开关于P-code的详细信息，不信你去百度或Google搜索，没有什么特别有价值的信息)。对于P-code研究最大的成果也就这么几个。扯远了，来看看程序。界面如下:
比较有用的适合刚接触的就是“管理窗口 (Ctrl+F)”，使用这个，可以轻松地对程序载入、按钮按下等下断点。我们打开它，选择Form1(加载时默认的主窗口，如果不是可以一个一个慢慢试)。然后它会给你地址:
可以说，非常齐全，但是它只能根据控件来进行下断。而我们根据之前的分析，它在Form_Load的时候就检测了注册码。(如果没有重启验证，那么可以在按钮上下断点。)所以我们不得不再想另外的办法。<--反破解思路，做成纯重启验证也有它的好处。
再次打开VB Decompiler，发现Form_Load事件是在412838，于是打开WKTVBDebugger，下断412838，结果发现断不下！再仔细看看，发现这其实并不是代码的地址，而是窗体地址。所以在VB Decompiler反编译结果的窗口中选中第一句的地址411F26，再下断。
测试成功！这时候就可以取消断点，把VB Decompiler拖到注册验证段，开始是4121F0，再下断。
这里的跳转应该是不跳的，现在这里跳了，所以必须改掉。
这里为了验证BranchF/BranchT不能改成Branch，我们先改了试试看。
点击编辑，把目前的1c改成1e，然后运行。发现也没什么问题啊，请问那篇文章的真实性？我不得而知，望大牛来解释一下。
好，重新来一次。到这里以后看看代码:
004121F0的opcode为:1c 8d 06 先改成1c 00 00可以看到:
而我们的目标为BranchF 00412296(那里开始注册码的校验，由于这里没有NOP指令，只能先跳过读取阶段)，而412296-411F14=382，所以我们就可以改为：1c 82 03 。值得注意的是，这里又和Intel的汇编指令不同，汇编指令的跳转是以当前地址为参照，而这里P-code是以起始代码为参照的。这样一改，反而还挺好的，没有注册码就跳过读取阶段，有就不跳过，这样的话可以随意改写注册文件了。
然后就到了验证注册码的第一个环节:
依葫芦画瓢，后面的跳转也可这样改，比如00412296这里要跳到412299即下一行，于是412299-411F14=385，于是改成1c 85 03即可。后面的修改也都是差不多的，参照VB Decompiler里面的指令修改起来会很准确很清楚。(不知道如果我使用WKTVBDebugger像OD一样熟练还会不会要VB Decompiler)
Native Code和P-code程序的比较和各种破解VB程序的工具的比较就到这里告一个段落了，如果你能看完整篇文章，那我承认你对于它是极度感兴趣了，呵呵。
最后做个总结: VB的Native Code程序爆破起来比较简单(主要是OD用熟练了)，分析算法的话用VB Decompiler就要多花点心思。而P-code的程序追码和分析算法都非常简单，而爆破就要多花一些时间了(主要是WKTVBDebugger不太熟悉)。
顺便加个对话:
P.S.: 经过我的百般祈求，我的那个小A同学仍然不同意我把他的程序公开。对不起了，大家还是用自己的程序试炼一下吧。恩不过他没说我不能把注册机放出来......呵呵，我相信他不会打我的。
制作总结性的东西总是很累，这个笔记就当大家的参考吧，以后遇到VB程序脱了壳后破解起来应该会挺方便了吧。希望大家支持一下哦！写这篇文章差点写到浏览器卡死...... 下一篇帖子估计要等到一年半以后了。(初二下和初三应该没时间再来研究逆向这种耗费时间的东西了。)
一些提到的软件的链接:(解压密码全部为 dsong@52PoJie.Cn )
1. Numega SmartCheck:
链接: http://pan.baidu.com/s/1qWzAlqc 密码: 2oh1
2. DotFix VB Decompiler:
链接: http://pan.baidu.com/s/1i3L3jvR 密码: bf8v
3. WKTVBDebugger:
链接: http://pan.baidu.com/s/1bnF9KV9 密码: ikce
4. Timer's KeyGen :
链接: http://pan.baidu.com/s/1ntolbKl 密码: ilal
VB程序也是一个非常有趣的东西，你去看VB的主程序，是用Microsoft Visual C++ 5.0编写的，也就是说，其实里面调用的各种命令和控件，都是一段VC++的代码。还有VB运行时必须的“库”(虚拟机)：msvbvm50, msvbvm60, 都是Microsoft Visual C++ DLL，所以非常明显的，只要研究透了VB的这个VM虚拟机DLL，完全可以反编译出P-code的程序的源码。著名的程序就有比如VB Decompiler，它对于P-code的效果大家可以在下面的分析中看得出来，当然它对于编译成Native Code的程序效果也不错，只不过名称什么的都不太清楚。所以说，VB的P-code程序(其实Native Code程序也差不了多少，只不过虚拟机里的代码一部分都插入了程序里而已)和Flash的SWF还是有异曲同工之妙的：都可以反编译(可能可以得到源码)，原因都在于它们用了比较“通用”的虚拟机。vb的就是vbvmXX.dll，flash的就是Flash Player XX。
为了更好地研究VB程序的破解，我特意使用了一个小程序来做演示。
另外，由于正向和逆向是有联系的，所以我这里写正向的时候可以类推到逆向，写逆向的时候可以类推到正向。
这个程序是某个同学给我的，听说我学破解，就想让我来看看他的程序编译到底是编译成P-code好还是编译成native code好，如果编译成native code又要不要优化一下呢?
我打算顺便骗到源码，但是居然不给我！不过他倒是送我一对注册名和 注册码 。拿到程序一看关于窗口还写着“演示版”，不就是传说中的Demo吗！算了，不管这些细节了。
我拿到的程序有以下几个:Timer_nc_speed.exe(256KB)[Native-Code并进行代码速度优化]、Timer_p-code.exe(80KB)[P-code程序]、Timer_nc_length.exe(240KB)[Native-Code并进行代码长度优化]、Timer_nc_none.exe(240KB)[Native-code无优化]。可以看到，P-code程序非常小，但是它运行必须要VB的VM DLL。
首先来看看这个程序是如何进行授权及验证的:
打开后主窗口:
上面有一个注册按钮正好遮掉计时器的“分”的十位(也就是说你计时不能超过10分钟，否则你自己都不知道过了多久)，然后会过随机的时间跳出“请尽快注册”的窗口，输入了注册码之后会提示“注册码已存储，请立即重启程序，如果正确下次将不再有限制。”看来是纯重启验证类型的。不过貌似还有个突破点，就是按“倒”按钮(即倒计时)会提示“未注册版本不支持倒计时，是否立即注册？y/n”。也许可以从这个对话框入手哦！
另外，这个软件还有个版本更新历史(我去，都更新到构造23了)，里面有一句话引起我的注意:
更改 VB 内部 MSGBOX 成为 user32.dll 的 API 里的 "MessageBoxA".
额，这么说，所有对话框在入口点前的API表(后面会提到)里下断点都是无效的了。
现在，拿出几个神器(网上有提到的): SMARTCHECK，WKTVBDebugger，VB Decompiler。当然OD也用来看看效果。
首先是P-code程序载入OD:入口点的特征就是push XXXXXXXX，Call XXXXXXXX。入口点上方是各种VB虚拟机DLL里面的API，下面就是各种OD识别不出的东西。(不是汇编代码当然识别不出啦)
然后是Native-code程序载入OD:其实做各种优化的都差不多，首先入口点特征与P-code的差不多，上方也是一张表(不过好像更大?)，下方也有一段数据，但是再往下拉会发现：
这不是我们熟悉的汇编代码了嘛呵呵。
所以说，到目前为止，P-code的防破解作用远远大于Native-code的。
<破解思路1>在API上面下断点跟踪......
这个对于P-code程序是完全无效的了，但是对于Native Code的可以一试。
首先，以他的水平来说，比较注册码肯定是明码比较，但是我没那么无聊去做内存 注册机 ，来爆破试试看。
打开Timer_nc_XXX.exe，在入口点前面的大表这里下断:
运行程序，第一次断下先放行，结果窗口就出来了，说明第一次断下就已经到了关键.
重载程序，断下后F8，来到这里:
再按Alt+F9来到这里:
这里已经是程序的代码段了，可以更改代码了，继续跟踪看看。
可以看到，00414BE1这里跳转跳了，但是应该是不要跳的，因为下面的代码才开始读取注册码. 于是NOP。
但是接下来问题也随之出现，就是说这个文件不存在，却要被打开(00414C05处)，会出现异常的，所以这句代码也得NOP。不过这个程序令我惊讶的是，居然自带了异常处理程序!现在不能观摩，否则异常不断产生会导致程序卡死，先要把所有异常都处理好，不过那时候也不能再观摩了.
所以还要NOP:
另外，为了不浪费程序的感情不断读取文件，我们把00414C1D的jnz改为jmp跳过读取阶段. 然后就到了这里:
一样的，需要NOP的:
而在00414D36这里，如果跳转就是未注册了. 所以NOP.
继续:
00414DC9这个跳转不跳的话就会产生1个异常，并且计时器的显示不正确，虽然可以正确及时，而且调整窗口是否全屏也会出错，不过现在可以顺便观摩一下异常处理窗口了:
感觉好高级的。呵呵。扯远了，重载程序，这里需要把00414DC9跳转改成jmp.
继续看:
00415059此处也得NOP。
经过了3段类似代码以后，终于来到关键跳(前面跳转必须全部改对才能执行到这里哦):
00415330直接NOp了，这下后面的代码就是设置成已注册的了！
很好，并且没有了注册按钮，而且程序开启还会显示已注册！(虽然注册名和注册码都是空的。)
先保存到文件，再来看看关于窗口，反正看了也不会怎么样吧。(因为某些原因，需要把学号和学校代号抹掉，呵呵)
一连3个未注册提示，额，有一种不祥的预感，不过至少现在没有注册提示框. 并且设置窗口大小、是否置顶都没出现任何问题。
于是，我再手贱地按了一下“倒”按钮(即倒计时)。结果:
额，果然有暗桩。我一开始以为本来功能就没有的，结果我用他给我的注册码一试，发现还是有倒计时功能而且完整的。所以再次拖入OD调试。
不过这个反破解有点坑，虽然不是最坑，但是想退出程序还真难！按“返回”按钮没有任何用处，按了开始计时按钮提示"00:00已用完."(这是正常的，因为我还没有设置过多长时间的倒计时)，于是又一次手贱按了“设”按钮(设置)，结果倒计时窗体不见了，只有一个设置窗口。再次手贱设置完了倒计时时间，还勾选了"允许超时"，最后一次手贱就按了“关”按钮(关闭设置窗口)，结果程序一个窗口都不见了......好窘。打开任务管理器，发现还在运行啊：
算了，先结束了进程，再载入OD调试看看:
按了一下“倒”按钮，发现真的又一次读取了注册码:
于是我们也有思路了，只要搜索push 0040747C即可，把所有相关的都改掉. (改的东西都基本一模一样的，因为是单独的再次读取和验证，所以不可能改一处就完美，得一个一个改.......蛋疼啊。)<--此处反破解思路
总共有6处。都改完了以后......终于是完美的了。哈哈。
<破解思路2>使用动态调试程序 SMARTCHECK快速定位
SMARTCHECK是NUMEGA公司推出的一款调试VB程序的程序。我找到的最新版是6.20(Build1286) RC2的，1999年发布的......老古董了。网上有几篇文章的，貌似很好用，其实限制也有，不信打开一个P-code程序试试看:
悲剧的是，貌似同学给我的这几个程序都不符合要求:
于是，我联系同学，让他再给我发个符合要求的......终于来了，Timer_nc_none_dbg.exe就是这个了。(从这里可以看出，SMARTCHECK是为编程程序员设计的，不是为逆向而生......)
试试看......
what??还是没有结果，那这个程序就扔掉了吧。没用啊。
不过，幸好，我在扔掉前想到会不会是因为我用的是 绿色版 的原因，于是我费尽千辛万苦找到6.20 RC2 Retail安装包，安装以后发现要输 序列号 ，不管，先用，结果发现程序没有正确的序列号就不能调试其他程序，显示试用期已过，于是爆破SCShell.dll，可以正常使用了。
结果再测试......发现其实之前的非P-code文件也是可以正常调试的，甚至被优化的也可正常调试，而且P-code程序也可以调试，而且也有有用的东西，只不过一些语句不太明确而已......真是白忙活了，绿色版害死人啊.
好吧，打开程序，调试，由于Timer事件不断产生，所以我们就点击一次注册按钮，再点击一次“倒”按钮，发现真的好清楚:
看了老半天，没发现这些语句如何修改，于是只能做追码工具了......
我们先输入注册名注册码:(此程序貌似支持中文注册名啊......)
额，然后同一目录下生成了明码的注册码存储......
然后是长长的检验和计算过程:
在注册码明码出现的时候，看旁边的细节窗口:
string (variant)
String .bstrVal = 001559A4
= "h1141X:if:2Vt:y78OTEiMr34VyX11HaF"
这就是我们的注册码了。使用这个注册码注册一下，然后看看关于窗口:
不过只看关于窗口是不够的，因为它这个程序只要检测到输入过注册码，就会显示已注册，所以我们再来按“倒”按钮：<--反破解思路
发现一切正常(这就好啦哈哈).
(其实如果软件设计成注册码分段验证的会更好，这样的话追码是不可能了，算法分析也会有阻碍.)
---拓展:算法分析
它这个算法也不难，不过是单向的，如果反过来就会检验错误。呵呵。所以只能是明码比较。算法贴出来，让他自己去改代码去。
由于SMARTCHECK代码太长，我这里来说一下它的大致算法。
首先把你的用户名逐位转换成HEX，然后把第一个HEX+4(第一个Hex指用户名第一位的HEX值，后面类推)，第二个HEX+8，第三个HEX+C，第四个HEX+10，以此类推，然后取最小为0的hex即48(0x30)，最大为z(区分大小写)的hex即122(0x7A)，如果过小就+48(0x30)，过大就-74(0x4A)，然后最后组合起来就是注册码. 既然它程序使用VB写，那么我们也可以用VB来写写看。最后成品放在附件上了。
<3>使用静态反编译工具 VB Decompiler快速找到爆破点并更清晰地分析算法
VB Decompiler 是神器了。用它作用非常的大，可以快速找到Native-Code编译的程序爆破点，而不像SMARTCHECK那样不能用来爆破程序。
并且，它不像SMARTCHECK一样渴望是Native Code的程序，它对于P-code的支持反而大于Native Code。看来真是分析了VB虚拟机的运作的成品啊!
应该说，它可以直接把程序算法给爆出来，如下:
恩，挺变态的吧，再试试看Native-code的:
恩，代码明显差很多，但是对于调试的帮助还是有挺多的，比如上面可以得出415330的跳转应该不跳，然后到OD里面前前后后看看即可爆破了，不需要再费尽心思猜API来入手了。
这里我也不多说明，但是很明显的，编译成P-code的程序在遇到VB Decompiler的时候马上就跪了，之前的硬壳直接被看穿。
<破解思路3>利用动态调试器WKTVBDebugger来动态调试与修改P-code的VB程序
之前的VB Decompiler对于P-code的程序支持很好，但是并没有很明显的线索去修改VB程序。这时使用WKTVBDebugger就可以按照它里面的帮助文件进行修改跳转等东西了。
注意事项:
1. 此程序只能用于动态调试VB的P-code程序，对于Native-Code程序没有任何用处。
2. XP下使用时为了不出错，要把要调试的程序放在WKTVBDebugger同一目录下。(XP以前的系统应该没有这个问题，以后的没测试)
还有，帮助文件也很重要，里面有P-code和opcode的对应，对于修改爆破程序是有必要稍微了解一些的，否则代码你看不懂的话怎么破解呢。
我们先来看帮助文件，我这里直接打开会显示“已取消到该网页的导航”，对于这种问题解决办法:
右键属性，在下部看到一个“安全”，按旁边的“解除锁定”即可。最后记得要按确定.
然后就正常了。点击目录中“操作码与助记符列表”，然后点击"标准设置"，就是长长的一列对照表了。因为P-code与Intel的汇编代码完全不一样，所以得像初学OD那样先掌握一些P-code的含义。
目光聚焦到了这里:
这里可以知道,1c就代表jnz，1d就代表je，1e就代表jmp。(至少我当时是这么稚嫩地认为的。)然后我就到处找，汇编中的NOP在P-code里面该怎么表示呢？我在里面看这张表，找了三遍都没找到相关指令。然后无意中看到了这篇文章: http://blog.sina.com.cn/s/blog_5000f4c901013iiy.html
里面有提到:
这一来，我才明白，原来P-code的vb程序不能像Intel程序一样，随便把je,jnz改成jmp，也没有NOP指令给你用了，必须要另辟途径。
好了，到这里准备工作也做得差不多了，把程序载入WKTVBDebugger。看一下关于窗口，发现是2001年的作品，说明最近十几年除了VB Decompiler在不断更新以外，其他的VB工具基本都停留在了10几年以前，这跟微软的保密策略肯定有着非常大的关系(未公开关于P-code的详细信息，不信你去百度或Google搜索，没有什么特别有价值的信息)。对于P-code研究最大的成果也就这么几个。扯远了，来看看程序。界面如下:
比较有用的适合刚接触的就是“管理窗口 (Ctrl+F)”，使用这个，可以轻松地对程序载入、按钮按下等下断点。我们打开它，选择Form1(加载时默认的主窗口，如果不是可以一个一个慢慢试)。然后它会给你地址:
可以说，非常齐全，但是它只能根据控件来进行下断。而我们根据之前的分析，它在Form_Load的时候就检测了注册码。(如果没有重启验证，那么可以在按钮上下断点。)所以我们不得不再想另外的办法。<--反破解思路，做成纯重启验证也有它的好处。
再次打开VB Decompiler，发现Form_Load事件是在412838，于是打开WKTVBDebugger，下断412838，结果发现断不下！再仔细看看，发现这其实并不是代码的地址，而是窗体地址。所以在VB Decompiler反编译结果的窗口中选中第一句的地址411F26，再下断。
测试成功！这时候就可以取消断点，把VB Decompiler拖到注册验证段，开始是4121F0，再下断。
这里的跳转应该是不跳的，现在这里跳了，所以必须改掉。
这里为了验证BranchF/BranchT不能改成Branch，我们先改了试试看。
点击编辑，把目前的1c改成1e，然后运行。发现也没什么问题啊，请问那篇文章的真实性？我不得而知，望大牛来解释一下。
好，重新来一次。到这里以后看看代码:
004121F0的opcode为:1c 8d 06 先改成1c 00 00可以看到:
而我们的目标为BranchF 00412296(那里开始注册码的校验，由于这里没有NOP指令，只能先跳过读取阶段)，而412296-411F14=382，所以我们就可以改为：1c 82 03 。值得注意的是，这里又和Intel的汇编指令不同，汇编指令的跳转是以当前地址为参照，而这里P-code是以起始代码为参照的。这样一改，反而还挺好的，没有注册码就跳过读取阶段，有就不跳过，这样的话可以随意改写注册文件了。
然后就到了验证注册码的第一个环节:
依葫芦画瓢，后面的跳转也可这样改，比如00412296这里要跳到412299即下一行，于是412299-411F14=385，于是改成1c 85 03即可。后面的修改也都是差不多的，参照VB Decompiler里面的指令修改起来会很准确很清楚。(不知道如果我使用WKTVBDebugger像OD一样熟练还会不会要VB Decompiler)
Native Code和P-code程序的比较和各种破解VB程序的工具的比较就到这里告一个段落了，如果你能看完整篇文章，那我承认你对于它是极度感兴趣了，呵呵。
最后做个总结: VB的Native Code程序爆破起来比较简单(主要是OD用熟练了)，分析算法的话用VB Decompiler就要多花点心思。而P-code的程序追码和分析算法都非常简单，而爆破就要多花一些时间了(主要是WKTVBDebugger不太熟悉)。
顺便加个对话:
P.S.: 经过我的百般祈求，我的那个小A同学仍然不同意我把他的程序公开。对不起了，大家还是用自己的程序试炼一下吧。恩不过他没说我不能把注册机放出来......呵呵，我相信他不会打我的。
制作总结性的东西总是很累，这个笔记就当大家的参考吧，以后遇到VB程序脱了壳后破解起来应该会挺方便了吧。希望大家支持一下哦！写这篇文章差点写到浏览器卡死...... 下一篇帖子估计要等到一年半以后了。(初二下和初三应该没时间再来研究逆向这种耗费时间的东西了。)
一些提到的软件的链接:(解压密码全部为 dsong@52PoJie.Cn )
1. Numega SmartCheck:
链接: http://pan.baidu.com/s/1qWzAlqc 密码: 2oh1
2. DotFix VB Decompiler:
链接: http://pan.baidu.com/s/1i3L3jvR 密码: bf8v
3. WKTVBDebugger:
链接: http://pan.baidu.com/s/1bnF9KV9 密码: ikce
4. Timer's KeyGen :
链接: http://pan.baidu.com/s/1ntolbKl 密码: ilal
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
