前言
.NET程序由于众所周知的原因,因为它是一个托管中间语言代码,也即是MSIL,天然性的易于被破解。即使是现在的AOT技术,因为通过一个C++的引导程序BootStrap(.Net8的AOT引导程序BootStrap)引导,所以其逆向难度依然是容易级的。了解其加密原理,针对性的保护就显得比较重要了。
这里说的强加密是虚拟机(CLR/JIT)加密,加密软件自带的算法加密,逆向有一定难度的.NET加密工具。没有虚拟机加密这个基本功能,基本上不推荐。
- DHVM(DNGuard HVM),它也是加密虚拟机的JIT,IL字节码替代。
- VBP(Virbox Protector),它是加密虚拟机的JIT,以及其它一些比如IL的的混淆,虚拟化等,主要偏向于托管的加密。
- .NET8的AOT非托管,推荐用VMP,这个工具在非托管层级加密的强度首屈一指。它利用自带的虚拟机指令对程序进行更改加密。
研究VBP和DHVM的时候,很明显的感觉到VBP在托管方面较强,它基本上做到了一个托管的DLL hook了JIT的编译流程,加密托管DLL。但DHVM给人的感受完全相反。DHVM在非托管上具有较强的加密手段,所以它需要带一个非托管的RunHVM64.dll在对JIT进行操作。
详述
参考以下代码:
static void ABC() { Console.WriteLine("Call ABC"); } static void DEF() { Console.WriteLine("Call DEF"); } static void Main(string[] args) { ABC(); DEF(); Console.WriteLine("Call Main"); Console.ReadLine(); }
VBP上,它加密了MSIL程序集和函数名称,此后又加密了IL的指令。它的JIT Hook方式跟DHVM基本上雷同,只不过代码实现方式不一样。仅此而已。
至于代码的区别在于,ABC和DEF函数在VBP里面被内联了,它的MSIL二进制如下:
00 72 01 00 00 70 28 11 00 00 0a 00 2a 00 // ABC函数 00 72 13 00 00 70 28 11 00 00 0a 00 2a 00 // DEF函数
ABC和DEF函数被内联到了托管Main函数里面,类似于Console.WriteLine("Call Main");的这种格式的调用。先传递一个字符串,也就是MSIL的二进制:
00 72 01 00 00 70
然后Console.WriteLine调用以及返回,也就是MSIL二进制
28 11 00 00 0a 00 2a 00 //2a:ret(返回) 00:nop
在静态的托管DLL里面,这个MSIL是伪装的,真正的MSIL需要解密之后,才能够形成如上MSIL赋给JIT的ILCode让其正常编译。这里需要的是解密前的静态码(比如例子的特征码:A3 35 57 22),无痕hook即可。
然DHVM里面没有内联,但在非托管里面存储了IL代码,如下:
0000000180474088 4C 8B 5E 10 mov r11,qword ptr [rsi+10h] 000000018047408C 4C 89 5F 10 mov qword ptr [rdi+10h],r11
DHVM也需要通过解密来形成最后的MSIL结果,但是因为它有非托管的静态固有地址,所以不需要逆出其解密的地方,即可hook之。
ABP和DHVM的差别在于,前者只要逆出了其原理基本上一马平川,可以静态无痕其解密前的字节码。而DHVM则是综合性质更强,具备的知识更多,才可以静态无痕其ASM。
原文地址:https://mp.weixin.qq.com/s/TxXxACFvj7GViRkvV_yXIQ