VBCrackMe 的逆向修改

感谢NBW提供的资料及CrackMe
原文请看：[ VB快速逆向法 ]
http://bbs.pediy.com/showthread.php?s=&threadid=12133

。。。这里只是重复操作了一下。。。

1, 菜单可用
::00402A6F::  6A 00                    PUSH 0                          ;修改为FF                        
::00402A71::  57                       PUSH EDI                                
::00402A72::  8B0F                     MOV ECX,[EDI]                           
::00402A74::  FF51 74                  CALL [ECX+74]                           

修改后：
::00402A6F::  6A FF                    PUSH    -1                              
::00402A71::  57                       PUSH    EDI                             
::00402A72::  8B0F                     MOV     ECX, DWORD PTR [EDI]            
::00402A74::  FF51 74                  CALL    NEAR DWORD PTR [ECX+74]         

2,去NAG窗1

::0040277E::  6A FF                    PUSH -1                                 
::00402780::  56                       PUSH ESI                                
::00402781::  8B06                     MOV EAX,[ESI]                           
::00402783::  FF90 BC010000            CALL [EAX+1BC]                          

修改后：
::0040277E::  6A 00                    PUSH    0                              
::00402780::  56                       PUSH    ESI                             
::00402781::  8B06                     MOV     EAX, DWORD PTR [ESI]            
::00402783::  FF90 BC010000            CALL    NEAR DWORD PTR [EAX+1BC]        

3, 去NAG窗2

::00402678::  68 24404000              PUSH 404024                             
::0040267D::  68 88154000              PUSH 401588     \->: \x01
::00402682::  FF15 5C104000            CALL [40105C]   >>>: MSVBVM60.DLL:__vbaNew2
::00402688::  83EC 10                  SUB ESP,10       \:BYJMP JmpBy:00402676,
::0040268B::  B9 0A000000              MOV ECX,A                              
::00402690::  8BDC                     MOV EBX,ESP                             
::00402692::  894D DC                  MOV [EBP-24],ECX                        
::00402695::  B8 04000280              MOV EAX,80020004                        
::0040269A::  83EC 10                  SUB ESP,10                              
::0040269D::  890B                     MOV [EBX],ECX                           
::0040269F::  8B4D D0                  MOV ECX,[EBP-30]                        
::004026A2::  8BD0                     MOV EDX,EAX                             
::004026A4::  8B35 24404000            MOV ESI,[404024]    ;   这里进行了赋值                  
::004026AA::  894B 04                  MOV [EBX+4],ECX                        
::004026AD::  8BCC                     MOV ECX,ESP                             
::004026AF::  8B3E                     MOV EDI,[ESI]                           
::004026B1::  56                       PUSH ESI               ;作为参数入栈                             
::004026B2::  8943 08                  MOV [EBX+8],EAX                        
::004026B5::  8B45 D8                  MOV EAX,[EBP-28]                        
::004026B8::  8943 0C                  MOV [EBX+C],EAX                        
::004026BB::  8B45 DC                  MOV EAX,[EBP-24]                        
::004026BE::  8901                     MOV [ECX],EAX                           
::004026C0::  8B45 E0                  MOV EAX,[EBP-20]                        
::004026C3::  8941 04                  MOV [ECX+4],EAX                        
::004026C6::  8951 08                  MOV [ECX+8],EDX                        
::004026C9::  8B55 E8                  MOV EDX,[EBP-18]                        
::004026CC::  8951 0C                  MOV [ECX+C],EDX                        
::004026CF::  FF97 B0020000            CALL [EDI+2B0]                          

DS:[00404024]=0014F6F0
ESI=0012F604

修改后：

::004026B1::  90                       NOP        ; 参数NOP掉
                             
::004026CF::  83C4 24                  ADD     ESP, 24      ; CALL同样也NOP掉，平衡堆栈                  
::004026D2::  EB 01                    JMP     SHORT 004026D5  
;这句也不能少，少了会出现 运行时错误' -1476327224（a80108c8)': Automation 错误
::004026D4::  90                       NOP                                    

4,去掉文本框中的内容：
::00402B61::  68 F41C4000              PUSH 401CF4       \->: 挥??*NFh???观
::00402B66::  57                       PUSH EDI                                
::00402B67::  8B0F                     MOV ECX,[EDI]                           
::00402B69::  FF91 A4000000            CALL [ECX+A4]                           

改变后：
::00402B61::  68 F41C4000              PUSH 指向其他字符的地址即可
::00402B66::  57                       PUSH EDI                                
::00402B67::  8B0F                     MOV ECX,[EDI]                           
::00402B69::  FF91 A4000000            CALL [ECX+A4]                           

5,按钮可用：
::00402AA7::  6A 00                    PUSH 0                 
::00402AA9::  57                       PUSH EDI      
::00402AAA::  8B0F                     MOV ECX,[EDI]
::00402AAC::  FF91 8C000000            CALL [ECX+8C]                 

修改后：
::00402AA7::  6A FF                    PUSH    -1                    
::00402AA9::  57                       PUSH  EDI      
::00402AAA::  8B0F                     MOV     ECX, DWORD PTR [EDI]            ::00402AAC::  FF91 8C000000            CALL    NEAR DWORD PTR [ECX+8C]  

6,旁边有个Label -->
::00402AE5::  6A 00                    PUSH 0                                 
::00402AE7::  57                       PUSH EDI                                
::00402AE8::  8B0F                     MOV ECX,[EDI]                           
::00402AEA::  FF91 9C000000            CALL [ECX+9C]                           

修改后：
::00402AE5::  6A FF                    PUSH -1                                 
::00402AE7::  57                       PUSH EDI                                
::00402AE8::  8B0F                     MOV ECX,[EDI]                           
::00402AEA::  FF91 9C000000            CALL [ECX+9C]                           

7, 去掉窗口标题

内存地址401272处存放窗口标题的数据，替换修改即可！

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课