首页
社区
课程
招聘
[原创]如何破解.NET Reactor
2007-9-9 00:31 26146

[原创]如何破解.NET Reactor

2007-9-9 00:31
26146
.NET Reactor是EZIRIZ公司出品的一款.net保护软件,功能也相当强大,从3.3.1.1版本开始,他采用了新的加密方法,之前的版本如何破解,tankaiha已经发表过一篇文章,利用reflector+ildasm+ilasm,做起来非常简单,但这个方法在3.3.1.1版以后就不能用了。现在我就来介绍如何破解3.3.1.1版。

准备的工具:

.NET Reactor破解他,当然要先安装先下载地址:http://www.eziriz.com/downloads/dotnet_reactor_setup_3_3_1_1.exe

.NET Generic Unpacker和SNSRemover,用来脱掉Reactor本身的壳和去去掉强名称

Reflector,这个不用说了吧…

十六进制编辑器,主要有查找、替换和保存功能就OK了。

我们安装完Reactor,发现他不是.NET程序,直接用Reflector不能反编译他,这时候我们就要用.NET Generic Unpacker,将Reactor的壳脱掉如图1。

(图1 对Reactor进行脱壳)
每次脱出来的数量都不一定相同的。好了,我们用Reflector打开他看看,如图2

(图2 用Reflector对Reactor进行反编译)
这时候,我们发现混淆后的类名竟然是乱码,这个没所谓,ilasm是支持乱码的,是不是我们也可以用ildasm进行反编译,然后修改他的代码,然后用ilasm将他重新编译呢?理论上是可以,但实际上由于反编译出来的资源文件的文件名是乱码,ilasm没办法找到那些文件,编译会失败。那怎么办,那就直接修改原程序的了。

首先用SNSRemover去掉他的强名称先。

(图3 用SNSRemover去掉Reactor的强名称)

现在你是不是有这个疑问,本来脱出来的程序就已经不能运行的了,现在去掉了强名称后,反而运行起来会提示出错。不用怕,试一下用原版的Reactor对现在去掉强名称后的Reactor进行一次加密。将加密出来的程序放在Reactor目录下运行。

(图4 重新加密后运行时发生的错误)

哈哈,看到是什么错误没有?现在这个已经不是验证强名称错误了,是一个运算错误,是某数除于0时时发生的错误。再看看他发生错误是在那里,我们通过Reflector来找出–v. –c..cctor()这个方法,由于Reactor他本身是经过混淆的,已经不能用C#来反编译,新版也做出了新的混淆,就算去掉了
L_0000: br L_0007
L_0005: pop
L_0006: ldc.i4.0
这三段代码,也不能用C#来反编译,我们只能用IL了。

(图5 用Reflector找出发生异常的方法)

熟悉IL的就会知道,除的命令是div,那我们就在这里里面搜索div,发现这段代码:

L_004f: ldc.i4 0x10
L_0054: stloc.s num
L_0056: ldloc num
L_005a: ldloc num
L_005e: sub
L_005f: conv.u1
L_0060: stloc.s num
L_0062: ldloc num
L_0066: ldloc num
L_006a: div
L_006b: conv.u1
L_006c: stloc.s num

看到这里应该知道了吧,将他换成C#的代码应该是

num = 0x10;
num = num - num;
num = num / num;

知道错误的原因了,那我们将这个div改掉就行了,但有一个问题,为什么原版的程序就不会发生这个问题?原因很简单,你搜索一下GetPublicKeyToken(),你就会发现上面那段代码是他验证强名称失败时才会执行的,因为我们去掉了强名称,所以肯定会执行那段代码的。

我们知道了出错的原因了,但我们怎样改呢?方法很简单,因为Reflector他有提示该代码对应的十六进制,

(图6 找出该代码对应的十六进制)

这时候我们是不是该想一下,其他的方法里是不是也同样也有这样的验证。好,我们随便找几个方法,发现有些方法是有,有些是没有。但有些的IL代码不一样,有点区别如:

L_003b: ldc.i4 0x24
L_0040: stloc.s num
L_0042: ldloc.s num
L_0044: ldloc.s num
L_0046: sub
L_0047: conv.u1
L_0048: stloc.s num
L_004a: ldloc.s num
L_004c: ldloc.s num
L_004e: div
L_004f: conv.u1
L_0050: stloc.s num

但运行出来的效果是一样的,只不过是他对应的十六进制不一样而已

(图7 ldloc.s对应的十六进制)

好了,如果我们一个个方法都要去看,那花的时间太多了,不如我们先处理掉一部分先,如果再发现那里的错误,我们就去那里找出来。

我们很容易通过Reflector可以知道这两段代码对应的十六进制应该是

FE0C0000FE0C000059D21300FE0C0000FE0C00005BD213和1100110059D21300110011005BD213

从Reflector那里我们可以知道,sub对应是59,div对应是5B,那我们将5B换成59那程序就不会发生异常了,用十六进制编辑器,替换FE0C0000FE0C000059D21300FE0C0000FE0C00005BD213为FE0C0000FE0C000059D21300FE0C0000FE0C000059D213,替换1100110059D21300110011005BD213为1100110059D213001100110059D213

(图8 替换代码)

现在我们又用原版的Reactor重新加密一次我们刚处理完的文件。发现现在可以正常运行了。

我们已经可以正常运行我们脱壳后的程序了,现在开始我们就要将他变成正式版。

用Reflector打开我们刚处理完的文件,使用Reflector自带的功能,跳到程序的入口点

(图9 找到入口点)

分析一下程序的,不难的可以找到

L_0662: call bool –v.–c::‘2()

这段代码就是验证的代码了,但如果在这里直接修改,难度会相当大,不如我们修改‘2()的返回值,只要他永远返回true,那就达到我们的目的了。

(图10 来到‘2())
我们不难的找到了L_0000: br L_0007对应的地址是0x17cd28,将原来的3802改成172A

(图10 修改3802为172A)

保存后,我们在次用原版的Reactor对刚处理完的程序进行加密,将加密后的程序放在Reactor目录下运行。看看,现在是FULL VERSION了,但我们现在测试一下他,会发现出现这样的异常


(图11 修改完,运行出现的异常)

看一下他的异常,还是System.DivideByZeroException,也就是说还有一部分的强名称验证的代码还没有修改,只要重复上面的操作,找出他的十六进制,将5B换成59就行了。

该版本我已经发布了他的破解版,3.3.8.0也已经发布了(http://bbs.pediy.com/showthread.php?t=51325),3.3.8.0的破解会比这个更难,有兴趣的朋友可以来研究一下,可以拿3.3.8.9版来试一下,这个跟3.3.8.0是一样的破解。

[培训]《安卓高级研修班(网课)》月薪三万计划

上传的附件:
收藏
点赞7
打赏
分享
最新回复 (3)
雪    币: 26435
活跃值: (18467)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
kanxue 8 2007-9-9 09:30
2
0
研究.net保护也很有意思,感谢MegaX
雪    币: 5276
活跃值: (406)
能力值: (RANK:1170 )
在线值:
发帖
回帖
粉丝
tankaiha 29 2007-9-9 10:47
3
0
细细看了下,又知道了一种强名称验证的用法,好文,感谢MegaX分享!
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
aaaaa 2007-9-10 16:57
4
0
好文,顶一下。
游客
登录 | 注册 方可回帖
返回