Проверка защиты приложения [CrackMe]

@NickoTin · Регистрация: 14.06.2010

Студворк — интернет-сервис помощи студентам

Привет всем

Вот решил попробовать написать небольшой CrackMe и параллельно изучить некоторые внутренности .NET'а

Задачи:

Основная: найти верный пароль. Пароль зашифрован, простейший обратимый алгоритм;
Второстепенная (но очень желательная): Получить исходники (IL или байт-код) двух зашифрованных методов (их найти несложно )

Особенности: не использовались какие-либо известные автоматизированные средства защиты, всё своими руками (в некоторой части именно руками, без автоматизации).

Уровень: вот честно, не знаю, ну давайте ниже среднего и выше простого

p.s. .NET 4
p.p.s. В любом случае расскажу что и как было сделано, но всё-таки хотелось бы увидеть какие-то попытки.

Вроде проверил на виртуалках, но есть шанс что не запустится

Psilon · 04.11.2013, 15:58

NickoTin, да я видел, что ни в одну ветку Case не попадает, просто пока исправлял вы уже успели написать. Как-то так:

C#
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
 static void Main(string[] args)
        {
            byte[] numPtr =
            {
                0xFF, 0x02, 0x3A, 0xF9, 0xFF, 0xFF, 0xFF, 0x25, 0x40, 0xF3, 0xFF, 0xFF, 0xFF, 0x12, 0x00, 0x41,
                0xEC, 0xFF, 0xFF, 0xFF, 0x3C, 0xE7, 0xFF, 0xFF, 0xFF, 0x3D, 0xE2, 0xFF, 0xFF, 0xFF, 0x60, 0x00,
                0x42, 0xDB, 0xFF, 0xFF, 0xFF, 0x26, 0x9A, 0xD5, 0x4D, 0x53, 0xDD, 0xD1, 0xFF, 0xFF, 0xFF, 0x60,
                0xB4, 0x52, 0x7F, 0xFF, 0xFF, 0xFF, 0xFF
            };
            if (numPtr[0] == 0xff)
            {
                switch (numPtr[1])
                {
                    case 2:
                        numPtr[0] = 40;
                        numPtr[1] = 30;
                        break;
 
                    case 10:
                        numPtr[0] = 0x72;
                        numPtr[1] = 1;
                        break;
 
                    default:
                        throw new ExecutionEngineException();
                }
                for (uint k = 2; k < num2; k++)
                {
                    numPtr[k] = (byte)(numPtr[k] ^ (num2 + k));
                }
            }
        }

и двойка в тему

А вот num2 пока достать не могу, по причинам сказанным выше

Добавлено через 52 секунды

Сообщение от NickoTin

да и странный байт-код, слишком много 0xFF - это некорректно, даже после дешифровки.

ну уж извините, я не хакер, а скромный студент 4 курса не-айтишной специальности

@NickoTin · 04.11.2013, 16:04 **[ТС]**

Не по теме:

Сообщение от Psilon

ну уж извините

Не за что извиняться, я стараюсь не дать сбиться с пути :)
з.ы. Я сам 5-курсник не-айтишной специальности, так что отмазка не прокатит )

Psilon · 04.11.2013, 16:12

NickoTin,

An unhandled exception of type 'System.ExecutionEngineException' occurred in mscorlib.dll

больше не запускается

Даже без дебаггера просто экзешник. На всякий случай поудалял все сделанные pdb и прочее - все равно падает...

Кстати рефлектор тоже падает... Мб одна проблема у них..

Добавлено через 4 минуты
перезагрузка помогла. Работаем дальше

@NickoTin · 04.11.2013, 16:14 **[ТС]**

Сообщение от Psilon

больше не запускается

Видимо что-то поправили больше чем нужно, ExecutionEngineException будет здесь:

C#
1
2
default:
    throw new ExecutionEngineException();

Это устаревший exception, поэтому внутри CLR (.NET 4) он возникать не должен.

Сообщение от Psilon

Кстати рефлектор тоже падает

Прямо при запуске? Если так то странно, но у меня рефлектор после этой сборки перестал выдавать ошибки

он просто молча не открывает методы.

ADD:

Сообщение от Psilon

перезагрузка помогла

Отлично

Psilon · 04.11.2013, 16:15

NickoTin, прямо при запуске. А при попытке открыть зашифрованные методы сваливается, отправляя отчет

А еще в ida у меня пропала кнопочка debug

@NickoTin · 04.11.2013, 16:18 **[ТС]**

Сообщение от Psilon

А еще в ida у меня пропала кнопочка debug

Ну .NET сборки там дебажить нельзя, только если открыть их как обычный PE, а не .NET PE.

Psilon · 04.11.2013, 17:24

Код метода .method private hidebysig instance uint8[]
'1'(string '1') cil managed

Assembler
1
2
3
02 2d 2e 25 33 5e 12 33 34 3f 3c 21 33 12 29 3d 3b 
3b 39 ae 60 e9 42 43 44 42 1f 26 9a d5 4d 53 14 46
49 49 de 38 60 b4 52 7f 1e

код метода: .method public hidebysig instance void '1'() cil managed

Assembler
1
2
3
4
5
6
7
8
9
10
11
   ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff 00 00 00 13 30 05 00 2b 00 00 00 04 00 00
11 ff 46

какие-то очень странные значения. По крайней мере для войдовского метода...

Добавлено через 1 минуту
Может не прав. Есть версия №2. Щас напишу

Добавлено через 2 минуты
По версии №2 метод, который byte(string) это

Assembler
1
2
3
ff 00 00 00 52 11 06 17 58 13 06 11 06 08 37 eb
07 11 04 08 e0 28 03 00 00 06 26 04 fe 1c 01 00
00 1b d3 19 5a 58 15 54 06 2a 1e

а войдовский метод это:

Assembler
1
2
3
4
5
6
7
8
9
10
11
0b 04 fe 1c 01 00 00 1b d3 19 5a 58 4b 0c 16 0d
2b 04 09 17 58 0d 09 08 37 f8 07 1a 08 e0 28 03
00 00 06 13 04 07 47 20 ff 00 00 00 33 51 07 17
d3 58 47 13 07 11 07 18 2e 12 11 07 1f 0a 33 19
07 1f 72 52 07 17 d3 58 17 52 2b 13 07 1f 28 52
07 17 d3 58 1f 1e 52 2b 06 73 19 00 00 0a 7a 18
13 05 2b 16 07 11 05 58 07 11 05 58 47 08 11 05
58 61 d2 52 11 05 17 58 13 05 11 05 08 37 e5 7f
01 00 00 04 7b 02 00 00 04 02 03 04 05 0e 04 0e
05 6f 08 00 00 06 0a 16 13 06 2b 10 07 11 06 58
20

больше нету идей...

@NickoTin · 04.11.2013, 17:37 **[ТС]**

Сообщение от Psilon

Код метода .method private hidebysig instance uint8[]

Почти, есть одна неточность, со смещением перемудрили, на один байт влево сместиться надо. Т.е. перед 02 должен быть байт, а 1e в конце быть не должно.

Второй неправильно.

Добавлено через 8 минут

Сообщение от Psilon

13 30 05 00 2b 00 00 00 04

Вот это начало одного из методов (похож на method private hidebysig instance uint8[]
'1'(string '1') cil managed), но вот последний фрагмент не похож на начала его байт-кода 11 ff 46, да и таких значений я не смог найти в файле...

Psilon · 04.11.2013, 17:57

NickoTin, первый байт - FF?
то что второй неправильно я понял, но не понимаю, почему. Он ведь должен быть сразу над вторым...

Добавлено через 10 минут
В общем программирование это не мое...

Добавлено через 3 минуты
В общем скажу, как я пытался схитрить:
1) я запустил программу, ввел неправильный пароль
2) открыл в хекс-редакторе процесс в памяти
3) нашел адрес метода конструктора (по хекс-кодам 02 28 1a 00 00 0a 2a, это хекс-код инструкции instance void [mscorlib]System.Object::.ctor(), так как их всего две на весь код, то определить нужную не составляет труда)
4) зная адрес конструктора и размер методов

.method private hidebysig instance uint8[]
'1'(string '1') cil managed
{
// Размер кода: 43 (0x2b)

и

.method public hidebysig instance void '1'() cil managed
{
// Размер кода: 161 (0xa1)

попытался забрать из памяти по соответствующим спещениям соответствующее число байт.

Но видимо все очень криво...

@NickoTin · 04.11.2013, 19:26 **[ТС]**

Сообщение от Psilon

первый байт - FF?

Да.

Сообщение от Psilon

Он ведь должен быть сразу над вторым...

Не обязательно.

Не по теме:

Сообщение от Psilon

В общем программирование это не мое...

Зачем же так категорично :)

Сообщение от Psilon

попытался забрать из памяти по соответствующим спещениям соответствующее число байт

Затея не из лучших

Если уж на то пошло, то смотрите зашифрованный код в исходном файле на диске, в памяти расшифрованный всё-равно затирается после работы jit'а.

Code
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff
ff ff 00 00 00 13 30 05 00 2b 00 00 00 04 00 00
11 ff

вот это как раз работа антидампа.

В общем ход мыслей в верном направлении

Psilon · 04.11.2013, 23:07

NickoTin, просто я тогда не понимаю, как код вообще выполняется, ведь он должен расшифровываться перед выполнением хотя бы...

@NickoTin · 04.11.2013, 23:16 **[ТС]**

Psilon, а тут уже вступает в действие принцип работы JIT компилятора - по требованию, пока нет необходимости в компиляции метода он и не будет скомпилирован. После трансляции IL в ASM я затираю исходный IL, и в итоге получается что уже выполненный/выполняемый метод будет затёрт, однако тот к которому выполнение еще не подошло будет зашифрован.

Psilon · 04.11.2013, 23:19

NickoTin, хм, мне кстати всегда было интересно, куда скидывается скомпилированная сборка...

@NickoTin · 04.11.2013, 23:23 **[ТС]**

Psilon, никуда, это всё действо происходит в памяти. До тех пор пока метод не скомпилирован вместо него находится заглушка которая вызовет метод компиляции при первом вызове метода, после обработки компилятора код заглушки будет заменен на оригинал. NGEN как раз избавляет от этой операции, код сразу же подставляется из заранее скомпилированной сборки.

Psilon · 05.11.2013, 08:09

NickoTin, ну работу JIT я представляю. А вы, хотите сказать, ngen'ом делали?

@NickoTin · 05.11.2013, 09:54 **[ТС]**

Psilon, нет, я хочу сказать что дампить код не вариант

только если ставить бряки в нужных местах. ngen даже не съест сборку, т.к. в ней некорректный код до исполнения.

@kolorotur · 05.11.2013, 11:12

NickoTin, очень интересный подход, было бы здорово увидеть в деталях.
А в магазине так же можно стенку приподнять? То бишь, возможно ли так защитить сложный проект, состоящий из нескольких сборок?
И как это скажется на производительности?

@NickoTin · 05.11.2013, 15:21 **[ТС]**

Сообщение от kolorotur

очень интересный подход, было бы здорово увидеть в деталях.

К концу недели я постараюсь написать небольшую статейку с описанием основных моментов что и как.

Сообщение от kolorotur

возможно ли так защитить сложный проект, состоящий из нескольких сборок

Со 100% уверенностью сказать не могу, но почему бы нет, нужно только продумать алгоритм шифровки и дешифровки. Информацию о том какой метод на стадии трансляции IL to ASM узнать можно, сборку тоже узнать можно, думаю особых проблем быть не должно.

Сообщение от kolorotur

И как это скажется на производительности?

Т.к. это процесс одноразовый для каждого метода, то производительность просядет именно на момент трансляции, т.е. дешифровки кода.

Пароль так и не получен. Не останавливаемся на достигнутом

@hepper · 05.11.2013, 16:05

а не сведет ли эффективность данного метода к 0 публикация статьи о принципе работы?

@Yukikaze · 05.11.2013, 16:16

hepper, думаю нет, так как тут именно соль в алгоритме шифрования, а его можно изменить как угодно.

Новые блоги и статьи Все статьи Все блоги /
Жара жесть. kumehtar 18.08.2026 Пролетают летом дни Тридцать пять жары в тени. Каждый август год от года Дарит жаркую погоду.	Когда логика программы не спасает от человеческих ошибок Maks 18.08.2026 В последнее время всё чаще и чаще сталкиваюсь с таким явлением, как абсолютная невнимательность (или глупость) пользователей. Проявляется это чаще всего на работе в коллективе. Допустим, человек с. . .	Лето уходит kumehtar 17.08.2026	Мысли в слух kumehtar 17.08.2026 Забавно, насколько сейчас стала доступна информация. Например о магии, духовном развитии, медитациях, и других подобных направлениях, ранее зачастую тайных, передаваемых от учителя к ученику. Хотя. . .
Перемещение строк из ТЧ в другой документ с учетом текущего пробега Maks 17.08.2026 Реализация из решения ниже выполнена на примере нетипового документа "Автозапчасти", с ТЧ "Шины". За основу взят алгоритм отсюда: https:/ / www. cyberforum. ru/ blogs/ 359708/ 10838. html Задача: . . .	Саморегулирующийся социальный контракт для сервера cross-section. Hrethgir 14.08.2026 С кодом конечно таких глубоких размышлений пока не было, впрочем я уже привык к алгоритмизации. Суть предмета записи: снова в диалоге с нейросетью (я взял пока себе ник для учётки админа - Rector). . . .	Часы электронные Uhbif79 12.08.2026 Выкладываю программу часов. Программа позволяет: 1. Использовать системное время и дату, 2. Есть возможность вводить время и дату вручную. 3. Реализованы 2 будильника: начало и конец рабочего дня. . . .	Часы с будильником на основе класса QLCDNumber Uhbif79 12.08.2026 Всем добрый день, выкладываю программу часов с будильником на основе класса QLCDNumber. Здесь я пробовал самостоятельно создавал классы, впервые столкнулся с видимостью переменной одного класса из. . .

Psilon Master of Orion 6102 / 4958 / 905 Регистрация: 10.07.2011 Сообщений: 14,522 Записей в блоге: 5
	04.11.2013, 16:15
	NickoTin, прямо при запуске. А при попытке открыть зашифрованные методы сваливается, отправляя отчет А еще в ida у меня пропала кнопочка debug 0

Psilon Master of Orion 6102 / 4958 / 905 Регистрация: 10.07.2011 Сообщений: 14,522 Записей в блоге: 5
	04.11.2013, 23:07
	NickoTin, просто я тогда не понимаю, как код вообще выполняется, ведь он должен расшифровываться перед выполнением хотя бы... 0

@NickoTin Почетный модератор 8729 / 3681 / 404 Регистрация: 14.06.2010 Сообщений: 4,513 Записей в блоге: 9
	04.11.2013, 23:16 [ТС]
	Psilon, а тут уже вступает в действие принцип работы JIT компилятора - по требованию, пока нет необходимости в компиляции метода он и не будет скомпилирован. После трансляции IL в ASM я затираю исходный IL, и в итоге получается что уже выполненный/выполняемый метод будет затёрт, однако тот к которому выполнение еще не подошло будет зашифрован. 0

Psilon Master of Orion 6102 / 4958 / 905 Регистрация: 10.07.2011 Сообщений: 14,522 Записей в блоге: 5
	04.11.2013, 23:19
	NickoTin, хм, мне кстати всегда было интересно, куда скидывается скомпилированная сборка... 0

@NickoTin Почетный модератор 8729 / 3681 / 404 Регистрация: 14.06.2010 Сообщений: 4,513 Записей в блоге: 9
	04.11.2013, 23:23 [ТС]
	Psilon, никуда, это всё действо происходит в памяти. До тех пор пока метод не скомпилирован вместо него находится заглушка которая вызовет метод компиляции при первом вызове метода, после обработки компилятора код заглушки будет заменен на оригинал. NGEN как раз избавляет от этой операции, код сразу же подставляется из заранее скомпилированной сборки. 0

Psilon Master of Orion 6102 / 4958 / 905 Регистрация: 10.07.2011 Сообщений: 14,522 Записей в блоге: 5
	05.11.2013, 08:09
	NickoTin, ну работу JIT я представляю. А вы, хотите сказать, ngen'ом делали? 0

@NickoTin Почетный модератор 8729 / 3681 / 404 Регистрация: 14.06.2010 Сообщений: 4,513 Записей в блоге: 9
	05.11.2013, 09:54 [ТС]
	Psilon, нет, я хочу сказать что дампить код не вариант только если ставить бряки в нужных местах. ngen даже не съест сборку, т.к. в ней некорректный код до исполнения. 0

@kolorotur 17823 / 12973 / 3382 Регистрация: 17.09.2011 Сообщений: 21,261
	05.11.2013, 11:12
	NickoTin, очень интересный подход, было бы здорово увидеть в деталях. А в магазине так же можно стенку приподнять? То бишь, возможно ли так защитить сложный проект, состоящий из нескольких сборок? И как это скажется на производительности? 0

@hepper Кодогенератор 200 / 200 / 51 Регистрация: 15.06.2011 Сообщений: 794
	05.11.2013, 16:05
	а не сведет ли эффективность данного метода к 0 публикация статьи о принципе работы? 0

@Yukikaze 352 / 331 / 49 Регистрация: 12.12.2011 Сообщений: 563
	05.11.2013, 16:16
	hepper, думаю нет, так как тут именно соль в алгоритме шифрования, а его можно изменить как угодно. 0