吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 9421|回复: 72
收起左侧

[.NET逆向] 混淆作用有多大,看一款V..B...A工具的逆向就知

  [复制链接]
无闻无问 发表于 2021-1-29 18:40
本帖最后由 无闻无问 于 2021-1-29 18:53 编辑

写在前面:


本帖只是分析net混淆的安全性,不存在其它因素。如果有幸让软件作者看到,还请作者谅解……


一、未注册。30天试用,核心功能不可用。

1.png


2.png




二、查壳。

3.png


4.png


混淆情况:VBACodeAssistantPro.dll保留了函数名……


VBACodeAssistantPro----MV类:


3.1.png

E8Runtime.dll混淆的厉害:

3.2.png


以前分析过低版本,只有VBACodeAssistantPro.dll,没有E8Runtime.dll,现在作者提高了意识,将VBACodeAssistantPro.dll中关键内容抽取到E8Runtime.dll中进行了混淆……


但,百密一疏就是VBACodeAssistantPro的符号保留了,给人留下下手机会……


三、开启dnSpy6.18调试。

5.png

四、下第一个断点:既然有时间限制,通过简单查找,在VBACodeAssistantPro—MV类下发现可疑函数,下个断点:


6.png


下好后,单击调试位置处的“重新开始”……
Excel中进入vba环境,断点断下……

7.png


打开“堆栈窗口”,逐个查看可疑情况,这条可疑……
>       E8Runtime.dll!Subl3U=.oHs=.p3s=(A_1 As l3U=.bnY=) (IL&H0C7D,Native=&H0B0E1070+&H2850)

8.png

双击过去……
一堆混淆……
接下来,就是在函数头下断,单击调试位置处的“重新开始”,重新运行程序并进入vba环境让它加载dll……
断在函数头后,然后F10逐过程调试……
打开“局部变量”窗口……
盯着它,F10一直下走……
通过F10跟踪,你会发现,含有变量obj2的行就是很有意思的行……
该函数所有obj2的行全部下断,看看都有些什么?机器码,软件版本,系统时间,软件到期时间,全部出来……

9.png


10.png



11.png


由此可见,混淆这个东西,内存这块是个突破口……


呵呵呵,有了这些东西,想想你可以干什么?改版本,改时间啊啊啊……


通过搜索字符串“免费版”,可以看到软件的各种版本:

12.png

在以下位置尝试更改一下版本……

13.png


298行执行后,obj2变量的值为:“免费版”……


尝试更改为“旗舰版”……


右击298行,编辑IL指令……


将以下多余指令nop掉,强行赋值为“旗舰版”……

14.png


15.png


修改语句为:

16.1.png


点击“保存所有”,保存修改内容。


提示,请事先备份一个副本,以免修改出错好还原继续。


这里需要注意的是,dnSpy修改的内容必须保存才生效,如果你修改没有保存,它执行的仍然是原来的代码,我曾经在这里转了很多弯……


如果保存出错,请停止调试,即关闭Excel,解除dll占用,再保存……


17.png


单击菜单中的“授权信息”,查看一下修改结果:

18.png

已经是旗舰版了,再来看看菜单中“代码库管理”中的导入、导出功能是否可用……

19.png


成功导出,说明成功……接下来,处理版本到期时间,强行赋值一个日期,最终如下……

20.png
处理到期时间与处理软件版本一样,这里就让聪明的大家去玩了,我就不废话了……


后记:
软件安全真是一个永恒的话题,什么混淆啊,加壳啊,都不能保证绝对安全……
所以在保护上,手段要多,花样要新,特别是敏感的字符串,符号名,函数名等一定要抹掉,这样才能最大程度减少损失……


最后声明:

不提供成品补丁,不提供成品补丁,不提供成品补丁!
如果喜欢,请购买支持正版!!!
17.png
1.png

免费评分

参与人数 15威望 +1 吾爱币 +39 热心值 +13 收起 理由
staty + 1 思路挺好的,但是这个版本找不到,弄了个3.3.8.5的,居然一模一样的验证字.
龙锋好帅 + 1 我很赞同!
apoul + 1 + 1 感谢老师分享
asong + 1 + 1 谢谢@Thanks!
冥界3大法王 + 2 + 1 编得不错,支持下。
Hmily + 1 + 20 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
ias想 + 1 请问一下大神对脱这个agile壳有什么思路么
shizi1521 + 1 + 1 用心讨论,共获提升!
涛之雨 + 4 + 1 动态调试学到了
caiduyi127 + 1 + 1 我很赞同!
excel880b + 1 + 1 感谢手下留情 加个好友请教一下加密保护技术
zjun777 + 1 + 1 用心讨论,共获提升!
约定的童话 + 2 + 1 用心讨论,共获提升!
fengbolee + 1 + 1 用心讨论,共获提升!
zhanglei1371 + 2 + 1 太强大了!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

whg118 发表于 2021-2-1 07:50
买来用的人不差钱,破的人不一定在用。
caiduyi127 发表于 2021-1-30 08:32
WoShiXXX 发表于 2021-1-29 18:51
 楼主| 无闻无问 发表于 2021-1-29 18:54
WoShiXXX 发表于 2021-1-29 18:51
作者在论坛貌似有号?
@excel880

嘘嘘嘘嘘嘘,悄悄的,全部打码的……
ai364395368 发表于 2021-1-29 19:24
兄台,正版软件发我一下,谢谢!
zhanglei1371 发表于 2021-1-29 19:47
本帖最后由 zhanglei1371 于 2021-1-29 19:48 编辑

Snipaste_2021-01-29_19-47-22.jpg
我的版本也是6.18....
右键显示标记,显示参数都点了,就是没有出现....
水吉空 发表于 2021-1-29 20:00
牛逼,向大师学习。
hylltt 发表于 2021-1-29 20:45
真是厉害啊
约定的童话 发表于 2021-1-29 21:03
没有永恒的加密,世界也不是永恒的
jiayubao 发表于 2021-1-29 22:03
这波操作厉害了,刚刚试了下,果然如大佬描述一样!牛……X……
shaokui123 发表于 2021-1-30 00:35
第三次看见这个软件被爆菊了,上一次也是给作者指出了问题,貌似作者也改了
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-29 18:35

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表