新建了一个新的文集《逆向工程》，开启新的篇章。
春节假期在家看了《逆向工程 核心原理》，里面第8章是关于abex' crackme的破解。书中主要针对这个例子讲了如何破解达到目的，但是针对碰到vb编写的exe逆向时有哪些技巧没有做过多说明，所以就有了这篇文章。这篇文章的内容部分来自网络搜集，部分来自我自己研究。
abex' crackme #2 下载地址： 链接：https://pan.baidu.com/s/1SlcCOlPnr8GsaFijxI5x6w 提取码：lht4

0x00 vb入口点特征

VB文件使用名为MSVBVM60.dll(Microsoft Visual Basic Virtual Machine6.0)的VB专用引擎(也称为The Thunder Runtime Engine)，举个使用VB引擎的例子，显示消息框时，VB代码中要调用MsgBox函数。其实VB编辑器真正调用的时MSVBVM60.dll里的rtcMsgBox函数。在该函数内部通过调用user32.dll里的MessageBoxW函数来工作(也可以直接在VB代码中直接调用user32.dll中的MessageBoxW)。
VB主要用于编写GUI程序，其采用Windows操作系统的事件驱动方式工作，所以在main()或WinMain()中并不存在用户代码，用户代码存在于各个事件处理程序(event handler)中。
运行OllyDbg，加载abex' crackme#2,停在入口点，如下图：

struct VBHeader
{
    char szVbMagic[4]; // 固定的VB5! 字符串
    __int16 wRuntimeBuild;
    char szLangDll[14];
    char szSecLangDll[14];
    __int16 wRuntimeRevision;
    int dwLCID;
    int dwSecLCID;
    int lpSubMain;
    int lpProjectData; /* pointer to ProjectInfo */
    int fMdlIntCtls;
    int fMdlIntCtls2;
    int dwThreadFlags;
    int dwThreadCount;
    __int16 wFormCount;
    __int16 wExternalCount;
    int dwThunkCount;
    int lpGuiTable;
    int lpExternalTable;
    int lpComRegisterData;
    int bSZProjectDescription;
    int bSZProjectExeName;
    int bSZProjectHelpFile;
    int bSZProjectName;
};

所以总结下来vb应用程序的入口点特征：

1. EP点是push+call指令
2. push的结构体前4个字节是VB5!

0x01 vb中Variant数据类型

在调试abex' crackme #2过程中发现，__vbaLenVar或者__vbaVarTstLt之类函数被调用时基础类型的内存表示与C/C++不同，差别在于其所有参数传递都像是被一个struct结构体包裹了一层。
比如下面跟踪__vbaLenVar参数传递：

__vbaLenVar

typedef struct tagVARIANT {
  union {
    struct {
      VARTYPE vt;
      WORD    wReserved1;
      WORD    wReserved2;
      WORD    wReserved3;
      union {
        LONGLONG     llVal;
        LONG         lVal;
        BYTE         bVal;
        SHORT        iVal;
        FLOAT        fltVal;
        DOUBLE       dblVal;
        VARIANT_BOOL boolVal;
        VARIANT_BOOL __OBSOLETE__VARIANT_BOOL;
        SCODE        scode;
        CY           cyVal;
        DATE         date;
        BSTR         bstrVal;
        IUnknown     *punkVal;
        IDispatch    *pdispVal;
        SAFEARRAY    *parray;
        BSTR         *pbstrVal;
      // 此处省略诸多代码
} VARIANT;

需要特殊关照一下 VARIANT_BOOL这个数据类型(全0是false，全1是true):

typedef short VARIANT_BOOL;
#define VARIANT_TRUE ((VARIANT_BOOL)-1)
#define VARIANT_FALSE ((VARIANT_BOOL)0)

VARIANT结构体中前2个字节是变量类型vt，vt是枚举值，部分值如下：
完整见 https://docs.microsoft.com/en-us/windows/win32/api/wtypes/ne-wtypes-varenum

typedef enum VARENUM {
  VT_EMPTY,
  VT_NULL,
  VT_I2,
  VT_I4,
  VT_R4,
  VT_R8,
  VT_CY,
  VT_DATE,
  VT_BSTR,
//  此处省略诸多代码
}

重新回过头看上面的汇编代码，解释__vbaLenVar函数的行为：

00402FF9   .  50            push eax                         
00402FFA   .  51            push ecx
00402FFB   .  C785 2CFFFFFF>mov dword ptr ss:[ebp-0xD4],0x4
00403005   .  C785 24FFFFFF>mov dword ptr ss:[ebp-0xDC],0x8002
0040300F   .  FF15 28104000 call dword ptr ds:[<&MSVBVM60.__vbaLenVa>;  msvbvm60.__vbaLenVar
00403015   .  8D95 24FFFFFF lea edx,dword ptr ss:[ebp-0xDC]
0040301B   .  50            push eax
0040301C   .  52            push edx
0040301D   .  FF15 44104000 call dword ptr ds:[<&MSVBVM60.__vbaVarTs>;  msvbvm60.__vbaVarTstLt

eax寄存器指向一个类型为08 00的VARIANT结构体，08 00表示这是一个字符串。ecx指向一个类型为00 00的VARIANT结构体，用于存放字符串长度。其函数原型为：VARIANT* __vbaLenVar(VARIANT* strLen,VARIANT* str),返回值也是strLen。00402FFB和00403005两行汇编构造了一个类型为02(VT_I4)值为4的VARIANT变量，压栈后调用__vbaVarTstLt函数进行2个值大小比较。

0x02: vb其他技巧汇总

网友针对vb常用函数进行了汇总。
常用函数的功能解释：https://blog.csdn.net/mmmsss987/article/details/100516352
常用函数的汇编解释：https://www.cnblogs.com/findeasy/archive/2012/10/11/4053150.html
针对vb窗口属性特征值的技巧：https://bbs.pediy.com/thread-12133.htm

0x03: vb逆向神器(VB Decompiler)

下载地址：https://down.52pojie.cn/Tools/Disassemblers/VB.Decompiler.Pro.v10.1.Cracked.by.yoza[RET].rar
可以帮助快速找到函数入口点，已经了解大概逻辑，但是详细的可能不准确。

vb decompiler