170923 逆向-Reversing.kr（MusicPlayer）

1625-5 王子昂 总结《2017年9月23日》 【连续第356天总结】
A. Reversing.kr-Music Player
B.
ReadMe显示，现有程序只能播放1分钟，我们需要绕过这个显示从而得到flag，程序有多次检测。

从图标和提供的msvbvm60.dll可以知道是VB写的
OD加载发现从ntdll以后F9就直接飞了
用IDA加载也空空如也，只有三个子函数call dll，应该是反调机制？

遂打开VB Decompiler，这次清晰地得到了结构和事件
我本来以为程序是OPEN文件以后，点击PLAY时间轴出现0:00/1:00
是直接截取前一分钟的内容加载播放
在PLAY的代码里找了半天，也只发现一个HS_POS.MAX=CINT(600)
前后搜索了一下都没找到相关内容，按地址去OD中下断可以断下来
但是没有找到600

无奈，去翻了下大佬的WriteUp，发现实际上是播放到1:00时弹窗，然后停止
VB弹窗调用的API是rtcMsgBox

在模块中查找未果
估计是因为根目录下提供了msvbvm60.dll，把它改了个名字，Ctrl+G就可以看到加载的dll换成c盘的系统msvbvm60.dll了，这个时候再查看所有调用可