记录一次.net项目的破解过程

记录一次.net项目的破解过程
2010年06月30日
　　声明：本CSDN博客中的所有文章均为本人原创 请勿转载
　　注意：本次演示破解了一个当前网络的商业项目，请务必遵守互联网及软件版权的相关规定。不要对原公司造成侵权，及利益上的侵害。
　　同时，我也无意侵犯该商业项目的相关权益。下面的内容仅供学习交流。 [如何破解]
　　破解一个软件，最强大，最直接，最让人情有独钟的非调试莫属。不管怎样，调试方式几乎像一把软件的解剖刀。无所不能。通过调试，能够窥探加密，为程序去壳，解密口令，修改源码，这些关键的操作在许多强大的工具支持下其实并不困难，一些很著名的工具可以帮助我们轻松完成。微软也提供了一些调试工具，如winDbg，虽然它可能不是最强大的，但却是最适应于windows调试的工具。
　　软件的加密，加壳，证书等手段都是人们总结的能够抵制破解的一些方法。正如人们所说，没有一个软件是完美的，也没有一个软件是不能被破解的。
　　这次演示中并不打算使用调试，而是一种类似测试中的"白盒"形式来分析并提出方案。专业的建议使用调试。
　　下面简单聊几句.net的基础知识，这些是我们使用.net的基础。
　　作为.net应用程序，它依赖于.net的CLR运行，CLR（公共语言运行时）是.net平台的核心，它管理了一个内存区，将其称为托管堆。所以许多人称.net程序为托管应用程序。一般WIN32等程序使用的内存分配直接由操作系统管理，即存储在操作系统的分配的堆栈上。但.net内存由CRL管理。因此，当应用层发生异常时，将不会直接抛向操作系统，而是首先由CLR接管并处理。CLR自身很难出现异常。所以，这样的程序在一定程度上是安全的。CRL内驻留的一个GC（垃圾回收）进程来专门负责对象的回收任务。GC的出现降低了程序开发人员的内存管理负担，同时在一定程度上防止了疏忽造成的内存泄露。
　　CLR类似于一个虚拟CPU，只不过它面向的数据不是进制码，而是MSIL。MSIL（简称IL），是微软创建的一种中间语言。微软的.net平台的语言无关性就是靠它来体现。在NET平台上，你可以使用多种语言进行开发，最终，将被编译为同一种MSIL语言。你可以将其看做一种低级的类似Win32/64汇编的语言。一句话，.net编译生成的文件exe,Dll等，都是以MSIL码存储的。它只有在运行时才会被JIT即时译为适应于目标机器CPU的语言。而不像C，C++等是直接的机器语言。事实上如JAVA等有平台虚拟机的程序框架都具有如此的特征。JAVA就是被译为JVM可执行的字节码存放。这样的好处是跨平台能力增强。并且具备了一次编译多次运行的较强移植能力。
　　上面的基础应该足够了，回到正题，我们要破解一个软件，在不通过调试时似乎理解源码是至关重要的，因为我们需要知道软件中在哪些地方进行了限制。但没有源码，就必须有一定的低层知识。由一些MFC，WIN32等直接生成的文件已经成了二进制代码，经过了一系列的链接，和优化，已经和源代码相去甚远了，你可以使用如UltraEdit的工具直接查看甚至修改二进制文件，但这几乎不可行，不过你可以反汇编，汇编语言要好理解多了，想返回源码的想法在Win32/64下最好打消。但在.net下却可以很好的还原到一定的程度。汇编你可能也不太熟悉，但.net生成的是MSIL，所以，我们只需要看MSIL。和汇编一样，MSIL也是由一些助记符构成的，这些指令的含意，你可以在微软的相关技术文档上查阅。我就在此不多延伸。
　　既然我们看到的DLL都是MSIL，那么我们可以通过VS下的工具箱中的IL DASM来查看MSIL。IL DASM 和IL ASM工具都是微软提供的比较基础和强大的反IL工具。
　　[寻找突破口]
　　从演示项目中找到可能使用证书的页面或者事件,逐渐排除一些无关的业务逻辑。首先我们登陆系统。可以发现，当前系统没有注册。
　　
　　其次找到验证的入口，点击"未授权网站"铵钮。打开如下页面：
　　
　　可以看到，底部有一个上传证书的文本框。根据WEB程序的特点。这些处理全部集中在下面"确认提交"这个事件中完成的。单击右键-》属性，可以看到该页面的名称，然后在VS项目下找到该页面。但我们从原页面程序中并没有看到该事件的处理函数。Asp.net的机制是后台与页面相分离，通过页面指令来关联后台文件，所以，使用VS环境寻找并打开这一页面源码，可以看到后台地址的映射：
　　
　　可以看到，后台程序放在了ShopWe 空间下的Admin_ShopWeCert类。
　　这个名为ShopWe的DLL在Bin目录下。
　　
　　[顺藤摸瓜寻找相应的工作模块]
　　既然锁定了入口的DLL，我们便可以使用VS提供的IL DASM工具反射原程序集，我不想在此说反射是多么强大的一种工具，这全归功于元数据集。
　　在程序-》SDK-》工具，打开DASM，然后选择"文件"=-》选择SHOPWE ，即可打开该DLL，如下图所示。
　　
　　上面清楚的列举了当前模块中的类，方法，字段和属性，还有版本等信息。
　　对于右侧的三角符号，正方形的含义不清楚的，可以查下IL DASM的用法中有介绍。
　　蓝色的"集成快"表示类，"集成块"中间有I标识的是接口，向右红三角表示版本，元数据信息，平行四边形表示字段，向上红三角表示属性，正方形是方法。带S的是静态方法。
　　如果不清楚，请单击IL DSAM 帮助菜单。或者查找该工具用法。
　　在页面的提交事件中，我们已经看到，该事件的处理函数为Submit_Click
　　
　　双击列表中的Submit_Click方法以查看MSIL代码。下面是该方法的MSIL码：
　　.method family hidebysig instance void Submit_Click(object sender,
　　class [mscorlib]System.EventArgs e) cil managed
　　{
　　// 代码大小 250 (0xfa)
　　.maxstack 5
　　.locals init (class [Common]ShopWe.Common.XMLControl V_0)
　　IL_0000: ldarg.0
　　IL_0001: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert
　　IL_0006: callvirt instance bool [System.Web]System.Web.UI.WebControls.FileUpload:: get_HasFile()
　　IL_000b: brfalse.s IL_0031
　　IL_000d: br IL_00d9
　　IL_0012: ret
　　IL_0013: ldarg.0
　　IL_0014: ldfld class [System.Web]System.Web.UI.HtmlControls.HtmlInputTe xt Admin_WebSetting_Cert::cert
　　IL_0019: callvirt instance string [System.Web]System.Web.UI.HtmlControls.HtmlInputCo ntrol::get_Value()
　　IL_001e: ldsfld string [mscorlib]System.String::Empty
　　IL_0023: call bool [mscorlib]System.String::op_Inequality(string,
　　string)
　　IL_0028: brtrue.s IL_009a
　　IL_002a: ldc.i4 0x1
　　IL_002f: brfalse.s IL_0062
　　IL_0031: ldarg.0
　　IL_0032: callvirt instance class [System.Web]System.Web.UI.Page [System.Web]System.Web.UI.Control::get_Page()
　　IL_0037: callvirt instance class [System.Web]System.Web.UI.ClientScriptManager [System.Web]System.Web.UI.Page::get_ClientScript()
　　IL_003c: ldarg.0
　　IL_003d: call instance class [mscorlib]System.Type [mscorlib]System.Object::GetType()
　　IL_0042: ldstr ""
　　IL_0047: ldstr "gnjikabjhphjdapjhpfklpmkmpdldmkldobmloimbopmlognk o"
　　+ "nnljeohjloamcpcnjpgnaaenhailoadmfbmkljpobiafhkbda lpbmjgiildgfehojlmeeoj"
　　+ "colopnoakhlolfnkcgmndnheehocdfoahlpmboodmnakiaafl aaaeglpdnloeemmelmmdcn"
　　+ "nhjnkgaoghhokgooogfppgmpgdda"
　　IL_004c: ldc.i4 0x921899a
　　IL_0051: call string xb9d8bb5e6df032aa.x1110bdd110cdcea4::_xaacba899487 bce8c(string,
　　int32)
　　IL_0056: call string [mscorlib]System.String::Intern(string) IL_005b: callvirt instance void [System.Web]System.Web.UI.ClientScriptManager::Reg isterStartupScript(class [mscorlib]System.Type, string, string) IL_0060: br.s IL_0098 IL_0062: newobj instance void [Common]ShopWe.Common.XMLControl::.ctor() IL_0067: stloc.0 IL_0068: ldloc.0 IL_0069: ldarg.0 IL_006a: call instance class [System.Web]System.Web.HttpServerUtility [System.Web]System.Web.UI.Page::get_Server() IL_006f: ldstr "~/Setting/ShowSetting.xml" IL_0074: callvirt instance string [System.Web]System.Web.HttpServerUtility::MapPath( string) IL_0079: ldstr "root/Cert" IL_007e: ldarg.0 IL_007f: ldfld class [System.Web]System.Web.UI.HtmlControls.HtmlInputTe xt Admin_WebSetting_Cert::cert IL_0084: callvirt instance string [System.Web]System.Web.UI.HtmlControls.HtmlInputCo ntrol::get_Value() IL_0089: callvirt instance void [Common]ShopWe.Common.XMLControl::UpdateInnerText( string, string, string) IL_008e: ldc.i4 0xfffffffe IL_0093: brtrue IL_0012 IL_0098: br.s IL_00f9 IL_009a: ldarg.0 IL_009b: ldstr "~/cert/" IL_00a0: call instance string [System.Web]System.Web.UI.Page::MapPath(string) IL_00a5: call bool [mscorlib]System.IO.Directory::Exists(string) IL_00aa: brfalse.s IL_00de IL_00ac: ldarg.0 IL_00ad: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert IL_00b2: ldarg.0 IL_00b3: call instance class [System.Web]System.Web.HttpServerUtility [System.Web]System.Web.UI.Page::get_Server() IL_00b8: ldstr "~/cert/" IL_00bd: callvirt instance string [System.Web]System.Web.HttpServerUtility::MapPath( string) IL_00c2: ldarg.0 IL_00c3: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert IL_00c8: callvirt instance string [System.Web]System.Web.UI.WebControls.FileUpload:: get_FileName() IL_00cd: call string [mscorlib]System.String::Concat(string, string) IL_00d2: callvirt instance void [System.Web]System.Web.UI.WebControls.FileUpload:: SaveAs(string) IL_00d7: br.s IL_00f4 IL_00d9: br IL_0013 IL_00de: ldarg.0 IL_00df: ldstr "~/cert/" IL_00e4: call instance string [System.Web]System.Web.UI.Page::MapPath(string) IL_00e9: call class [mscorlib]System.IO.DirectoryInfo [mscorlib]System.IO.Directory::CreateDirectory(str ing) IL_00ee: pop IL_00ef: ldc.i4.0 IL_00f0: brtrue.s IL_00ac IL_00f2: br.s IL_00ac IL_00f4: br IL_0062 IL_00f9: ret } // end of method Admin_WebSetting_Cert::Submit_Click 如果你对MSIL还不了解，那么必然会面对上面的代码感到迷惑。不要紧，我只所以刚才将其描述为助记符是有原因的，上面的指令（第二列）表示了一些特定的意义。你也应该发现，这些指令是一些单词的简单形式：如：ret (return)
　　还有意思类的：.ldstr (load string) ，call （调用静态方法）callvirt（调用实例方法）ldarg（加载参数）
　　Ld这个前缀预示着要向托管堆分配内存并复制数据。
　　我们同时看到有熟悉的类库成员，一般使用类库时就会以类似原形的形式出现在代码中。
　　第一列是什么意思？怎么那么像地址。它就是地址，这种地址是相对地址，用于进行指令跳转，并不是内存中的真正地址。
　　上面蓝色的部分只是我在第一次接触MSIL时的猜测。之所以写出来是想让别人多一种懒人的办法。MSIL的相关知识建议看国外较为权威的书籍，或者去MSDN上进行指令含义的速查。想学MSIL，我可以推荐几本书，当前引进国内的这一方面的书几乎没有。
　　[查看DLL的内部，跟踪验证函数的思路，确定修改地点和修改方式]
　　现在我们分析上面的代码，不论怎样，这个事件当中必然有验证证书的逻辑。我们只需要先定位这段逻辑。
　　我们发现这段核心的验证代码：
　　
　　其它的代码很明显是属于一般的IO操作。这一段初始了一个ValidateCert对象并调用它的一个返回BOOL的ValidCert方法。由IF来判断，因此，这一段属于验证判断。是我们需要修改的部分。很明显，我们可以取掉这段IF判断，只让其顺序执行为真的代码即可。
　　类似于下面的代码：
　　If(true)
　　{
　　//TO DO：合法证书操作
　　}else{
　　//TO DO: 不合法证书
　　}
　　但是，根据一般编程规律。一个验证逻辑应该被共享。因为如果验证仅仅在该事件被触发时才验证一次，那么当页面加载时，如果判断该软件是否注册？所以，很明显这个验证会在许多地方进行。我们要一一找出并修改，的确是一件很麻烦的事。但假设它们的验证点调用的是一个验证方法呢？事实上前面已经说了，这个逻辑应该被共享，所以，我们在这里不应该去改，而继续追踪ValidCert方法。
　　下图为该验证类ValidateCert：
　　
　　这个方法的代码如下，
　　.method public hidebysig instance bool ValidCert() cil managed
　　{
　　// 代码大小 311 (0x137)
　　.maxstack 5
　　.locals init (class [Common]ShopWe.Common.XMLControl V_0,
　　char[] V_1,
　　string[] V_2,
　　bool V_3,
　　bool V_4)
　　.try
　　{
　　IL_0000: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
　　IL_0005: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
　　IL_000a: ldstr "~/Certificate.xml"
　　IL_000f: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string )
　　IL_0014: call bool [mscorlib]System.IO.File::Exists(string)
　　IL_0019: brfalse.s IL_0020
　　IL_001b: br IL_00d7
　　IL_0020: ldc.i4.0
　　IL_0021: stloc.3
　　IL_0022: ldloc V_3
　　IL_0026: conv.u4
　　IL_0027: ldloc V_3
　　IL_002b: conv.u4
　　IL_002c: add
　　IL_002d: ldc.i4.0
　　IL_002e: clt.un
　　IL_0030: stloc V_4
　　IL_0034: ldloc V_4
　　IL_0038: brfalse.s IL_0075
　　IL_003a: ldc.i4.1
　　IL_003b: stloc.3
　　IL_003c: leave IL_0135
　　IL_0041: br.s IL_006b
　　IL_0043: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
　　IL_0048: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request() IL_004d: callvirt instance class [System]System.Uri [System.Web]System.Web.HttpRequest::get_Url() IL_0052: callvirt instance string [System]System.Uri::get_Host() IL_0057: callvirt instance string [mscorlib]System.String::ToLower() IL_005c: ldloc.2 IL_005d: ldc.i4.0 IL_005e: ldelem.ref IL_005f: callvirt instance string [mscorlib]System.String::ToLower() IL_0064: callvirt instance bool [mscorlib]System.String::Contains(string) IL_0069: brtrue.s IL_00b1 IL_006b: ldc.i4.0 IL_006c: stloc.3 IL_006d: leave IL_0135 IL_0072: ldc.i4.0 IL_0073: brfalse.s IL_0020 IL_0075: br.s IL_00d0 IL_0077: ldarg.0 IL_0078: ldloc.0 IL_0079: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current() IL_007e: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request() IL_0083: ldstr "~/Certificate.xml" IL_0088: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string ) IL_008d: ldstr "root/CertCode" IL_0092: callvirt instance string [Common]ShopWe.Common.XMLControl::GetInnerText(str ing, string) IL_0097: call instance string ValidateCert::xcc381ffa3ede662f(string) IL_009c: ldc.i4.1 IL_009d: newarr [mscorlib]System.Char IL_00a2: stloc.1 IL_00a3: ldloc.1 IL_00a4: ldc.i4.0 IL_00a5: ldc.i4.s 124 IL_00a7: stelem.i2 IL_00a8: ldloc.1 IL_00a9: callvirt instance string[] [mscorlib]System.String::Split(char[]) IL_00ae: stloc.2 IL_00af: br.s IL_0043 IL_00b1: call valuetype [mscorlib]System.DateTime [mscorlib]System.DateTime::get_Now() IL_00b6: ldloc.2 IL_00b7: ldc.i4.1 IL_00b8: ldelem.ref IL_00b9: call valuetype [mscorlib]System.DateTime [mscorlib]System.DateTime::Parse(string) IL_00be: call bool [mscorlib]System.DateTime::op_LessThanOrEqual(valu etype [mscorlib]System.DateTime, valuetype [mscorlib]System.DateTime) IL_00c3: brfalse.s IL_006b IL_00c5: ldc.i4.0 IL_00c6: brtrue IL_0043 IL_00cb: br IL_003a IL_00d0: ldc.i4 0x3 IL_00d5: brtrue.s IL_00fa IL_00d7: ldloc V_3 IL_00db: conv.u4 IL_00dc: ldloc V_3 IL_00e0: conv.u4 IL_00e1: sub IL_00e2: ldc.i4.0 IL_00e3: clt.un IL_00e5: stloc V_4 IL_00e9: ldloc V_4 IL_00ed: brtrue.s IL_00ef IL_00ef: newobj instance void [Common]ShopWe.Common.XMLControl::.ctor() IL_00f4: stloc.0 IL_00f5: br IL_0077 IL_00fa: leave.s IL_0135 } // end .try catch [mscorlib]System.Object { IL_00fc: pop IL_00fd: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current() IL_0102: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request() IL_0107: ldstr "~/Certificate.xml" IL_010c: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string ) IL_0111: call bool [mscorlib]System.IO.File::Exists(string) IL_0116: brfalse.s IL_0131 IL_0118: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current() IL_011d: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request() IL_0122: ldstr "~/Certificate.xml" IL_0127: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string ) IL_012c: call void [mscorlib]System.IO.File::Delete(string) IL_0131: ldc.i4.0 IL_0132: stloc.3 IL_0133: leave.s IL_0135 } // end handler IL_0135: ldloc.3 IL_0136: ret } // end of method ValidateCert::ValidCert 或许和上面的代码一样，你感觉很晕，不要紧，首先这个方法返回的是一个BOOL，我们可以想到，返回真是为验证通过，返回假时为验证不通过。事实上代码中很明显进行了一次"证书加密的字符串比较"
　　如下面的核心代码。
　　
　　这段代码进行了一次比较，如果比较结果为真，则表示验证成功，当前方法返回为真。代码中是从XML中读取一个字符串并调用一个方法解密后分隔为一个数组，这段比较了数组第一个项和当前路径的值。
　　事实上完全没有必要看方法的内部，你既然猜测它返回真假就意味着是否通过验证，那么只要注释该方法内部，加入直接返回真的代码即可。这种情况下，必须是在该方法内部没有和其它验证部分有影响的操作。比如，该方法内部同时写了一个私钥文件。而其它地方却需要使用这个文件。这种情况是不能这样处理的。但是，通过这段代码，并没有发现这类操作。
　　所以，我们只需要删除该方法内部的代码，编写一个返回为真的语句即可。
　　确定了修改地点和修改方案，那么接下来我们要将该DLL转储为IL文件，以便修改它。
　　[反编译DLL为MSIL代码]
　　有许多工具可以选择，但微软提供的IL DASM工具已经绰绰有余了。
　　在IL DASM打开 ShopWe 的DLL，然后执行文件-》转储，在弹出的文件对话框中选择转储地址，输入文件名后确定即可，此时，你会在设置的路径下看到两个文件，一个为IL后缀的MSIL文件和一个RES的资源文件。
　　
　　[修改MSIL]
　　现在，我们有了IL文件，接下来需要修改这个IL。用一般的文本编辑器都可以打开编辑。
　　在该.method public hidebysig instance bool
　　ValidCert() cil managed
　　方法体开始加入如下代码，这段代码只是简单的返回了一个真值。
　　//破解代码
　　// 代码大小 7 (0x7)
　　.maxstack 1
　　.locals init ([0] bool CS$1$0000)
　　IL_0000: nop
　　IL_0001: ldc.i4.1
　　IL_0002: stloc.0
　　IL_0003: br.s IL_0005
　　IL_0005: ldloc.0
　　IL_0006: ret
　　//破解代码完
　　注释下面的逻辑，IL同样支持C++的单行多行注释符。
　　接下来编译修改过的DLL。
　　[编译IL文件为DLL]
　　我使用微软的ilasm工具进行编译
　　在VS2005命令提示符下，输入ilasm filefullname /dll
　　Filefuname:你的IL文件的路径和文件名，后面的/DLL选项是告诉编译器输出为DLL
　　回车即可显示编译进度：
　　
　　最后提示成功。如果没有成功，请仔细查看输出的错误信息。
　　一般常见的有：你的文件不可访问。这常是由于命令参数不对。或者当前用户缺少权限。
　　还有，就是你当前目录已经生成了一个DLL，并且由其它程序使用而造成无法覆盖的问题。
　　同时也要注意你修改的源文件是不是有语法等错误。
　　不会使用，请参考：http://msdn.microsoft.com/zh-cn/library/496e4ekx(V S.80).aspx
　　生成成功后，你就可以看到IL文件目录下生成的一个DLL文件。
　　[偷梁换柱替换修改后的DLL]
　　将该DLL替换原网站下的DLL即可。到此，我打开系统并登陆，便可以看到"注册成功"的提示。
　　
　　事实上，此时你会发现，这原来是如此简单的过程。这个简单的演示中，我们得到的不是一个免费的软件，而是知识。