 |
| Главная |
| Программы |
| Статьи |
| Разное |
| Форум |
| Контакты |
Проверить аттестат
Автор: GPcH. Дата публикации: 11.08.2008
Искусство редактирования интерфейса программ на VB
ВступлениеОпытным исследователям программ или русификаторщикам наверняка попадались программы, написанные на VB. Что удивительно, про редактирование форм и контролов на них вообще на данный момент нет никакой информации. Это надо исправлять, чем мы и займемся. Статья была написана мной в начале 2007 года, но она лежала все это время у меня на винте и ждала публикации!
Вообще русификаторщики и просто продвинутые пользователи давно привыкли юзать Restorator или Resource Hacker для редактирования интерфейса программ. К сожалению, эти утилиты никак не видят ресурсы VB прог. Формат, в котором они хранятся, в принципе, не сложный, но кому охота писать отдельный редактор ресурсов чисто под VB? Что поделать, придется изучать этот формат самим. Для начала разберем, как найти эти самые ресурсы в VB проге. Начнем с рассмотрения оригинальной точки входа в программу. Чтобы на нее перейти из HEX редактора HIEW нам потребуется лишь загрузить EXE’шник в данный HEX редактор и нажать поочереди Enter, Enter, F8, F5. У кого хиев купленный знают как оптимизировать эту операцию до командной строки, но эт так к слову. Нашему взгляду будет представлено примерно следующее:
| CODE NOW! |
| push 0004042E8 ;’VB5!’ call ThunRTMain ;MSVBVM60 --?2 |
Теперь считываем структуру VBHeader по адресу 0004042E8. Как бы это не было парадоксально - больше нам для исследования никакие сторонние структуры не потребуются - все нужное мы выцепим из VBHeader.
Структура VBHeader
| CODE NOW! |
| Поле Тип Описание Signature String * 4 Сигнатура "VB5!" RuntimeBuild Integer Показатель рантаймовости LanguageDLL String * 14 Языковая библиотека BackupLanguageDLL String * 14 Не влияет на работу EXE RuntimeDLLVersion Integer Версия рантайм библиотеки LanguageID Long Язык программы BackupLanguageID Long Используется совместно с LanguageDLL aSubMain Long Main процедура, запускаемая при старте EXE. aProjectInfo Long Указатель на структуру ProjectInfo fMDLIntObjs Long fMDLIntObjs2 Long ThreadFlags Long Флаги потока ThreadCount Long Число потоков (смысл малопонятен, так как VB не позволяет создавать многопоточные программы) FormCount Integer Число форм в данном файле ExternalComponentCount Integer Число внешних OCX компонентов ThunkCount Long aGUITable Long Указатель на GUITable aExternalComponentTable Long Указатель на ExternalComponentTable aComRegisterData Long Указатель на ComRegisterData oProjectExename Long Адрес строки с именем EXE файла oProjectTitle Long Адрес строки с заголовком проекта oHelpFile Long Адрес строки с именем Help файла oProjectName Long Адрес строки с именем проекта |
Мощная структура не правда ли? Все элементарно! Нам потребуется только FormCount для определения числа форм и указатель на структуры описывающие формы - aGUITable. Структура GUITable имеет вид:
Структура tGuiTable
| CODE NOW! |
| Поле Тип Описание SectionHeader Long Адрес заголовка описывающего секции unknown(59) Byte Неиспользуемый блок байт FormSize Long Размер блока, описывающего форму и контролы, лежащие на ней un1 Long Неиспользуемый DWORD aFormPointer Long Указатель на блок, описывающий форму и контролы, лежащие на ней un2 Long Неиспользуемый DWORD |
Таких структур столько же, сколько форм в проекте и они идут одна за одной. Чтобы получить адрес начала формы, нужно к aFormPointer прибавить 93. Этот адрес должен указывать на длину информации о форме. Тут есть небольшая хитрость - он может занимать 2 либо 4 байта. Если считанный DWORD отANDить с &H80000000 то мы определим число байт информации. Если DWORD содержит флаг &H80000000 то длина записана в 4 байта, иначе в два. После длины идет собственно описание формы и лежащих на ней контролов. Наконецто мы нашли то что нам нужно, пора бы разобраться с бинарным форматом форм и контролов.
Бинарный формат формы
Когда-то во времена VB 1.0 for DOS все формы по умолчанию сохранялись в бинарном формате и это не считалось ненормальным. Теперь же когда мы привыкли что frm файлы можно редактировать прямо в блокноте трудно представить что эти же формы можно представить в упакованном бинарном формате. Почему упакованном? А потому, что чтобы узнать информацию о последнем контроле на форме нужно последовательно пропарсить все предыдущие контролы. Из этого следует что чтобы добавить новое свойство контролу придется перепаковать всю структуру. То есть сначала декомпилировать ее, потом изменить и снова скомпилировать, как это делает VB. Сложно, не спорю, но что поделать. Самое сложное если на форме лежит ActiveX или UserControl, который нужно выделить чтобы не изменить неизвестных его свойств. Все это оказало сильное впечатление на программеров, потому по сей день нет ни одного нормального редактора интерфеса VB программ и русификаторы к VB прогах практически не делают. Надеюсь ты прочитав эту статью разберешься как устроены формы VB и как их разбирать и заново собирать. В бинарном упакованном виде каждый объект начинается со свойства Name и заканчивается идентификатором, по которому можно узнать идут ли дальше другие объекты, вложенность объектов и их завершение, а также меню. Свойства чередуются крайне просто. Сначала идет идентификатор свойства, потом само значение, затем следующий идентификатор. Идентификаторы FF00-FF05 зарезервированы. Вот их описание:
| CODE NOW! |
| Public Const vbFormNewChildControl = &H1FF Public Const vbFormExistingChildControl = &H2FF Public Const vbFormChildControl = &H3FF Public Const vbFormEnd = &H4FF Public Const vbFormMenu = &H5FF |
Теперь надо решить одну проблемку - откуда же нам брать идентификаторы всех свойств всех контролов? Все просто - я уже составил таблицу, которая мной была получена поутем выдирания этих свойств из TypeLib’ов VB и их многочисленными исправлениями. Таблицу бери на диске и давай приступать к реальному примеру.
| CODE NOW! |
| 00 00 00 00-00 00 00 00-00 00 04 00-00 00 0D 00 ?? ?? ? 41 43 5F 45-78 44 65 63-5F 30 33 5F-42 00 0D 01 AC_ExDec_03_B ?? 27 00 43 72-61 63 6B 6D-65 20 66 6F-72 20 4A 6F ’ Crackme for Jo 73 65 70 68-43 6F 27 73-20 45 78 44-65 63 20 50 sephCo’s ExDec P 72 6F 67 72-61 6D 2E 2E-2E 00 03 08-00 00 80 19 rogram... ?? ?? 01 00 42 00-23 3E 04 00-00 6C 74 00-00 36 04 00 ? B #>? lt 6? 00 00 00 01-00 02 00 20-20 10 00 00-00 00 00 E8 ? ? ? ? 02 00 00 26-00 00 00 10-10 10 00 00-00 00 00 28 ? & ??? ( 01 00 00 0E-03 00 00 28-00 00 00 20-00 00 00 40 ? ?? ( @ 00 00 00 01-00 04 00 00-00 00 00 80-02 00 00 00 ? ? ?? 00 00 00 00-00 00 00 00-00 00 00 00-00 00 00 00 00 00 00 00-00 80 00 00-80 00 00 00-80 80 00 80 ? ? ?? ? 00 00 00 80-00 80 00 80-80 00 00 80-80 80 00 C0 ? ? ?? ??? + C0 C0 00 00-00 FF 00 00-FF 00 00 00-FF FF 00 FF ++ 00 00 00 FF-00 FF 00 FF-FF 00 00 FF-FF FF 00 00 |
0D указывает на то что имя формы содержит 0Dh символов. Далее идет имя "AC_ExDec_03_B", зевершающееся нулевым байтом, после которого опять стоит 0Dh. Следующий байт 01h определяем по таблице для формы - это Caption, следовательно после него должна идти длина строки и сама строка. Со строками у VB не все гладко - строки в некоторых свойствах объектов он хранит в ACIIZ формате, а в некоторых - в Unicode формате. Распознать формат нереально; единственный способ, просто запомнить те свойства которые имеют Unicode формат, а какие нет. К примеру Caption и Name всегда ASCII, а вот Tag, Connect и некоторые другие в Unicode формате. Вернемся к нашим данным. 03 - BackColor согласно нашей таблице, следовательно следующие 4 байта отвечают за 32 битный код цвета. Далее идет 19 - ScaleMode, следующий за ним Word определяет масштаб. 42 - WhatsThisButton, за ним 1 байт определяющий логическое True (FF) или False (0). Теперь рассмотрим самое интересное, что есть в формах - слудующий байт 23. Это Icon. Вообще при программировании на VB формы хранятся в файле frm,а вот графика и прочие большие данные хранятся в frx. frm в свою очередь ссылается на определенный адрес в этом frx, храня в котором все используемые данные простосто один за другим. После компиляции содержимое frx встраивается в форму, поэтому в рассматриваемом случае после байта 23 будет идти иконка в формате stdole.Picture. Если иконка берется дефолтная из MSVBVM60.DLL, то после 23 будет FFFFFFFF, иначе будет размер картинки. Именно столько байт мы должны считать после адреса, чтобы получить всю используемую иконку. 3E 04 00-00 = 43E = 1086 байт. Именно черз столько байт кончится иконка и продолжится форма, которую мы декомпиляем:
| CODE NOW! |
| FF 00 00 35-FF 00 00 24-05 00 46 6F-72 6D 31 00 5 $? Form1 35 3C 00 00-00 59 01 00-00 CC 15 00-00 03 0C 00 5< Y? ¦§ ?? 00 46 03 FF-01 55 00 00-00 01 06 00-46 72 61 6D F? ?U ?? Fram 65 31 00 03-01 11 00 42-75 74 74 6F-6E 20 69 73 e1 ??? Button is 20 69 6E 20-68 65 72 65-00 03 00 00-00 00 04 FF in here ? ? FF FF 00 05-78 00 A0 05-AF 14 37 05-12 01 00 1B ?x ???¶7??? ? 01 00 00 00-BC 02 A4 2C-02 00 0E 43-65 6E 74 75 ? +??,? ?Centu 72 79 20 47-6F 74 68 69-63 FF 01 2B-00 00 00 03 ry Gothic ?+ ? 08 00 43 6F-6D 6D 61 6E-64 31 00 04-01 09 00 45 ? Command1 ??? E 6E 61 62 6C-65 20 4D 65-00 04 78 00-58 02 BF 13 nable Me ?x X?+? EF 01 11 02-00 FF 02 03-AE 00 00 00-02 06 00 4C ???? ??? ?? L 61 62 65 6C-31 00 01 01-6A 00 41 63-69 64 5F 43 abel1 ??j Acid_C 6F 6F 6C 5F-31 37 38 27-73 20 45 78-44 65 63 20 ool_178’s ExDec 43 72 61 63-6B 6D 65 20-30 33 2E 42-2C 20 6A 75 Crackme 03.B, ju 73 74 20 65-6E 61 62 6C-65 20 74 68-65 20 62 75 st enable the bu 74 74 6F 6E-2E 2E 2E 20-4D 61 79 62-65 20 74 68 tton... Maybe th 69 73 6F 6E-65 20 69 73-20 61 62 69-74 20 65 61 isone is abit ea 73 69 65 72-20 74 68 61-6E 20 45 78-44 65 63 20 sier than ExDec 30 33 2E 41-00 03 00 00-00 00 04 FF-FF FF 00 05 03.A ? ? ? 78 00 78 00-AF 14 47 04-12 00 00 25-01 00 00 00 x x ?¶G?? %? BC 02 A4 2C-02 00 0E 43-65 6E 74 75-72 79 20 47 +??,? ?Century G 6F 74 68 69-63 FF 02 04-50 00 00 00-2E F4 B5 01 othic ??P .?¦? C9 42 34 4B-9A 3F 43 B2-41 04 7C 5E-00 00 00 00 +B4K??C¦A?|^ |
Теперь видим 24. Это LinkTopic, после которого идет строка, строки мы уже умеем достать потому продолжим. 35 - этого опкода в таблице нет, но я тебе расскажу - это всего лишь линейные размеры клиентской части формы. За байтом 35 идут 4 dword’а. Это соответственно ClientLeft, ClientTop, ClientWidth, ClientHeight. Затем видим 46 - StartUpPosition. Это один байт, определяющий позицию формы при запуске (в центре экрана, где получится или в центре Parent формы. Теперь мы дошли до самого интересного - FF01. Помнишь я говорил про константы определяющие конец одних контролов или начало других? Так вот FF01 - это vbFormNewChildControl определяет что далее идет контрол, контейнегом для которого является форма. Сначало стандартно dword размер информации о следующей контроле, затем имя контрола и пошли свойства. 01 - Caption, 03 - BackColor, 04 - ForeColor, 05 - линейные размеры, декомпиляются подобно линейным размерам клиентской части формы, с одной небольшой разницей - каждый из размеров занимает не 4, а 2 байта. Продолжим 12 - TabIndex, индекс, используемый для перечисления контролов на формы при нажатии Tab. Многие программисты забывают его проставить после разработки программы, отсюда любители работать только с использованием клавы плюются и ругают программу и руки автора. Причем я их в этом поддерживаю, это свойство программист обязан выставить - это правило профессиональной разработки интерфейсов. Так вот этот индек4с определяется двумя байтами, что означает, что более 65535 контролов на форму не поместить. Затем идет 1B. Это одно из самых интересных свойств - Font. В отличии от других оно описывается классом stdole.Font,который есть только в VB. Поэтому писать декомпилятор VB не на VB это большой геморрой именно из-за классов, зашитых в библиотеки VB. В конце всех контролов мы увидим FF0204 Как мы помним 02 это vbFormExistingChildControl, то есть надо закрыть контрол и 04 это vbFormEnd закрывает форму. Вот что получится если бы мы записывали то что декомпиляли в уме (листинг взят из моего декомпилятора VB Decompiler):
| CODE NOW! |
| Begin VB.Form AC_ExDec_03_B ’Offset: 000010FA Caption = "Crackme for JosephCo’s ExDec Program..." BackColor = &H80000008& ScaleMode = 1 WhatsThisButton = 0 ’False Icon = "AC_ExDec_03_B.frx":0 LinkTopic = "Form1" ClientLeft = 60 ClientTop = 345 ClientWidth = 5580 ClientHeight = 3075 StartUpPosition = 3 ’Windows Default Begin VB.Frame Frame1 ’Offset: 000015A6 Caption = "Button is in here" BackColor = &H0& ForeColor = &HFFFFFF& Left = 120 Top = 1440 Width = 5295 Height = 1335 TabIndex = 1 BeginProperty Font Name = "Century Gothic" Size = 14,25 Charset = 0 Weight = 700 Underline = 0 ’False Italic = 0 ’False Strikethrough = 0 ’False EndProperty ... и так далее |
Теперь предлагаю на конкретном примере разблокировать залоченное меню и показать невидимую кнопку.
Разлочка меню
Специально для демонстрации залоченного меню я написал простенький крякми.
В нем заблокирован пункт меню "Сохранить", как это обычно бывает в коммерческих программах. Попробуем его разблокировать. Для начала необходимо знать как можно сделать меню неактивным. Тут есть два способа. Первый - при проектировании поставить свойство Enabled у меню в False, второй - установить это свойство кодом при запуске формы. Представим что кодер поленился и установил это свойство при разработке меню. Тогда декомпиляем этот проект и поглядим. Для простоты не будем заново декомпилять в уме, а возьмем мой декомпилятор (Lite версия вполне подойдет) и декомпиляем. В разделе формы всего одна форма. Поищем там меню:
| CODE NOW! |
| Begin VB.Menu mnuFile ’Offset: 000011B3 Caption = "Файл" Begin VB.Menu mnuSave ’Offset: 000011CF Caption = "Сохранить" Enabled = 0 ’False End Begin VB.Menu Separator ’Offset: 000011F0 Caption = "-" End Begin VB.Menu mnuExit ’Offset: 0000120B Caption = "Выход" End End |
Опа, "Enabled = 0" это то что мы искали. Теперь подумаем как поправить. Откроем программу в hiew и перейдем по адресу 11F0:
| CODE NOW! |
| 00 00 02 07-00 6D 6E 75-53 61 76 65-00 13 03 09 O• mnuSave !¦0 00 D1 EE F5-F0 E0 ED E8-F2 FC 00 05-00 FF 02 1A Сохранить ¦ яO> |
Все стандартно сначало Name, затем Caption (03) и 05 - Enabled. После него идет один байт 00б что означает False. Замени на FF (True) и попробуй запустить. Меню разблокировано и при нажитии на него выводится MessageBox "cool". Вот и все - легкий взлом верно?
Палим инвиз
Несмотря на ICQ’шный стиль фразы мы не будем писать плагин детекта инвиза :) Мы будем делать видимыми скрытые кнопки.
Для большего реализма я написал крякми который после запуска делает видимой кнопку "Сохранить" через 3 секунды. Типа если мы его купим то ждать не придется - стандартно для Trial прог. Чтож поглядим в декомпиляторе что у нас с кнопкой "Сохранить":
| CODE NOW! |
| Begin VB.CommandButton cmdSave ’Offset: 00001175 Caption = "Сохранить" Left = 1680 Top = 1800 Width = 1335 Height = 375 Visible = 0 ’False TabIndex = 1 End |
Сразу бросается в глаза "Visible = 0", которое в таблице значится как 09. Переходим по смещению 1175 и проходим все свойства до 09. Видим 00, это False, меняем на FF (True) и дело сделано. Но! Данный крякми я сделал специально так, чтобы его можно было взломать разными способами. Рассмотрим еще один способ. Как можно сделать кнопку видимой через 3 секунды? Можно сделать цикл при запуске программы, но он на разных процессорах будет работать с разной скоростью. Можно использовать GetTickCount, но потребуется его проверять в While цикле, что тоже неудобно. Это все геморрой, который программисты не любят, потому они юзают таймеры. Таймер - это невидимый контрол на форме, у которого событие срабатывает каждые Interval милисекунд. Поищем ка мы любимый таймерна форме:
| CODE NOW! |
| Begin VB.Timer Timer1 ’Offset: 00001155 Interval = 3000 Left = 2880 Top = 0 Width = 59400 Height = 8 End |
Так и есть! 3000 милисекунд это 3 секунды. Заменим ка мы их на 1. Но! Автор забыл поставить End после установки свойства в кнопку поэтому таймер после события будет срабатывать и дальше и тормозить программу, потому проще использовать предыдущий способ, а таймер просто отключить, поставив интервал в 0.
Добавление новый свойств
Читая статью ты наверняка задался вопросом, а как же добавить новое свойство в упакованный контрол? Добавить можно только разбором, вставкой и последующей сборкой обратно всей формы. Ясное дело что уже на старое место данные не поместятся, поэтому придется создавать новую секцию в файле или расширять последнюю и редиректить данные туда. Кроме того адрес на новое расположение формы придется прописать в структуре информации о форме. При этом нужно учитывать что если пользователь будет часто добавлять свойства, то нужно заранее в новой секции сделать запас в виде резервных байт под расширение каждой формы. Всю эту информацию о резерве байт и начале и длине каждой формы, вынесенной в новую секцию придется хранить. Для этого придется создать свою служебную структуру. Это все будет полезно если ты будешь писать свой редактор ресурсов VB. Если же ты просто собираешься исследовать программы, то знаний из этой статьи тебе вполне хватит.
Заключение
Надеюсь что у тебя не осталось после прочтения статьи вопросов по теме редактирования интерфейса VB программ. Если же они всеже есть - задавай их на моем форуме, посвященном вопросам декомпилированию VB http://vbdecompiler.dotfix.net я его периодически читаю и отвечаю на вопросы.
| отсутствуют |
"
| :: Последние обновления :: |
| 25.02.2008 Обновлена программа GPcH Soft Tester. Были исправлены ошибки, добавлена поддержка Windows Vista. Скомпилирован новый CHM справочный файл. |
| 21.02.2008 Грандиозное обновление статей на сайте! Крис Касперски снова радует посетителей отличными статьями на тему защиты программ и изучения ассемблера! |
| 21.11.2007 Выпущена новая версия языка программирования GPScript. Главные новшества: поддержка Windows Vista, исправлено много багов, справка в формате CHM. |
| 01.11.2007 Обновлен DotFix NiceProtect до версии 2.8. Основные изменения коснулись командной строки (теперь в ней выводится подробная информация при защите программ) и исправление серьезной ошибки, приводившей иногда к неработоспособности защищаемых файлов. Также обновлена иконка программы - теперь она сделана в Vista формате. |
| 31.08.2007 Обновлен VB Decompiler до версии 3.4. Данная версия содержит значительные изменения. В частности был написан эмулятор Native Code который частично сворачивает ассемблерный код. Работа в этом направлении продолжается, но уже сейчас промежуточные результаты можно увидеть в Pro версии программы. |