VB静态反汇编工具(WKTVBDebugger)1.3 汉化绿色版

Tags：VB反汇编

VBDebugger
附件中已经包含了中文版和英文版,也包含了中文的帮助文件
如果喜欢中文版的直接解压后点绿化即可
喜欢英文版的可以直接使用英文版的安装包

WKTVBDE 是一款建立在 Exdec 基础上的动态调试工具，动态破解VB P-code程序的工具静态反汇编工具！

窗口说明：

主屏幕

点击主屏幕的一些地方以查看相关信息。 

这个调试器主要由三部分组成，反汇编窗口（如红框所示），日志窗口（如蓝框所示）以及堆栈窗口（如黄框所示）。

反汇编窗口

这是最主要的部分，它提供了当前执行的代码的反汇编。我们可以看到，指令以四种显示状态加以区分。

黑色背景绿色文字的是已经执行或将要执行的指令。绿色背景黑色文字的（反色的）是当前指向的指令，如果你继续，它将会被执行。灰色背景白色文字的是我们所选中的行（也就是说用鼠标点中的）。蓝绿色文字黑色背景的是我们设有活动断点的行，这样的行的最左边有一个停止标记。指令的形式如下所示：

XXXXXXXX: XX 指令 

前8位数字表示指令所在的内存地址，接下来的2位是用十六进制表示的操作码，注意那显示的只是操作的第一个代码。接下来是 p-code 指令，它们用大量的字符和参数加以区分。 

在这部分还可以通过在这个区域的任何部分单击右键来显示一菜单，这个菜单中包含了常用操作的快捷方式，这有助于提高你使用调试器的速度。

日志窗口

这部分将向我们显示任何时候收到某一特定指令的参数，尽可能的给出在程序运行时的状态信息或是错误信息。因为当我们跟踪程序的时候，这部分将会给我们很多从程序中得出的有用的信息，我们要时刻关注它。最显著的就是当程序处理字符串时，字符串将会出现在这里。

堆栈窗口

程序所使用的堆栈数据窗口是必不可少的，它的用法很简单。它有几种数据类型，Byte ，Word 或 Dword，这些类型影响着用户显示堆栈数据的样子，而且根据跟踪指令的不同而改变类型是很必要的。作为更多的特性，我们还可以通过选择单选框 EBP 和 ESP 来改变堆栈数据的方向，第一种方式是从 EBP 取出，直到 ESP ，而第二种方式是从 ESP 到 EBP 。它还包括两个导航按钮： Prev 和 Next ，这两个按钮允许我们在堆栈数据中任意移动。

设置断点：

在代码窗口里可以直接双击鼠标或用鼠标右键设置断点。

（1）在虚拟机 API 函数呼叫上设断点

按 Ctrl+B 键打开 Breakpoints on VM API calls 窗口（见图 8.14）。

该对话框显示了所有通过虚拟机 DL被导出的函数列表。BP 列指出了程序地址，Ord列指出被导出的函数序数，Name 指出函数名。在地址旁边有个以不同颜色标出的图标，用不同颜色表示断点的状态。绿色表示有效断点，黄色表示被禁止的断点，灰色表示无效的断点。双击函数名可改变断点的状态。

（2）设置伪指令断点

按 Ctrl+O 键打开 Opcodes ControDialog 窗口（见图 8.15）。该对话框显示所有助记命令列表，可以对机器码与助记命令设置断点。

Address：指出了控制操作指令的地址；

Opcode：机器码；

Mnemoni：助记命令，非常重要；

Size：指出了命令代码长度。

在地址旁边有一个以不同颜色标出的圆形图标，用于显示断点的不同状态。绿色的是被激活的，黄色的是被禁止的，灰色的是失效的。改变状态只需双击函数名。

机器码与助记命令：

机器码与助记命令表（Opcode and Mnemonics Table）很重要，具体参考其自带的帮助文件。掌握 VB P-code 的关键就在这些助记命令上。这里只列出几个常用的助记命令。

BranchF：机器码是 1Ch，3 个字节。条件跳转指令，如堆栈的值是 0 就跳转。单击Analize BranchX 按钮可以了解当前进程中的所有条件跳转指令的位置。

BranchT：机器码是 1Dh，3 个字节。条件跳转指令，如堆栈的值是 FFFFFFFh（-1）就跳转。

Branch：机器码是 1Eh，3 个字节。无条件转移。

EqVarBool：机器码是 33h，1 个字节。比较指令，比较两个变量，根据结果将-1 或0 压进堆栈。可以单击 Opcodes 在此伪指令处设置断点。

LitI2_Byte：机器码是 F4h，2 个字节，将数据压入堆栈。

ConcatStr：机器码是 2Ah，1 字节。字符串联接指令（相当于 C 语言中的 strcat 函数）。

此指令单步跟踪（Step Trace）时，会在日志窗口中留下相应字符串联接结果。所以，可以单击 Opcodes 在此伪指令处设置断点，以便了解某字符串值。

FLdZeroAd / CVarStr： 取字符串指令，特点同 ConcatStr。