汇编学习-三（VB）
- 闲来无事做了一下160个crackme,因为是VB程序，所以将得到的一点心得记录如下（OD加载注释）
00401ED7 . push eax ; Andréna.004018A8
00401ED8 . FF15 call dword ptr ds:[<&MSVBVM50.__vbaHresultCheckObj>] ; msvbvm50.__vbaHresultCheckObj
00401EDE > 8B45 A8 mov eax,dword ptr ss:[ebp-0x58] ; eax=0012f488=00ed28ec='12345678'
00401EE1 . A8 mov dword ptr ss:[ebp-0x58],esi ; esi='12345678'
00401EE4 . 8B35 F8404000 mov esi,dword ptr ds:[<&MSVBVM50.__vbaVarMove>] ; msvbvm50.__vbaVarMove
00401EEA . 8D55 lea edx,dword ptr ss:[ebp-0x6C] ; edx=0012f474
00401EED . 8D4D BC lea ecx,dword ptr ss:[ebp-0x44] ; ecx=0012f49c
00401EF0 . 9C mov dword ptr ss:[ebp-0x64],eax ; 0012f47c=00ed28ec
00401EF3 . C745 mov dword ptr ss:[ebp-0x6C],0x8 ; 0012f474=8
00401EFA . FFD6 call esi ; <&MSVBVM50.__vbaVarMove>
00401EFC . 8D4D A4 lea ecx,dword ptr ss:[ebp-0x5C] ; 上述函数交换了ecx和eax ecx=0012f484=00ed28ec='12345678'
00401EFF . FF15 AC414000 call dword ptr ds:[<&MSVBVM50.__vbaFreeObj>] ; msvbvm50.__vbaFreeObj
00401F05 . B9 mov ecx,0x2 ; ecx=2
00401F0A . B8 mov eax,0x1 ; eax=1
00401F0F . 898D 54FFFFFF mov dword ptr ss:[ebp-0xAC],ecx ; 0012f434=2
00401F15 . 898D 44FFFFFF mov dword ptr ss:[ebp-0xBC],ecx ; 0012f424=2
00401F1B . 8D8D 54FFFFFF lea ecx,dword ptr ss:[ebp-0xAC] ; ecx=0012f434
00401F21 . 5CFFFFFF mov dword ptr ss:[ebp-0xA4],eax ; 0012f43c=1
00401F27 . 4CFFFFFF mov dword ptr ss:[ebp-0xB4],eax ; 0012f42c=1
00401F2D . 8D55 BC lea edx,dword ptr ss:[ebp-0x44] ; edx=0012f49c
00401F30 . push ecx
00401F31 . 8D45 lea eax,dword ptr ss:[ebp-0x6C] ; eax=0012f474
00401F34 . push edx
00401F35 . push eax ; 参数1: 8 参数2: 0012f49c(00000080)
00401F36 . FF15 call dword ptr ds:[<&MSVBVM50.__vbaLenVar>] ; msvbvm50.__vbaLenVar
00401F3C . 8D8D 44FFFFFF lea ecx,dword ptr ss:[ebp-0xBC] ; ecx=0012f424(上述函数的返回值为ecx)
00401F42 . push eax ; Andréna.004018A8
00401F43 . 8D95 ECFEFFFF lea edx,dword ptr ss:[ebp-0x114]
00401F49 . push ecx
00401F4A . 8D85 FCFEFFFF lea eax,dword ptr ss:[ebp-0x104] ; eax=0012f3dc
00401F50 . push edx
00401F51 . 8D4D DC lea ecx,dword ptr ss:[ebp-0x24] ; ecx=0012F4bc
00401F54 . push eax ; Andréna.004018A8
00401F55 . push ecx ; 参数1:0 参数2:0 参数3:0 参数4:2 参数5:03 参数6:2
00401F56 . FF15 1C414000 call dword ptr ds:[<&MSVBVM50.__vbaVarForInit>] ; msvbvm50.__vbaVarForInit
00401F5C . 8B1D mov ebx,dword ptr ds:[<&MSVBVM50.__vbaVarCat>] ; msvbvm50.__vbaVarCat
00401F62 . 8B3D mov edi,dword ptr ds:[<&MSVBVM50.__vbaFreeVarList>] ; msvbvm50.__vbaFreeVarList
00401F68 > 85C0 test eax,eax ; eax=1,ecx=3,edx=9
00401F6A . 0F84 BB000000 je Andréna.0040202B
00401F70 . 8D55 lea edx,dword ptr ss:[ebp-0x6C] ; edx=0012f474
00401F73 . 8D45 DC lea eax,dword ptr ss:[ebp-0x24] ; eax=0012f4bc
00401F76 . push edx
00401F77 . push eax ; Andréna.004018A8
00401F78 . C745 9C mov dword ptr ss:[ebp-0x64],0x1 ; 0012f47c=1
00401F7F . C745 mov dword ptr ss:[ebp-0x6C],0x2 ; 0012f474=2
00401F86 . FF15 call dword ptr ds:[<&MSVBVM50.__vbaI4Var>] ; msvbvm50.__vbaI4Var
00401F8C . 8D4D BC lea ecx,dword ptr ss:[ebp-0x44] ; ecx=0012f49c
00401F8F . push eax ; eax=1
00401F90 . 8D55 lea edx,dword ptr ss:[ebp-0x7C] ; edx=0012f4bc
00401F93 . push ecx
00401F94 . push edx ; 参数1:0 参数2：8 参数3:1 参数4：2
00401F95 . FF15 call dword ptr ds:[<&MSVBVM50.#>] ; msvbvm50.rtcMidCharVar
00401F9B . 8D45 lea eax,dword ptr ss:[ebp-0x7C] ; eax=0012f464
00401F9E . 8D4D A8 lea ecx,dword ptr ss:[ebp-0x58] ; ecx=0012f488
00401FA1 . push eax ; Andréna.004018A8
00401FA2 . push ecx ; 参数1:0 参数2：（0012f0008）0
00401FA3 . FF15 call dword ptr ds:[<&MSVBVM50.__vbaStrVarVal>] ; msvbvm50.__vbaStrVarVal
00401FA9 . push eax ; eax=00f556fc='1'(下列函数eax)
00401FAA . FF15 call dword ptr ds:[<&MSVBVM50.#>] ; msvbvm50.rtcAnsiValueBstr
00401FB0 . : 0A00 add ax,0xA ; ax+=0xA
00401FB4 . 0F80 B0020000 jo Andréna.0040226A
00401FBA . 0FBFD0 movsx edx,ax ; edx=00f556fe,ax=003B
00401FBD . push edx ; 参数1:0x3b 参数2：（0012f4ec->0012f4fc）
00401FBE . FF15 call dword ptr ds:[<&MSVBVM50.#>] ; msvbvm50.rtcBstrFromAnsi
00401FC4 . 7CFFFFFF mov dword ptr ss:[ebp-0x84],eax ; 0012f45c=00f4d41c=';'
00401FCA . 8D45 CC lea eax,dword ptr ss:[ebp-0x34] ; eax=0012f4ac
00401FCD . 8D8D 74FFFFFF lea ecx,dword ptr ss:[ebp-0x8C] ; ecx=0012f454
00401FD3 . push eax ; Andréna.004018A8
00401FD4 . 8D95 64FFFFFF lea edx,dword ptr ss:[ebp-0x9C] ; edx=0012f444
00401FDA . push ecx
00401FDB . push edx
00401FDC . C785 74FFFFFF >mov dword ptr ss:[ebp-0x8C],0x8 ; 0012f454=8
00401FE6 . FFD3 call ebx
00401FE8 . 8BD0 mov edx,eax ; eax=0012f444
00401FEA . 8D4D CC lea ecx,dword ptr ss:[ebp-0x34] ; ecx=0012f4ac
00401FED . FFD6 call esi
00401FEF . 8D4D A8 lea ecx,dword ptr ss:[ebp-0x58] ; ecx=0012f488
00401FF2 . FF15 B0414000 call dword ptr ds:[<&MSVBVM50.__vbaFreeStr>] ; msvbvm50.__vbaFreeStr
00401FF8 . 8D85 74FFFFFF lea eax,dword ptr ss:[ebp-0x8C]
00401FFE . 8D4D lea ecx,dword ptr ss:[ebp-0x7C]
. push eax ; Andréna.004018A8
. 8D55 lea edx,dword ptr ss:[ebp-0x6C]
. push ecx
. push edx
. 6A push 0x3
. FFD7 call edi
0040200B . 83C4 add esp,0x10
0040200E . 8D85 ECFEFFFF lea eax,dword ptr ss:[ebp-0x114]
. 8D8D FCFEFFFF lea ecx,dword ptr ss:[ebp-0x104]
0040201A . 8D55 DC lea edx,dword ptr ss:[ebp-0x24]
0040201D . push eax ; Andréna.004018A8
0040201E . push ecx
0040201F . push edx
. FF15 A4414000 call dword ptr ds:[<&MSVBVM50.__vbaVarForNext>] ; msvbvm50.__vbaVarForNext
.^ E9 3DFFFFFF jmp Andréna.00401F68
0040202B > 8D45 CC lea eax,dword ptr ss:[ebp-0x34] ; eax=0012f4ac
0040202E . 8D8D 54FFFFFF lea ecx,dword ptr ss:[ebp-0xAC] ; ecx=0012f434
. push eax ; Andréna.004018A8
. push ecx
. C785 5CFFFFFF 8C1A40>mov dword ptr ss:[ebp-0xA4],Andréna.00401A8C ; UNICODE "kXy^rO|*yXo*m\kMuOn*+"
. C785 54FFFFFF >mov dword ptr ss:[ebp-0xAC],0x8008 ; 0012f434=0x8008
0040204A . FF15 call dword ptr ds:[<&MSVBVM50.__vbaVarTstEq>] ; msvbvm50.__vbaVarTstEq
. :85C0 test ax,ax
. 0F84 C0000000 je Andréna.
. FF15 6C414000 call dword ptr ds:[<&MSVBVM50.#>] ; msvbvm50.rtcBeep
0040205F . 8B1D mov ebx,dword ptr ds:[<&MSVBVM50.__vbaVarDup>] ; msvbvm50.__vbaVarDup
. B9 0A000000 mov ecx,0xA在分析VB的时候应该具体的了解到地址调用，善于追根朔源，从栈地址到具体的内容（data）。清楚每个函数的参数。
汇编学习-三（VB）的更多相关文章
- 汇编学习二-VB(常见函数分析)
VB代码如下所示 push ebp 00401FF1 . 8BEC mov ebp,esp 00401FF3 . 83EC 0C sub esp,0xC push <jmp.&MSVBV ...
- arm汇编学习(三)
一.ndk编译android上运行的c程序 新建个hello目录,底下要有jni目录,下面就是Android.mk文件 1.Android.mk文件内容如下: LOCAL_PATH:= $(call ...
- MIPS汇编学习
MIPS汇编学习 mips汇编不同于x86汇编,属于精简指令集,常见于路由器等一些嵌入式设备中. mips汇编没有对堆栈的直接操作,也就是没有push和pop指令,mips汇编中保留了32个通用寄存器 ...
- HTTP学习三：HTTPS
HTTP学习三:HTTPS 1 HTTP安全问题 HTTP1.0/1.1在网络中是明文传输的,因此会被黑客进行攻击. 1.1 窃取数据 因为HTTP1.0/1.1是明文的,黑客很容易获得用户的重要数据 ...
- TweenMax动画库学习(三)
目录 TweenMax动画库学习(一) TweenMax动画库学习(二) TweenMax动画库学习(三) ...
- 汇编学习笔记(11)int指令和端口
格式 int指令也是一种内中断指令,int指令的格式为int n,n是中断类型码.也就是说,使用int指令可以调用任意的中断例程,例如我们可以显示的调用0号中断例程,还记得在汇编学习笔记(10)中我们 ...
- Struts2框架学习(三) 数据处理
Struts2框架学习(三) 数据处理 Struts2框架框架使用OGNL语言和值栈技术实现数据的流转处理. 值栈就相当于一个容器,用来存放数据,而OGNL是一种快速查询数据的语言. 值栈:Value ...
- 4.机器学习——统计学习三要素与最大似然估计、最大后验概率估计及L1、L2正则化
1.前言 之前我一直对于“最大似然估计”犯迷糊,今天在看了陶轻松.忆臻.nebulaf91等人的博客以及李航老师的<统计学习方法>后,豁然开朗,于是在此记下一些心得体会. “最大似然估计” ...
- DjangoRestFramework学习三之认证组件、权限组件、频率组件、url注册器、响应器、分页组件
DjangoRestFramework学习三之认证组件.权限组件.频率组件.url注册器.响应器.分页组件 本节目录 一 认证组件 二 权限组件 三 频率组件 四 URL注册器 五 响应器 六 分 ...
随机推荐
- disruptor 多生产者多消费者实战 四
一.创建event类 Order public class Order { private String id; private String name; private double price; ...
- IOS7下，alertView不能使用addSubview添加textField解决办法
UIAlertView *alertView1 = [[UIAlertView alloc] initWithTitle:@"Enter Form Name" message:@& ...
- 一，kubeadm初始化k8s集群
docker安装 wget https://mirrors.tuna.tsinghua.edu.cn/docker-ce/linux/centos/docker-ce.repo yum inst ...
- php 数据库 操作
header.php <?php error_reporting(0);//加上error_reporting(0);就不会弹出警告了 // header("Content-type: ...
- 曹工说Spring Boot源码（23）-- ASM又立功了，Spring原来是这么递归获取注解的元注解的
写在前面的话 相关背景及资源: 曹工说Spring Boot源码(1)-- Bean Definition到底是什么,附spring思维导图分享 曹工说Spring Boot源码(2)-- Bean ...
- Android UI性能测试——使用 Systrace 查找问题
一 官方文档翻译 官文地址:https://developer.android.com/studio/command-line/systrace systrace命令允许您在系统级别上收集和检查所有运 ...
- CSRF和XSS区别和预防
名词解释 CSRF(Cross-site request forgery)跨站请求伪造 XSS (Cross-site scripting)跨站脚本攻击,这里缩写css被前端层叠样式表(Cascadi ...
- SVN分支合并指南
SVN分支合并主干具体操作步骤 1. 在装有svn插件的myeclipse中,在主干上选择需要合并的文件或文件夹, 右击--> team -->合并(merge) 2.选择合并类型--合并 ...
- drf认证源码分析
补充: 一.django中间件之路由斜杠的自动添加源码 其实我们每次在写路由的时候,如果在路由层给他设置的是加/,但实际上我们在浏览器中输入的时候并没有加/发现也能调用,前面说了是浏览器内部走了重定向 ...
- 最小生成树的Prim算法以及Kruskal算法的证明
Prime算法的思路:从任何一个顶点开始,将这个顶点作为最小生成树的子树,通过逐步为该子树添加边直到所有的顶点都在树中为止.其中添加边的策略是每次选择外界到该子树的最短的边添加到树中(前提是无回路). ...