.net sdk中有不少很强大的工具,可以轻易完成对.net程序的破解,只要你懂得一点IL语言就行。现在以一个 M 软件为例,介绍整个破解过程。
第零步:用反编译工具分析软件的可执行文件,制订破解逻辑。
我以"M"来称呼这个软件。首先,要搞明白M的注册原理。M是通过输入注册码来完成注册的,为了破解它,要先搞明白它注册的原理,这就必须用反译工具来分析它。
我用的反编译工具是.net reflactor,可以用它打开.net的可执行文件,看到C#源代码。打开之后,经过一番寻找,发现的注册窗口的事件处理过程所在,然后一直找到了它的注册校验程序。如下:
MarkdownPad2.Licensing.LicenseEngine.VerifyLicense(String, String) : Boolean
public bool VerifyLicense(string licenseKey, string email)
{
if (string.IsNullOrEmpty(licenseKey) || string.IsNullOrEmpty(email))
{
return false;
}
try
{
this.License = this.Decrypt(licenseKey);
this.LicenseProcessed = true;
}
catch (Exception exception3)
{
...
return false;
}
if (((this.License == null) || (this.License.Email == null)) || (this.License.Product == null))
{
return false;
}
bool flag = this.License.Email.Equals(email, StringComparison.OrdinalIgnoreCase);
bool flag2 = this.License.Product == "MarkdownPad2";
return (flag && flag2);
}
在窗口中输入的email和key都被送到这里,其中Key通过Decrypt方法进行解密,直接生成了一个License对象,这个对象的定义如下:
namespace MarkdownPad2.Licensing
{
using System;
using System.Runtime.CompilerServices;
public class License
{
public DateTime CreationDate { get; set; }
public string Email { get; set; }
public int LicenseTypeId { get; set; }
public string Name { get; set; }
public string Product { get; set; }
}
}
看来就是注册信息的内存对象了。那么,再看看生成这个对象的那个Decrypt方法:
private License Decrypt(string payload)
{
RSA rSA = CryptoKey.FromPublicKey(
"-----BEGIN PUBLIC KEY-----\nMIIB...pQIDAQAB\n-----END PUBLIC KEY-----",
"2QJmLPD5ktxIrFkr")
.GetRSA();
byte[] msg = Convert.FromBase64String(payload);
byte[] bytes = rSA.PublicDecrypt(msg, RSA.Padding.PKCS1);
string str = Encoding.Default.GetString(bytes);
IRestResponse response = new RestResponse {
Content = str
};
License license = new JsonDeserializer().Deserialize<License>(response);
rSA.Dispose();
return license;
}
研究一下就能明白,这个程序就是通过一个指定公钥的rsa解密器,对传入的Base64字符进行解密,解密之后的内容是一个Json格式的文本符串,这个文本串直接反序列化就是License对象了。
破解的办法有下列几个:
- 把 VerifyLicense 改掉,直接返回一个true。
- 这个方法我其实用过了,但是发现了一个问题,就是软件一启动总是会出现一个nullException,原因应该是在启动时软件检查是否注册,然后改过的方法给它返回了个true,但它兴致勃勃地去检查注册的信息时,没料到是个空的。
- 解决办法就是去修改c:\users\<用户名>\AppData\Local\<产品名>\<文件名>\<版本号>\user.config文件,把注册信息写进去,但是注册信息还是要符合解密要求才行。所以我不采用这个方式。
- 写一个注册码生成器,用对应的私钥生成符合程序要求的注册码,这样不用改程序。
- 问题在于,我们没有这个公钥对应的私钥,没办法做注册信息之后再加密。
- 解决办法自己生成一个新的RSA密码对,然后把程序的公钥替换了,用对应的私钥写注册机。那么还是要改程序了?意义不大,算了不用这个办法。
- 改掉Decrypt方法,把解密的过程跳过,让它支持明文注册信息,然后就随我的意输入了。就用这个办法了!
方案确定,现在开始修改程序。
第一步:用ildasm来反编译EXE或是DLL文件到IL源代码。
ildasm是.net自带的反编译IL的工具。我用ildasm打开M.exe文件,看到里面的命名空间、类名什么的了,然后选择菜单里的“转储”,选择一个空的目录——注意,会生成一堆文件的,所以要用空的目录——,确认,IL文件与资源文件就保存到那里了。
由于我们只要动一点点代码,其他的都不要动的,所以,只需要注意m.il文件就行了。
第二步:修改il文件。
用你喜欢的文本编辑器打开m.il文件,找到我们打算要修改的Decrypt方法,哇,这个在C#里只有几行方法,在IL里好长呀!
再回来看看这个方法的c#版:
private License Decrypt(string payload)
{
RSA rSA = CryptoKey.FromPublicKey(
"-----BEGIN PUBLIC KEY-----\nMIIB...pQIDAQAB\n-----END PUBLIC KEY-----",
"2QJmLPD5ktxIrFkr")
.GetRSA();
byte[] msg = Convert.FromBase64String(payload);
byte[] bytes = rSA.PublicDecrypt(msg, RSA.Padding.PKCS1);
string str = Encoding.Default.GetString(bytes);
IRestResponse response = new RestResponse {
Content = str
};
License license = new JsonDeserializer().Deserialize<License>(response);
rSA.Dispose();
return license;
}
我们要把它改为这样:
private License Decrypt(string payload)
{
IRestResponse response = new RestResponse {
Content = payload
};
JsonDeserializer deserializer = new JsonDeserializer();
return deserializer.Deserialize<License>(response);
}
现在,硬起头皮,看看IL代码,发现并不太难,比如说起头这段:
.locals init (
class [ManagedOpenSsl]OpenSSL.Crypto.CryptoKey V_0,
class [ManagedOpenSsl]OpenSSL.Crypto.RSA V_1,
uint8[] V_2,
uint8[] V_3,
string V_4,
class [RestSharp]RestSharp.IRestResponse V_5,
class [RestSharp]RestSharp.Deserializers.JsonDeserializer V_6,
class MarkdownPad2.Licensing.License V_7)
这就是局部变量的定义啦,它们按位置编号,从0开始。
然后对着c#看,就是几个ldXXX指令(ldstr:压栈字串常量;ldloc:压栈局部变量,ldarg:压栈本方法参数)准备参数,一个call调用方法,如有返回值,就用stloc保存到第N号变量里。
IL_0000: ldstr "-----BEGIN PUBLIC KEY-----\nMI...QAB\n-----END PUBLIC KEY-----"
IL_0005: ldstr "2QJmLPD5ktxIrFkr"
IL_000a: call class [ManagedOpenSsl]OpenSSL.Crypto.CryptoKey [ManagedOpenSsl]OpenSSL.Crypto.CryptoKey::FromPublicKey(string, string)
IL_000f: stloc.0
看懂了吧?后面的也都一样。我们一直找到new RestResponse的地方,
IL_0034: newobj instance void [RestSharp]RestSharp.RestResponse::.ctor()
IL_0039: stloc.s V_5 //new 的返回值赋值给V_5局部变量。
IL_003b: ldloc.s V_5 //第0个参数是this指针。
IL_003d: ldloc.s V_4 //set方法的参数,现在取的是V_4,也就是str局部变量
IL_003f: callvirt instance void [RestSharp]RestSharp.IRestResponse::set_Content(string)
我们只需要把 IL_003d: ldloc.s V_4
改为 IL_003d: ldarg.1
,就把payload参数直接给了response.Content了。
IL_0034: newobj instance void [RestSharp]RestSharp.RestResponse::.ctor()
IL_0039: stloc.s V_5
IL_003b: ldloc.s V_5
IL_003d: ldarg.1
IL_003f: callvirt instance void [RestSharp]RestSharp.IRestResponse::set_Content(string)
前面的RSA解密代码如果不删除,它们会对将放进来的明文进行解密,会引起异常,我们就把它们都注释了吧!也就是初始化局部变量之后到IL_0034之前的代码都全部删除。而最后还有一个RSA.dispose(),它对应的IL代码如下,也一并删除:
IL_0056: ldloc.1
IL_0057: callvirt instance void [ManagedOpenSsl]OpenSSL.Core.Base::Dispose()
还有,由于有4个局部变量没有被使用,所以也要在init里把它们删除,不然会造成程序运行时的堆栈出错。
最后检查程序里的变量引用序号是不是需要调整。最后的程序是这样:
.method private hidebysig instance class MarkdownPad2.Licensing.License
Decrypt(string payload) cil managed
{
// 代码大小 95 (0x5f)
.maxstack 3
.locals init (
class [RestSharp]RestSharp.IRestResponse V_5,
class [RestSharp]RestSharp.Deserializers.JsonDeserializer V_6,
class MarkdownPad2.Licensing.License V_7)
IL_0034: newobj instance void [RestSharp]RestSharp.RestResponse::.ctor()
IL_0039: stloc.s V_5
IL_003b: ldloc.s V_5
IL_003d: ldarg.1
IL_003f: callvirt instance void [RestSharp]RestSharp.IRestResponse::set_Content(string)
IL_0044: newobj instance void [RestSharp]RestSharp.Deserializers.JsonDeserializer::.ctor()
IL_0049: stloc.s V_6
IL_004b: ldloc.s V_6
IL_004d: ldloc.s V_5
IL_004f: callvirt instance !!0 [RestSharp]RestSharp.Deserializers.JsonDeserializer::Deserialize<class MarkdownPad2.Licensing.License>(class [RestSharp]RestSharp.IRestResponse)
IL_0054: stloc.s V_7
IL_005c: ldloc.s V_7
IL_005e: ret
} // end of method LicenseEngine::Decrypt
第三步:用ilasm来重新编译exe文件。
ilasm是一个.net sdk里的命令行工具,用来编译il文件。在命令行里执行下面的命令,M.exe就被重新生成了:
ilasm /exe /resource=M.res /output=M.exe M.il
注意,M.exe里的程序还有很多图片之类的资源,在反编译时,这些资源文件也会被抽出来放到这里,所有的资源都会在m.res文件里描述。在重新编译时,只需要如上面例子里的那样/resource=M.res就行了。
好,把破解过的M.exe放回到原来的目录里,替换原版的程序,然后执行之。
选择注册,在注册码框里输入json格式的明文:
{"CreationDate":"2014-12-11T06:06:54.0068849Z",
"Email":"***@qq.com",
"LicenseTypeId":1,"Name":"myname",
"Product":"Msoftware"}
这个JSON数据是根据License对象的成员而编写的。现在我们知道这个字串会被直接反序列化为一个妥妥的License对象。
一按OK……
成功!您现在的所有使用限制已被解除。