CrackMe .NET CrackMe 2/10

[Dark_Bull]

CrackMe для тех кому крякнуть c# - не просто открыть dnSpy)
Задача найти пароль, и рассказать как работает эта программа. Ключ под хайд

VirusTotal:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Download:

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[V_ctile_Hamster]

 

[lustman]

Посмотреть вложение 312542

ах ты мастер патчинга :)

 

[V_ctile_Hamster]

Типа пароль Hello или чё
я просто нахуй понять не могу или этот Anti-Tamper снимать надо

въебал один Anti-debug

 

[lustman]

Скрытое содержимоеТипа пароль Hello или чё
я просто нахуй понять не могу или этот Anti-Tamper снимать надо
Скрытое содержимое
въебал один Anti-debugПосмотреть вложение 312548

это не антитампер. подобное, кстати, в securebyte было.

 

[V_ctile_Hamster]

это не антитампер. подобное, кстати, в securebyte было.

Ну прикольная штука

Так а пароль в итоге Hello или какой

 

[V_ctile_Hamster]

А ест какие нибудь обфускаторы под Unity???
Нормальный что бы всё чётко было

 

[V_ctile_Hamster]

Короче теперь я понял как оно работает

в ресурсах хранится зашифрованый Token
по которому потом он переходит потом не смог в Runtime снять снял в статике ресурыс раздекриптил

0x06000002 - token 1
0x06000003 - token 2
0x06000004 - token 3

Короче было прикольно иниересно

и подскажи пж есть какие нибудь обфускаторы под Unity Mono нормальные мне для софта надо internal на C# для игры Unturned Net.Framework 4.8V

 

[Dark_Bull]

Hidden content
Короче теперь я понял как оно работает

в ресурсах хранится зашифрованый Token
по которому потом он переходит потом не смог в Runtime снять снял в статике ресурыс раздекриптил

0x06000002 - token 1
0x06000003 - token 2
0x06000004 - token 3

Короче было прикольно иниересно

и подскажи пж есть какие нибудь обфускаторы под Unity Mono нормальные мне для софта надо internal на C# для игры Unturned Net.Framework 4.8V
Посмотреть вложение 312609

Спойлер: Подсказка

Чтобы победить этот анти-отладочный трюк нужно отключить два этих оптимизатора JIT-кода:

 

[lustman]

0x06000002 - token 1
0x06000003 - token 2
0x06000004 - token 3

это не токены, а тела методов. CIL, точнее.

 

[Dark_Bull]

это не токены, а тела методов. CIL, точнее.
Hidden content

Я наоборот, только приветствую, если распишут как решали

 

[V_ctile_Hamster]

А понял спасибо не знал

Так нет это же metadatatoken он же резолвится в самом коде

 

[lustman]

в <Module>.cctor() видим хук getJit(), а так же парсинг некоторых данных из ресурса в словарь (токен метаданных - байткод).
в хуке идет проверка: если пытается jit'нуться метод из словаря, подменить тело. из-за этого пароль "Hello" из ненастоящего крякми не подошел бы.

поняв алгоритм, можно написать программу, которая заменит тела некоторых методов на настоящие:

using AsmResolver.DotNet;
using AsmResolver.DotNet.Code.Cil;
using AsmResolver.IO;
using AsmResolver.PE.DotNet.Cil;
using System.Text;

string input_path = @"C:\CrackMe.exe";
string output_path = @"C:\patched_CrackMe.exe";
string resource_name = @"6C2A4129";
string xor_key = @"YouCan";

string xor_string(string input)
{
    StringBuilder sb = new();
    for (int i = 0; i < input.Length; i++)
        sb.Append((char)(input[i] ^ xor_key[i % xor_key.Length]));
    return sb.ToString();
}

List<(int method_token, byte[] cil_bytes)> parse_resource_data(byte[] data)
{
    var enc_data = new List<(int, byte[])>();
    using var stream = new MemoryStream(data);
    using var reader = new BinaryReader(stream);

    int count = reader.ReadInt32();

    for (int i = 0; i < count; i++)
    {
        int method_token = reader.ReadInt32();
        string encoded_string = xor_string(reader.ReadString());
        byte[] cil_body = Convert.FromBase64String(encoded_string);
        enc_data.Add((method_token, cil_body));
    }

    return enc_data;
}

var module = ModuleDefinition.FromFile(input_path);
var resource = module.Resources.FirstOrDefault(r => r.Name == resource_name);

var resource_data = resource.GetData();
var encrypted_methods = parse_resource_data(resource_data);

foreach (var (method_token, cil_body) in encrypted_methods)
{
    var method = module.LookupMember(method_token) as MethodDefinition;

    var reader = new BinaryStreamReader(cil_body);
    var operand_resolver = new PhysicalCilOperandResolver(module, method.CilMethodBody);
    var disassembler = new CilDisassembler(reader, operand_resolver);
    var instructions = disassembler.ReadInstructions();

    method.CilMethodBody.Instructions.Clear();
    method.CilMethodBody.Instructions.AddRange(instructions);
}

module.Write(output_path);

далее открываем в декомпиляторе и радуемся жизни.