VB程序中如何找到自定义函数

1.VB的程序从入口点从进入了VBVM60.DLL中的ThunRtMain之后就不知道什么时候回到主模块中，让人很是费解，实际上在VBVM60.DLL中有段专门计算返回到主模块地址的代码。红色部分为HEX特征码。

733BAE5A 8B7C81 0C mov edi, dword ptr [ecx+eax*4+C] ; 这里是计算地址的
733BAE5E 57 push edi ; 对取得的地址检测

所有要跳转到主模块的地址都会经过这里，其中的edi就是要跳转的地址，也就是自定义函数的地址。

2.通过在API上下断点，然后一层一层在栈中找地址，发现VB程序自定义函数开头均是这样的：

00402490 55 push ebp
00402491 8BEC mov ebp, esp
00402493 83EC 0C sub esp, 0C
00402496 68 76114000 push <jmp.&MSVBVM60.__vbaExceptHandler>

红色部分为HEX特征码，在主模块中搜索特征码就能找到所有的自定义函数。