首页
社区
课程
招聘
[下载]VB杀手V1.0.2007.1210(附源码)
发表于: 2007-12-10 17:19 24146

[下载]VB杀手V1.0.2007.1210(附源码)

2007-12-10 17:19
24146
VBKiller使用说明
VBKiller是一个VB辅助逆向分析的工具。首先声明,它不能帮你把VB程序反编译到VB源代码,只能使得VB程序的反汇编看起来更接近VB代码。
配合IDA使用,可以建立VB程序几乎所有的类结构、方法表、函数体,并建立方法表结构体;可以识别VB程序中引用的COM的CLSID,并使用ProgID命名;可以建立任意COM程序(非VB编译的也可以)的方法表、函数体,并建立方法表结构体,可以在待分析的VB程序中使用这些结构体。经过这些处理,待分析的VB程序在IDA中就形成了多个很规范类、方法,离逆向到源码已经不远了。
说用方法:
点击浏览按钮选中一个COM程序,DLL或者Exe或者ocx,如果不是VB程序,要在“非VB程序”那里打勾,点击查看。左边的框框就列出了所选程序的所有COM接口,如果还要看类和枚举,可以选中“显示接口以外的所有类”。点击任意一个接口,右边就显示了该接口的所有方法,在方法表中地址、方法体的真实地址。如果要显示前面七个基本方法,则需要选中“显示基本接口的方法”。如果是非VB程序,右边有映像基址和虚拟基址,映像基址就是程序的ImageBase,而虚拟基址就是分配到内存空间里面的起始地址,程序默认大概计算了这个地址,如果不正确,就需要手工修改,因为程序得到的方法表地址是运行空间里面的,必须知道这两个基址才能转成静态文件中的地址,所以很重要,不能填写,否则就会识别错误。点击生成IDC,就可以生成当前选中的接口所对应的IDC文件,类和枚举是不能生成IDC的,把这个IDC加载到IDA中,就可以自动识别处理相应的方法地址了。点击全部生成,就可以生成所有接口的IDC文件(放到同一个文件里面)。选中“生成结构体”,再使用两个生成按钮,就可以生成这个COM对应的结构体建立脚本,把这个结构体IDC载入IDA,就会在IDA中生成一批对应的结构体,比如:分析的一个程序用到了数据库操作和加解密操作,一般要载入ADO和CAPICOM的结构体脚本。
VBKiller还有一个扫描识别COM的功能尚未完成。

同一个目录下,还有另外几个c文件。
其中,header.c是上面的IDC文件所要包含的,这是公用函数文件;
vb.c是网络上流传的那个vb.idc修改后的版本,没有改多少,感觉很多地方没有起作用。可以利用该脚本建立VB程序的类结构和事件表;
vboop.c是专门辅助分析VB面向对象功能的脚本。
里面的Do_BasicOOP方法主要是根据vb.c建立好的事件表,处理对应的函数体,如果函数没有建立,则建立函数,并把该函数改名为与事件表的名字一致,同时建立每个类的方法表结构体,方面以后分析。
ParseAPI用于处理VB内部函数,它将扫描所有指定的函数的交叉引用,给该函数加上可重复注释,尝试识别参数,并给各个参数加上注释,如果参数是寄存器,则再往上寻找寄存器数据的来源,并加上注释。扫描的函数和注释是代码里面指定的,目前指定了大多数函数,大家可以根据自己需要加上新的函数。
ParseNew方法用于扫描所有的_vbaNew和_vbaNew2的交叉引用,并尝试识别相应的CLSID,如果能识别,则修改为相应的程序名,以方便查看。识别是内置实现的,目前内置的不多,大家可以根据需要添加自己的。扫描是,如果发现无法识别的CLSID,程序将会把该CLSID写入到同目录下的UnKnown.txt中,分析一遍后可以去查看该文件,如果发现有未识别的CLSID,则到注册表中搜索该CLSID,得到程序名后,在程序相应地方加上即可。

大石头
99363590
技术支持:http://www.nnhy.org/bbs/dispbbs.asp?boardid=17&id=287&star=1&page=1

[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

上传的附件:
收藏
免费 0
支持
分享
最新回复 (38)
雪    币: 93908
活跃值: (200199)
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
2
Thanks .
2007-12-10 17:58
0
雪    币: 817
活跃值: (1927)
能力值: ( LV12,RANK:2670 )
在线值:
发帖
回帖
粉丝
3
程序到不大,不过又要装.NET库了
2007-12-10 19:09
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
4
谢谢两位前辈

.net可以提高生产力,对于我这种经常写小程序的人来说尤其重要

对于逆向分析,我是菜鸟一个,还望各位大侠多多指教
2007-12-10 19:22
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
5
原本我也没想到能用c#写出这个程序,毕竟操作指针不是它的强项。但令人高兴的是,它做到了,并且没有使用指针,也就全部使用.net的类库,真是出人意料呀……

这些工具、程序,都是学习逆向分析过程中的副产品。
我的原则就是:能让程序帮忙的事情,绝不自己动手去做!
2007-12-10 19:27
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
已下载收藏,感谢分享
2007-12-10 21:30
0
雪    币: 716
活跃值: (162)
能力值: ( LV9,RANK:250 )
在线值:
发帖
回帖
粉丝
7
来看看C#代码,学习学习。
2007-12-11 10:38
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
8
呵呵,匆匆茫茫,代码写得太垃圾了
2007-12-12 04:05
0
雪    币: 224
活跃值: (13)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
怪了,NET1.1 2.0我都装有,用这程序打开了几个VB程序都出错"加载类型库/DLL....."
2007-12-12 04:36
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
hxx
10
用这程序打开了几个VB程序都出错"加载类型库/DLL....."
2007-12-12 19:36
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
只支持vb.net ?能支持vb6.0?
2007-12-12 19:50
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
12
只支持vb6.0
不支持vb.net
2007-12-17 19:01
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
vb现在还有多少人用?

vb.net跟老vb 太不一样了
2007-12-23 16:43
0
雪    币: 213
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
出现同样的错误信息!!!
2007-12-25 18:35
0
雪    币: 38
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
和上面的一样  打开VB程序出错
2007-12-26 10:17
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
16
实在不好意思,可能测试得不过普遍,我再修正一下
2008-1-11 23:38
0
雪    币: 206
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
NET1.1 2.0我都装有,用这程序打开了几个VB程序都出错"加载类型库/DLL....."
2008-1-25 22:49
0
雪    币: 79
活跃值: (35)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
18
测试做得太差了,不好意思。

迟些我会以另一种方式(IDA插件<C#版>)退出新的
2008-1-29 09:08
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
2008-2-4 13:33
0
雪    币: 93908
活跃值: (200199)
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
20
[通知]请勿为了帖子数而频繁灌水!论坛保留随时删除的权利

http://bbs.pediy.com/announcement.php?f=10&a=89
2008-2-4 13:44
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
那个.net 去哪下载啊?
2008-2-16 15:27
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
下载一个,谢谢了。
2008-2-18 10:08
0
雪    币: 195
活跃值: (57)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
支持一下 ,谢谢
2008-2-22 10:57
0
雪    币: 246
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
收藏了,谢谢
2008-2-22 16:07
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
put
25
先看看,谢拉
2008-2-28 13:10
0
游客
登录 | 注册 方可回帖
返回
//