Взлом dotNET программ

Сейчас на форуме: -Sanchez- (+8 невидимых)

<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 49 . 50 . >>

Посл.ответ	Сообщение
s0l Ранг: 60.6 (постоянный), 20thx Активность: 0.07↘0 Статус: Участник	Создано: 30 августа 2010 22:59 · Поправил: s0l · Личное сообщение · #1 Со времени создания топика много обсудили, во много м разобрались и много осталось за кадром. Решил подшить выкладываемый софт и линки Инструменты: dnSpy - бодрый декомпилятор и отладчик тут беты Gray Wolf - DE-ObfuScatE / Edit IL(Live) / Add payloads / Edit attributes(public/privet) / Copy strong names signing on EXE/DLL ReSharper 6.0 Build 2093 Pre-Release - Очень навороченый декомпилер, побробности --> ТУТ <--. Рег-данные: Code: User Name: ReSharper EAP User License Key: 0-A60kqsqDMPkvPrLC3bz1/jmns4/DAUV6 which is valid until 31 March 2010 Reflector 8.3.3.115 - платный декомпилятор .NET 8.3.0.95 + (дополнение к нему) Седьмая версия рефлектора - думаю все знают Сборка Add-in'ов для Reflector - есть много полезных вещей .Net ID 1.0.0.3 - определение защиты DNiD by Rue - сигнатурный анализатор Dotnet IL Editor (DILE)- Opensource дизассемблер и дебаггер Xenocode Fox Code Analyzer- профайлер и дизассемблер Reactor Decryptor 1.7 - что то декриптит, но что не понятно(с) zeppe1in Simple Assembly Explor (SAE) - Assembler, Disassembler, Deobfuscator, IL editor and more... DotNet Dumper 1.0 - Дампер .net'овских приложений. Подробное описание Kurapica dotNET Tracer 1.1 - трейсер от известного автора инструментов для .net ILSpy 1.0.0.481 - Opensource комбайн, на подобие SAE. Подробности тут dotTrace Performance 4.0.665.4 - Неплохой трейсер для .Net приложений. Умеет делать трейсы не смешивая потоки как KDT. Умеет сравнивать трейсы двух запусков программы Рег-данные: Code: Name: exelab Serial: OLgDSHG0hJghkLdXYJh1IjM3ytMrqKcn Universal Fixer 1.0 - fix dumps after dumping them whit Dotnet Dumper or other similiar tools and will also fix nasty things: multiple assembly/module definitions, wrong extends, etc. iMPROVE .NET Deobfuscator - деобфускатор ConfuserDumper ConfuserDelegateKiller CodeCrackerTools: ConfuserMethodsDecryptor, ConfuserDelegateKiller, ConfuserStringDecryptor, MegaDumper, etc. Статьи с хабры: Защита .NET приложений - Субъективная теоретическая муть с хабры, выдаваемая за обзор обфускаторов(только для фанатов) Как обмануть NET.Reflector - вот это уже годная статья, в которой рассматривается ручная обфускация в стихах и картинках Взлом программ для чайников - ну не знаю...прописные истины, но приятно, что все это есть на русском языке и нормально оформлено Реверс-инжиниринг обфусцированной сборки .NET - один только заголовок чего стоит. По сути статья информативная Инъекции MSIL кода в стороннюю сборку при помощи Mono.Cecil. Реализация принципов АОП в NET Избавление .NET программы от регистрации на примере BEM Снимаем дамп объектов с памяти .Net приложения Другое: .NET Reflector v7.0.0.198 (C# Source by wangshy) [url=http://lifeinhex.com/string-decryption-with-de4dot/]String decryption with de4dot[/url - Last edit: 2012-02-17, Links fixed. Jupiter]

iggvwh Ранг: 9.6 (гость), 5thx Активность: 0.01↘0 Статус: Участник	Создано: 26 декабря 2011 13:41 · Личное сообщение · #2 yanus0 Да, но я компилил проект с копированием локально сборок из GAC и запускал на машине, где этот компонент не установлен - тоже на удивление все работало. Поскольку лицензия на Рантайм != лицензия Дизайнтайм, то возможен вариант, что при компиляции сборки копируются не из GAC. Проверю, откуда копируются сборки. Я вас правильно понимаю, что если сборка в ГАК-е, то при ее изменении валидность StrongName не проверяется?
drone Ранг: 85.4 (постоянный), 51thx Активность: 0.09↘0 Статус: Участник	Создано: 26 декабря 2011 14:15 · Личное сообщение · #3 сделать грязное дело со сборкой, переподписать ее и через gacutil переустановить, чем не выход
yanus0 Ранг: 137.9 (ветеран), 45thx Активность: 0.08↘0 Статус: Участник	Создано: 26 декабря 2011 14:22 · Личное сообщение · #4 iggvwh пишет: Я вас правильно понимаю, что если сборка в ГАК-е, то при ее изменении валидность StrongName не проверяется? Да.
iggvwh Ранг: 9.6 (гость), 5thx Активность: 0.01↘0 Статус: Участник	Создано: 26 декабря 2011 15:00 · Личное сообщение · #5 drone судя по всему в моем случае это и не требуется. К текущей задаче не относится, но все же: встречался ли кому-нибудь софт, который бы переподписывал сборку и каскадно менял ссылки во всех зависимых сборках? Причем если зависимые сборки подписаны - делал аналогичную операцию?
yanus0 Ранг: 137.9 (ветеран), 45thx Активность: 0.08↘0 Статус: Участник	Создано: 26 декабря 2011 16:19 · Личное сообщение · #6 iggvwh пишет: К текущей задаче не относится, но все же: встречался ли кому-нибудь софт, который бы переподписывал сборку и каскадно менял ссылки во всех зависимых сборках? Причем если зависимые сборки подписаны - делал аналогичную операцию? Это оооооооооооочень большой геморой и после 2-3 попыток я даже не пытаюсь так делать. Делаю так: 1. Патчу сборку, деобфусцирыю и т.д. 2. Декомпилирию через ildasm оригинальный файл, сохраняю из него строгую подпись. 3. Декомпилирую патченный файл, добавляю к нему подпись из оригинального, собираю ilasm и добавлю в реестр параметр для отмены проверки строго имени в этой сборки.. Этого хватает в 99% случаях!!!
iggvwh Ранг: 9.6 (гость), 5thx Активность: 0.01↘0 Статус: Участник	Создано: 26 декабря 2011 16:33 · Личное сообщение · #7 yanus0 А можно подробней, в чем гемор? Насколько я представляю главный вопрос - построить дерево зависимостей... Единственный трабл, который я вижу на поверхности - ситуация, когда например 2 сборки ссылаются друг на друга (на практике такого не видел). Ну а дальше - уже технические вопросы, которые думаю можно успешно решить с помощью той же Mono.Cecil. По вашим пунктам вопрос: если вы все равно убиваете верификацию строгого имени в модифицированной сборке - зачем нужны пункты 2 и частично 3?
yanus0 Ранг: 137.9 (ветеран), 45thx Активность: 0.08↘0 Статус: Участник	Создано: 26 декабря 2011 17:33 · Поправил: yanus0 · Личное сообщение · #8 iggvwhГеммор возникает тогда, когда переподписав программа перестает работатать и нужно смотреть ВСЕ сборки, чтобы найти проблему. Пункты 2 и 3 нужны, чтобы сборка нормально грузилась и была видна другим сборкам. Сначала убиваю, а потом востонавливаю. Вопрос к остальным, может кто-то сталкивался: как отключить проверку строго имени в приложении aspx? Через bypassstrongame в реестре не помогает...
zeppe1in Ранг: 127.3 (ветеран), 44thx Активность: 0.09↘0 Статус: Участник	Создано: 26 декабря 2011 20:46 · Поправил: zeppe1in · Личное сообщение · #9 yanus0 пишет: как отключить проверку строго имени в приложении aspx? хз конечно, aspx не видел, да и обычные сборки через реестр не отключалась проверка. зато отключалась после установки Microsoft .NET Framework 3.5 Service pack 1 http://www.microsoft.com/download/en/details.aspx?id=25150 ----- zzz \| Сообщение посчитали полезным: yanus0
drone Ранг: 85.4 (постоянный), 51thx Активность: 0.09↘0 Статус: Участник	Создано: 27 декабря 2011 09:11 · Личное сообщение · #10 iggvwh, сходите на board.b-at-s.info и скачайте strong name helper (автор whoknows), он позволит вам сделать то, что вы описали
BAHEK Ранг: 76.9 (постоянный), 116thx Активность: 0.06↘0 Статус: Участник	Создано: 30 декабря 2011 11:02 · Личное сообщение · #11 PE_Kill пишет: BAHEK кряка не рабочая, выдает что версия устарела и идет обновляться Death только недавно пофиксил -> http://rghost.ru/35672232 Screen: http://i.lulzimg.com/a6a68b4659.png
icerix Ранг: 16.4 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 05 января 2012 20:12 · Личное сообщение · #12 Никто не сталкивался с защитой LogicNP.CryptoLicensing? SnD Dumper берет, но столько мусора, что валит приложение
-Sanchez- Ранг: 57.3 (постоянный), 67thx Активность: 0.06↘0 Статус: Участник	Создано: 06 января 2012 06:54 · Личное сообщение · #13 Во-первых, где жертва? Во-вторых, de4dot пробовали https://github.com/0xd4d/de4dot/downloads? \| Сообщение посчитали полезным: icerix
lolwut98 Ранг: 2.0 (гость) Активность: 0=0 Статус: Участник	Создано: 10 января 2012 14:13 · Личное сообщение · #14 а как расковырять файл, накрытый реактором с опцией "Native EXE File"? де4дот не хочет
drone Ранг: 85.4 (постоянный), 51thx Активность: 0.09↘0 Статус: Участник	Создано: 10 января 2012 15:34 · Личное сообщение · #15 сдампи сначала его - dotnet dumper в шапке \| Сообщение посчитали полезным: lolwut98
lolwut98 Ранг: 2.0 (гость) Активность: 0=0 Статус: Участник	Создано: 10 января 2012 16:42 · Поправил: lolwut98 · Личное сообщение · #16 drone пишет: сдампи сначала его - dotnet dumper в шапке сдампил. как теперь его профиксить? так же, как и обычные программы? или для дотнета нужно что-то другое? upd: увидел фиксер. щас попробую профиксить upd[2]: профиксил - рефлектор и де4дот так же отказываются принимать этот файл
AlexandrK Ранг: 5.1 (гость) Активность: 0=0 Статус: Участник	Создано: 11 января 2012 17:05 · Личное сообщение · #17 Пожалуйста посмотрите файлик http://www.megaupload.com/?d=GP4V8U3L на предмет используемого обфускатора. .Net ID, DNiD by Rue, PEiD, DiE ничего не находят. Заранее спасибо.
zeppe1in Ранг: 127.3 (ветеран), 44thx Активность: 0.09↘0 Статус: Участник	Создано: 11 января 2012 21:44 · Личное сообщение · #18 AlexandrK походу вот это http://www.deepseaobfuscator.com/ а не всё ли равно ----- zzz \| Сообщение посчитали полезным: AlexandrK
AlexandrK Ранг: 5.1 (гость) Активность: 0=0 Статус: Участник	Создано: 12 января 2012 09:30 · Поправил: AlexandrK · Личное сообщение · #19 zeppe1in Спс. А как вы определили если не секрет? Какой софт использовали или по личному опыту? И действительно оказалось все равно, обошелся и без деобфускатора
zeppe1in Ранг: 127.3 (ветеран), 44thx Активность: 0.09↘0 Статус: Участник	Создано: 12 января 2012 20:50 · Личное сообщение · #20 AlexandrK пишет: А как вы определили если не секрет? на гуглил ldtoken pop obfuscator ----- zzz
Airenikus Ранг: 88.2 (постоянный), 111thx Активность: 0.07↘0.01 Статус: Участник	Создано: 20 января 2012 15:54 · Личное сообщение · #21 dotNET Tracer 2.0 Code: What's NEW : 1 - Reverse engineering oriented which means that only important events will be logged 2 - much faster than before 3 - Richer data output 4 - well-hidden from common protection techniques 5 - Finally you can double click any method and you will be driven to Reflector to see the code 6 - I may add plugins support later 7 - You can toggle tracing ON/OFF in runtime, until you open the registration window for example 8 - You can save results to Microsoft excel .xls file for better analysis later 9 - Double* click orange rows to be taken to the loaded module location in Windows Explorer 10 - Double Click the "Parent Class" to be taken to the Class that invoked the method in reflector 11 - Double Click the blue row to be taken to the Method that was called in Reflector 12 - VM Compatible 13 - may require a certain setup on Windows Vista and later due to UAC * Reflector Support is still buggy but it's not my fault Make sure you loaded the needed assemblies in Reflector before using the double clicking feature * Thanks to whoknows and 0xd4d for testing and bug reports --> Link <-- \| Сообщение посчитали полезным: BEZBILETA, yanus0
Enclave Ранг: 12.1 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 14 февраля 2012 22:21 · Поправил: Enclave · Личное сообщение · #22 Airenikus пишет: Eazfuscator.NET Deobfuscator бы под это дело Автоматического деобфускатора пока нет, но разобрался, как оно устроено и как заставить работать защищенную им отреверсенную и повторно скомпиленную сборку. Декодер строк для него тоже довольно просто сделать.
Fallout Ранг: 45.7 (посетитель), 5thx Активность: 0.02↘0 Статус: Участник	Создано: 14 февраля 2012 22:28 · Поправил: Fallout · Личное сообщение · #23 Enclave, Как же нет ?.. Последняя версия de4dot отлично работает, и строки расшифрует и код почистит... и переименует все как надо.... п.с: 1.4 падала на расшифровки строк и приходилось ручками... а сейчас все хорошо.... \| Сообщение посчитали полезным: Enclave
Enclave Ранг: 12.1 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 14 февраля 2012 23:09 · Поправил: Enclave · Личное сообщение · #24 Fallout У меня то нет( de4dot посмотрю, я как то даже не интересовался, сам искал как и что. В основном со строками и чтобы сборка работала после изменения.
Tyrus Ранг: 47.8 (посетитель), 16thx Активность: 0.02↘0.01 Статус: Участник	Создано: 15 февраля 2012 18:00 · Личное сообщение · #25 А по MaxToCode выше версии 3.40 ничего ни у кого нет? а то bigmouse остановился на 3.40 и на этом всё и закончилось?
zeppe1in Ранг: 127.3 (ветеран), 44thx Активность: 0.09↘0 Статус: Участник	Создано: 15 февраля 2012 20:44 · Поправил: zeppe1in · Личное сообщение · #26 Tyrus можно таргет? а то никогда не видел этот MaxToCode. upd по ссылке все линки дохлые. посты 2009 года ----- zzz
Tyrus Ранг: 47.8 (посетитель), 16thx Активность: 0.02↘0.01 Статус: Участник	Создано: 15 февраля 2012 22:52 · Личное сообщение · #27 zeppe1in да примеров то в сети много вот например: --> Link <-- а на моем таргете как я сейчас понял уже не MaxToCode, а DNGuard HVM...
Airenikus Ранг: 88.2 (постоянный), 111thx Активность: 0.07↘0.01 Статус: Участник	Создано: 16 февраля 2012 11:48 · Личное сообщение · #28 Иногда детекторы путают MaxToCode с reactor'ом =)
sendersu Ранг: 512.7 (!), 360thx Активность: 0.27↘0.03 Статус: Модератор	Создано: 16 февраля 2012 12:19 · Личное сообщение · #29 Tyrus пишет: вот например: --> Link <-- вчера глянул, все 3и штуки как раз .net reactor
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 16 февраля 2012 12:37 · Личное сообщение · #30 Вообще MaxToCode мертвый проект, демка не смогла запротектить фреймворк4.0.
Tyrus Ранг: 47.8 (посетитель), 16thx Активность: 0.02↘0.01 Статус: Участник	Создано: 16 февраля 2012 16:23 · Личное сообщение · #31 Ну у меня точно был MaxToCode - рантайм длл-ка даже в ReMax грузилась и находила зависимые защищенные длл-ки, которые через нее запускались. а сейчас DNGuard HVM - по нему вообще пока похоже ничего нет.

<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 49 . 50 . >>

Для печати