chengg0769

关于对pbd反编译器的期待

chenchen — Fri, 22 Jan 2010 10:12:00 +0800

10月份回家带宝宝。一直没时间。春节后会恢复工作。

其实软件对pbd的解析已经完成。主要是一些细节的错误会导致程序崩溃。还因为第一次用bcb开发。所以编程工具的熟悉度不高。另外一个原因就是比如if where等结构体的反向目前还不满意，有意要重写一下。第三个原因是老客户有一个mis项目新写。所以如此种种，拖延到现在。明春一定拿出结果给大家test.其实第一个版本已经给pb11-1群里的FYJ测试了一个pb8和pb11.5的pbd,他表示基本能得到结果。

在此谢谢大家的关注。另外顺便说一下。我自己对混淆和加密也有几个想法，并在最近对powershield分析之后，发现他的实现非常简单。
它的方法是1。祛除了p-code的行数；2。把完整的一句如li_abc = 65535的几个p-code用goto跳转拆成到几个地方，并插入了一些不可识别的假p-code,借此阻止反编译。
所以我有意要写一个更高程度的pbd加密与混淆器。主要思路：1。改四则混合运算的p-code;2。p-code混淆，同powershield

软件版本号中的意义(转自绿盟论坛，备查)

chenchen — Tue, 29 Sep 2009 12:43:00 +0800

版本号：
V（Version）：即版本，通常用数字表示版本号。(如:EVEREST　Ultimate　v4.20.1188　Beta　)
Build：用数字或日期标示版本号的一种方式。(如:VeryCD　eMule　v0.48a　Build　071112)
SP：Service　Pack，升级包。(如:Windows　XP　SP　2/Vista　SP　1)

授权和功能划分：
Trial：试用版，通常都有时间限制，有些试用版软件还在功能上做了一定的限制。可注册或购买成为正式版
Unregistered：未注册版，通常没有时间限制，在功能上相对于正式版做了一定的限制。可注册或购买成为正式版。
Demo：演示版，仅仅集成了正式版中的几个功能，不能升级成正式版。
Lite：精简版。
Full　version：完整版，属于正式版。

语言划分：
SC：Simplified　Chinese简体中文版。
CN　：　简体中文版
GBK：简体

Powerbuilder PBrecovery deecompiler已经在pb9,10,11，115的基础上完成编程

chenchen — Tue, 22 Sep 2009 07:08:00 +0800

Powerbuilder PBrecovery deecompiler已经在pb9的基础上完成全部编程任务。剩下的任务是：调试6，7，8，9，10，11，12的解析。主要对各个版本的sample程序反编译测试。争取在十月末有个测试版推出。其中对10以上主要改进unicode解析问题。还有一些新加的pcode码。对win的解析遇到差不多十个最关键的难点，差点无法越过。好在逐渐拨开层层迷雾，依次理清。编程中我有多次使用和对比pbkiller的效果，它的作者其实对文件格式已经完全掌握，在我参考其软件的过程中，明白了他非常专业的看待每个细节，我所遇到的每个细节问题，他都注意到并处理得很好，的确是不容易的。比较难的如：格式破译，jp跳转还原成各种statement（这个的确是一个难点），pcode码的解析，pcode模拟堆栈的还原等。

c++builder RichEdit的源码显示之亮显(附代码)

chenchen — Wed, 16 Sep 2009 18:49:00 +0800

因为要在richtext中显示pb源码，故写了亮显代码。因为只做显示，无需编辑，所以不想借用控件，那样升级维护比较麻烦。图先：基本和pb中看到的效果一直，而且处理了数字（整数和小数），枚举常量。注释，字符串优先处理。/*附属定义const int KEYWORD_QTY = 140;const int KEYWORD_MAXLEN = 15 ,KEYWORD_MINLEN = 2;short KeyWordOffset[KEYWORD_MAXLEN]; //用于指示某个长度的关键字的开始处，免得从第一个关键字循环找，效率低struct strc_KEYWORD{ int iLen; int tcolor; int iFont; char szKEYWORD[20];};strc_KEYWORD KEYWORD_LI

反向工程之四则混合运算优先级判断--加括号问题

chenchen — Thu, 10 Sep 2009 22:42:00 +0800

我们在栈内已经取得两个数：asStackArray[iStackPoint] : 1+2+3+4asStackArray[iStackPoint -1] : 1-2-3-4*5如果将要进行的操作是除法。那优先级比他低的是：1. 乘法，2.加法，3.减法我们就在上栈和下栈寻找这三个符号（括号内不寻找，比如："（1+2+3）/4 "，可以直接除）是不是在括号内的话，用一个计算器来标示。另外，同级的操作符，+ ，- 如果是+，他对任何表达式都不加括号，因为它是数值类运算的最低级别。而减法对下栈数没影响，但是对上栈操作数有影响，同样，除号也只对同级的上栈操作数有影响。所以只需要判断一个栈。通常，因为除对加减都有管制，所以我们一般只对最低级的减号做单栈判断。等，不等，大于等于，小于等于，大于，小于等返回逻辑值，它的表达式如（a and b or c)=true,其级别比and,not,or都要高，所以要加括号。而 a +b = c+d,就不需要。

powerbuilder P-code 中的JP跳转指令的反向工程

chenchen — Sun, 06 Sep 2009 19:16:00 +0800

在我的decomplier中关闭JP to statement开关后，得到原始的未经过处理的跳转指令。类似汇编中我们写的跳转。这就是高级语言和低级语言的差别。低阶语言更繁琐和趋近于机器处理过程。比如汇编中的寻址，基本就是cpu取数和处理数的一个过程。P-code中，顺序结构倒好处理，直接把赋值，函数调用搞定也就没什么了，唯一需要处理的是这些跳转。在汇编中，有许多种的跳转，比如等跳，不等跳等等。。但是在高级语言，如pb中，语言有bool的明确规定，所以if while等conditon部分都必须是bool类型的结构，这也就是c++中比较你写=，不写==不会发生错误的原因，你在pb中的条件判定处写=，编译器就知道是逻辑意义上的判断，而不是赋值。因为没有其他值到bool的隐式转化。所以在pb中，我们只有三种跳转，JTP,JFP,JXP,分别是“为真跳”，“为假跳”，“绝对跳”。当然只是知道这三种区别还不行，还没足够信息反向成高级语言中的statement，我们在分析代码时，顺便在前期已经将跳转时当前offset，和w

powerbuilder之throws参数之使用

chenchen — Fri, 04 Sep 2009 19:10:00 +0800

在function和事件中，有一个throws参数。具体哪个版本增加的没详查，但是可以肯定是跟try catch一起新增的。所谓异常类抛掷。

这个参数必须是Exception或者后后继者。

如果在一个函数的throws部分写上：Exception或者后后继者，那在调用的函数或者事件中必须要catch它或者在调用者的申明部分也加上这个参数。（open等系统规定的事件那里是灰色的，只能在用户自定义事件中弄这个参数进去）

有人指出不知道这个参数怎么使用，也难怪，我平时都没用一个try catch。

powerbuilder Decimal内部表示方式解析

chenchen — Fri, 04 Sep 2009 02:06:00 +0800

Decimal是16bytes数据类型。最大精度18位。如果申明时写：dec var1 = xxx,它内部初始值会自动设置精度：000014d9h: 01 00 08 00 F6 FF 09 00 00 00 00 00 00 00 B8 00 dec{8} q111111111111111111 = -0.0065535000014d9h: 01 00 0C 00 60 79 9E 86 01 00 00 00 00 00 B8 00 dec{12} q111111111111111111 = -0.0065535000014c9h: 01 00 00 00 FF FF 00 00 00 00 00 00 00 00 B8 00 dec q111111111111111111 = -65535000014d9h: 01 00 01 00 FF FF 00 00 00 00 00 00 00 00 B8 00 dec q111111111111111111 = -6553.5

powerbuilder pbd文件混淆器原理探秘

chenchen — Thu, 03 Sep 2009 16:38:00 +0800

今天在研究pbd文件，突然想到pbd文件混淆器。因为还没看过它的原理，但是我已经大致猜测到了他的工作原理。比如我们写上一个if then else end if结构。if 1 1 then //这里写这么多只是为了在p-code段有足够多的byte来做混淆。 return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaaaaa" return "aaaaaaaaaaaa

powerbuilder decomplier 完成基本分析和编程(图8张)

chenchen — Fri, 28 Aug 2009 04:20:00 +0800

用了十多天，完成了基本编程，bcb编程。主要函数已经完成。目前能对struct和function解析了，win和uo的还在debug。