朋友给了个某工程软件样本求助，是Sential Ldk加密的.net程序。经过处理逆向完成，整理了一下这个加密狗的特征做个分享。

这个加密程序的逆向比较有意思，网上资料非常少，论坛这里也有人之前发过样本（旧贴链接），这个帖子可算是揭榜。

老账号丢了，也收不到重置密码的邮件(163邮箱)，只好启用了这个买书送的账号。

不知道这个例子算脱壳还是算逆向，似乎更靠近逆向一样。

一：背景

Sential Ldk软加密狗特征：
1、安装以后，服务里面，增加了Sential LDK的自启动服务，必须保证服务启动才能启动软件。
2、exe同文件夹下，有hasp_rt.exe以及hasp_windows.XXXXX.dll等hasp配套的dll和exe文件。（最初在这花费了很多时间去静态分析，后来发现没有必要）

考虑到样本工程太大，于是去下载了Sential Ldk suite 7.10，写了一个Helloworld demo进行加密，再加密处理。
Demo如图

处理以后没拿到安装证书运行和关闭ldk服务运行

加证书和开启服务以后

使用的时候，先本机运行Sentinel_LDK_Run-time_setup的客户端，收集客户C2V证书。拿客户端证书进行服务器端签名后，得到一个V2C的证书。本地运行程序加载证书以后，就可以运行程序了。

以上demo样本获得以及使用过程步骤可以参考官方文档。

PS：Sential LDK的服务可以视为加密狗的驱动程序，而V2C证书，可视为软狗。启动和停止Sential LDK的服务就可以创造带狗和无狗的环境。

考虑到C2V证书和下V2C证书都是经过AES多次加密的结果，故没有考虑从这里突破。而是考虑直接在能够运行（带狗）的情况下把能够运行的程序dump出来。

二：运行过程分析

使用de4dot可以反混淆加密的exe，得到相对清晰的源代码。再用dnspy可以调试。

经过分析，原exe文件里面多添加了左边这些类

每一个可以运行的方法代码变为

几乎所有的方法实体被替换为了这种形式。

从一个熟悉的IL代码操作方法找到了突破口
这个方法是从byte字节流数组里面读取一个int32的。

这个是msdn里面利用DynamicILInfo类动态生成方法中的PutInteger4。可以参见微软msdnDynamicMethodandTypeBuilder.DefineMethod

这种加密方式是混淆和替换了方法的实体，类似于ilProtector，运行时再动态取出并通过LDK服务解密构建出实际运行的动态方法。（所以IDA和X64dbg分析工作量很大，反复在壳里面绕，想通过静态分析并爆破工作量巨大，实际上最后的逆向过程也不需要使用IDA和X64dbg。）。

既然它的加密方式是通用的，解密流程是类似的，我们只需要理顺method与method IL代码之间的对应关系就行了。

运行过程

（1） 先处理文件校验的过程，直接修改代码指向对的文件就可以避开这个检查，内部不深究了。

（2）读取存储在PE文件的.protect嵌入文件中的IL实体代码（经过加密处理）

（3）将加密过的代码交给LDKSerice进行解密，
调用 hasp_windows_XXXX.dll与本地服务的1947端口进行数据通信。这样的通信方法共有十来个，为hasp_update,hasp_dispatch_XXX，图中的三个是不同平台下的

类似的调取服务过程基本都是开放全局内存地址给dll写入，之后再读取相应内容。例如跟踪了一个hasp_update方法，是传入一个xml的模板，之后传回来就是已经写好的字符串。

（4） 构建动态方法

以方法的metadatatoken为键值，储存在缓存中

至此软件与狗的互动过程全部结束。剩下需要做的事情就是把动态方法存储起来并二次反编译。论坛有贴详说了这个过程，就不赘述了。

使用软件:dnspy,de4dot

参考资料
1、https://docs.microsoft.com/zh-cn/archive/blogs/thottams/dynamicmethod-and-typebuilder-definemethod

2、https://docs.microsoft.com/en-us/dotnet/api/system.reflection.emit.assemblybuilder?view=netframework-4.8

3、https://stackoverflow.com/questions/4460859/methodbuilder-createmethodbody-problem-in-dynamic-type-creation

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)