VFP程序的破解整理.pdf

浅谈 VFP 程序的破解

Visual Foxpro 做为一种面向对象的数据库语言，有其简单易用的特点，虽然经常受到

各种各样的批评，微软发布 6.0 版后，也曾声明版本不再更新，但现在看来， VFP 程序还是

有一定的生命力的， 微软自 6.0 版以后开发了 7.0 版，目前 8.0beta 版在微软的官方网站已有

下载。尤其在我国，早期 DOS 时代 DBaseIII 曾被广泛运用， VFP 出现后，源程序稍加改动

就能变成可在 Window 平台运行的 VFP 版本，可以节省大量的资源，减少人员的二次培训。

因此在我国 VFP 程序的用量还是较大的，专门开发此类程序的公司也不在少数。

由于 VFP 程序的编译是一种伪编译过程， 经过一定的处理， 可以得到完整的源代码。 自

从 ReFox、UnFoxAll 等反编译软件出现后，为保护作者自己的利益，软件的加密保护就显

其中可执行部分是标准的 PE 文件， APP 部分就是 VFP 编译的应用程序代码， 最后的结

构为 14 个字节，用来描述 APP 文件，其中重要的是最后 4 个字节，反映的是 APP 文件的

大小。

头部的可执行部分只是简单地加载 VFP 的解释器（解释器名称为 vfp6r.dll 、 vfp7r.dll 、

vfp8r.dll 分别对应 6.0、7.0、 8.0.版本）执行 app 文件。现在的加密软件大多利用这个特点，

自己构造一个 PE 头，利用各种壳的技术保护 APP 代码。

因此我们可以这样认为，对于 VFP 的可执行文件，除 APP 文件以外的可执行部分，都

可认为是壳。

二 APP 文件的结构

1.app 文件结构

3-4 编译版本 &H0220 -vfp 6.0/7.0

&H021f -vfp 5.0

5-6 文件数目

7-8 主文件位置 (从 0 开始 )

9-12 文件名列表地址

13-16 文件说明结构列表地址

17-20 文件名列表长度

21-36 加密类型密码表

37-38 解密 key

39-40 文件校验和

每个文件占用 25 个 byte,总长度为文件数 *25

9-12 文件名相对文件名列表的首地址

其他不详

三、 VFP 的加密特点及脱壳

VFP 的加密基本上可以分为两种 —文件型加密和内存型加密， 这两种加密的区分主要在

APP 文件的存放位置，存放在某个文件中就为文件型，存放在内存中就叫内存型。但对

解密者来说，关心的是算法。以上的分类加不加以区别问题不大。

1、

文件头简单替换型

这种加密方式是比较早期的一种加密方式， 能够阻止反编译软件， 但 APP 代码在文

脱壳方法：

打开 HEX ，查找 FEF2 找到后与 APP 文件的结构对比一下，发现没有问题，把从

FEF2 开始到文件尾的数据存成一个文件，取名 XXX.app ，脱壳完成。

这类加密在 exe 文件中已经没有 app 的明码了， app 文件是由主程序运行过程中动

态 生 成 的 ， 以 文 件 形 式 存 在 硬 盘 的 某 处 。 如 xx 通 用 计 划 管 理 系 统

6.02(http://www.sx168.com )

用 TRW2000 加载程序

下断 bpx createfilea

DWORD

HANDLE hTemplateFile // handle to file with attributes to copy

);

每次中断后观察打开的文件名，经过两次 foxpro.int 下面一个就是脱壳后的文件名了。