Сейчас на форуме: -Sanchez- (+8 невидимых)

 eXeL@B —› Основной форум —› Взлом .NET (part 2)
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 15 . 16 . >>
Посл.ответ Сообщение


Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 12 сентября 2017 12:06
· Личное сообщение · #1

Со времени создания топика много обсудили, во много м разобрались и много осталось за кадром. Решил подшить выкладываемый софт и линки

Инструменты:

dnSpy - бодрый декомпилятор и отладчик тут беты

Gray Wolf - DE-ObfuScatE / Edit IL(Live) / Add payloads / Edit attributes(public/privet) / Copy strong names signing on EXE/DLL
ReSharper 6.0 Build 2093 Pre-Release - Очень навороченый декомпилер, побробности --> ТУТ <--.
Рег-данные:
Code:
  1. User Name: ReSharper EAP User
  2. License Key: 0-A60kqsqDMPkvPrLC3bz1/jmns4/DAUV6
  3. which is valid until 31 March 2010

Reflector 8.3.3.115 - платный декомпилятор .NET 8.3.0.95 + (дополнение к нему)
Седьмая версия рефлектора - думаю все знают
Сборка Add-in'ов для Reflector - есть много полезных вещей
.Net ID 1.0.0.3 - определение защиты
DNiD by Rue - сигнатурный анализатор
Dotnet IL Editor (DILE)- Opensource дизассемблер и дебаггер
Xenocode Fox Code Analyzer- профайлер и дизассемблер
Reactor Decryptor 1.7 - что то декриптит, но что не понятно(с) zeppe1in
Simple Assembly Explor (SAE) - Assembler, Disassembler, Deobfuscator, IL editor and more...
DotNet Dumper 1.0 - Дампер .net'овских приложений. Подробное описание
Kurapica dotNET Tracer 1.1 - трейсер от известного автора инструментов для .net
ILSpy 1.0.0.481 - Opensource комбайн, на подобие SAE. Подробности тут
dotTrace Performance 4.0.665.4 - Неплохой трейсер для .Net приложений. Умеет делать трейсы не смешивая потоки как KDT. Умеет сравнивать трейсы двух запусков программы
Рег-данные:
Code:
  1. Name: exelab
  2. Serial: OLgDSHG0hJghkLdXYJh1IjM3ytMrqKcn

Universal Fixer 1.0 - fix dumps after dumping them whit Dotnet Dumper or other similiar tools and will also fix nasty things: multiple assembly/module definitions, wrong extends, etc.
iMPROVE .NET Deobfuscator - деобфускатор


ConfuserDumper
ConfuserDelegateKiller
CodeCrackerTools: ConfuserMethodsDecryptor, ConfuserDelegateKiller, ConfuserStringDecryptor, MegaDumper, etc.

Документация:
--> Microsoft <--
--> Metadata and File Format <--
--> CIL(опкоды с полным пояснениями) <--

Статьи с хабры:
Защита .NET приложений - Субъективная теоретическая муть с хабры, выдаваемая за обзор обфускаторов(только для фанатов)
Как обмануть NET.Reflector - вот это уже годная статья, в которой рассматривается ручная обфускация в стихах и картинках
Взлом программ для чайников - ну не знаю...прописные истины, но приятно, что все это есть на русском языке и нормально оформлено
Реверс-инжиниринг обфусцированной сборки .NET - один только заголовок чего стоит. По сути статья информативная
Инъекции MSIL кода в стороннюю сборку при помощи Mono.Cecil. Реализация принципов АОП в NET
Избавление .NET программы от регистрации на примере BEM
Снимаем дамп объектов с памяти .Net приложения

Другое:
.NET Reflector v7.0.0.198 (C# Source by wangshy)
String decryption with de4dot

Прошлый топик https://exelab.ru/f/action=vthread&forum=1&topic=16650&page=-1

-

Last edit: 2012-02-17, Links fixed. Jupiter

| Сообщение посчитали полезным: prorab777, ViruSZ7

Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 08 декабря 2017 10:25 · Поправил: Medsft
· Личное сообщение · #2

sendersu ну почему так сразу то) последний peid показывает что там ее(фимы) нет. h__p://dropmefiles.com/SQ1aP

Добавлено спустя 3 минуты
сама эта dll чекает jit проверяет наличие отладчиков.
Давай чувак) запатчишь эти места и вернешь) я тебя не забуду)

Добавлено спустя 10 минут
(Но что то там навешано на нее (agile..dll ) все же.



Ранг: 21.5 (новичок), 4thx
Активность: 0.01↗0.03
Статус: Участник

 Создано: 08 декабря 2017 17:52
· Личное сообщение · #3

Medsft пишет:
ну почему так сразу то) последний peid показывает что там ее(фимы) нет. h__p://dropmefiles.com/SQ1aP

В пакете Agile.NET фемида навешена на про версию.
AgileDotNetRTPro.dll (AgileDotNetRT64Pro.dll)
Вот версия 6.3.0.5:
_h_t_t_p_s_://fex.net/#!532516462159




Ранг: 748.2 (! !), 390thx
Активность: 0.37↘0
Статус: Участник
bytecode!

 Создано: 09 декабря 2017 11:45
· Личное сообщение · #4

dnSpy v4.5.0-beta
Added a Unity debug engine, see the wiki

-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

| Сообщение посчитали полезным: ajax, CyberGod, Jaa, SReg, mak

Ранг: 512.7 (!), 360thx
Активность: 0.27↘0.03
Статус: Модератор

 Создано: 11 декабря 2017 11:53
· Личное сообщение · #5

ILSpy (iMHO) имеет одно из лучших двиглов декомпиля на моменте (dnSpy пользует еще старую ветку ильспая)

https://github.com/icsharpcode/ILSpy/releases
nuget https://www.nuget.org/packages/ICSharpCode.Decompiler/
vs ext https://marketplace.visualstudio.com/items?itemName=icsharpcode.ilspy-vscode

| Сообщение посчитали полезным: mak

Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 12 декабря 2017 10:57 · Поправил: Medsft
· Личное сообщение · #6

sendersu пишет:
uget https://www.nuget.org/packages/ICSharpCode.Decompiler/ - залез поглядеть, правила декомпиляции стали еще жестче, чуть обфускации падает наглухо. Поправить можно но это пока бетка, хрен знает чего они еще изменят в двиглах. А так typed IL прикольный.. чтото типа ida-шный выхлоп сишника.



Ранг: 81.0 (постоянный), 88thx
Активность: 0.07↘0.02
Статус: Участник

 Создано: 14 декабря 2017 20:09
· Личное сообщение · #7

freudz пишет:
Хай, ALL

У кого-нить есть AgileDotNetRT.dll версии ниже 6.5.0.2 (6.х)

http://dropmefiles.com/5g9FP

SecureTeam 6.1.4
SecureTeam 6.2.0.7
SecureTeam 6.3.0.05
SecureTeam 6.3.0.10
SecureTeam 6.3.0.19
SecureTeam 6.4.0.1
AgileDotNetCPInstaller.exe - 6.3.2.0
AgileDotNetInstaller.exe - 6.3.0.17

| Сообщение посчитали полезным: Medsft, freudz


Ранг: 748.2 (! !), 390thx
Активность: 0.37↘0
Статус: Участник
bytecode!

 Создано: 15 декабря 2017 11:44 · Поправил: 4kusNick
· Личное сообщение · #8

sendersu пишет:
dnSpy пользует еще старую ветку ильспая
Он насколько я понял использует для декомпиляции dnlib, что позволяет разбирать сильно похеренные обфускаторами вещи, с чем не справляется движок ILSpy.
Возможно что-то понял не так.

-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

Ранг: 590.4 (!), 408thx
Активность: 0.36↘0.18
Статус: Модератор

 Создано: 15 декабря 2017 13:45
· Личное сообщение · #9

4kusNick
ILSpy используется как декомпилятор (IL->*). dnlib вроде только для разбора сборок на составные.

-----
старый пень

Ранг: 512.7 (!), 360thx
Активность: 0.27↘0.03
Статус: Модератор

 Создано: 15 декабря 2017 13:48
· Личное сообщение · #10

4kusNick пишет:
Он насколько я понял использует для декомпиляции dnlib
dnlib - разработка автора, наверное самая крутая дот нет библиотека по чтению-записи дот нет сборок включая все что только можно. Писалась спецом как замена хлипкой библиотеки Mono.Cecil для самого мощного деобфускатора - de4dot

для декомпиляции же IL -> C# используется двиг ILSpy (насколько я вижу еще старая ветка, что не умеет анализировать CompilerGenerated stuff)



Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 15 декабря 2017 14:18
· Личное сообщение · #11

4kusNick r_e sendersu
Дети мои не спорьте.
Обратите взоры свои на сей скрин, где обведенное мной уже по смыслу напоминает тему вашего обсуждения
h__p://prntscr.com/hntybh эти компоненты присутствуют и там и там. Не позорьте)

Добавлено спустя 3 минуты
dnlib и mono.cecil - друг от друга ничем не отличаться их задача прочитать сборку и все.
p.s. mono.cecil естественно в моей редакции)))

| Сообщение посчитали полезным: sefkrd


Ранг: 748.2 (! !), 390thx
Активность: 0.37↘0
Статус: Участник
bytecode!

 Создано: 15 декабря 2017 16:20
· Личное сообщение · #12

Ага, соряныч, почему-то решил что dnlib ещё и для декомпиляции IL, а не только парсинга ассембли.
Столько хороших инструментов вокруг! =)

-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

Ранг: 21.5 (новичок), 4thx
Активность: 0.01↗0.03
Статус: Участник

 Создано: 15 декабря 2017 17:50
· Личное сообщение · #13

uncleua
Благодарствуйте за аджайл!
Попробую разных версий библиотеки.

На текущий момент мне удалось снять themida/winlicense с AgileDotNetRT.dll 6.5.0.2 с помощью скрипта LCF-AT с комбинацией различных опций. 32битную версию конечно, ибо к 64битной пока не знаю как подойти даже.

Получается таргет распаковывает эту рантайм либу в темп директорию и не оверрайтит ее, если там файл уже есть. Это позволило подменять AgileDotNetRT.dll перед распаковкой/деобфускацией de4dot.

Теперь de4dot падает уже в другом месте (ранее не могло хукнуть CompileMethod):
Code:
  1. Using dynamic method decryption
  2. ERROR: 
  3. ERROR: 
  4. ERROR: 
  5. ERROR: ------------------------------------------------------------------------------
  6. ERROR: Stack trace:
  7. ERROR: 
  8.  
  9. ERROR: Server stack trace: 
  10.  
  11. ERROR:    at System.Runtime.CompilerServices.RuntimeHelpers._RunModuleConstructor(RuntimeModule module)
  12.  
  13. ERROR:    at de4dot.mdecrypt.DynamicMethodsDecrypter.LoadObfuscator()
  14.  
  15. ERROR:    at AssemblyData.MethodDecrypterService.LoadObfuscator(String filename)
  16.  
  17. ERROR:    at System.Runtime.Remoting.Messaging.StackBuilderSink._PrivateProcessMessage(IntPtr md, Object[] args, Object server, Object[]& outArgs)
  18.  
  19. ERROR:    at System.Runtime.Remoting.Messaging.StackBuilderSink.SyncProcessMessage(IMessage msg)
  20.  
  21. ERROR: 
  22.  
  23. ERROR: Exception rethrown at [0]: 
  24.  
  25. ERROR:    at System.Runtime.Remoting.Proxies.RealProxy.HandleReturnMessage(IMessage reqMsg, IMessage retMsg)
  26.  
  27. ERROR:    at System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke(MessageData& msgData, Int32 type)
  28.  
  29. ERROR:    at AssemblyData.IMethodDecrypterService.LoadObfuscator(String filename)
  30.  
  31. ERROR:    at de4dot.code.deobfuscators.MethodsDecrypter.Decrypt2(ServerClrVersion serverVersion, String filename, Byte[] moduleCctorBytes)
  32.  
  33. ERROR:    at de4dot.code.deobfuscators.MethodsDecrypter.Decrypt(ServerClrVersion serverVersion, String filename, Byte[] moduleCctorBytes)
  34.  
  35. ERROR:    at de4dot.code.deobfuscators.MethodsDecrypter.Decrypt(ModuleDef module, Byte[] moduleCctorBytes)
  36.  
  37. ERROR:    at de4dot.code.deobfuscators.Agile_NET.MethodsDecrypter.Decrypt(MyPEImage peImage, ModuleDefMD module, CliSecureRtType csRtType, DumpedMethods& dumpedMethods)
  38.  
  39. ERROR:    at de4dot.code.deobfuscators.Agile_NET.Deobfuscator.GetDecryptedModule(Int32 count, Byte[]& newFileData, DumpedMethods& dumpedMethods)
  40.  
  41. ERROR:    at de4dot.code.ObfuscatedFile.Deobfuscate()
  42.  
  43. ERROR:    at de4dot.cui.FilesDeobfuscator.DeobfuscateAllFiles(IEnumerable`1 allFiles)
  44.  
  45. ERROR:    at de4dot.cui.FilesDeobfuscator.DeobfuscateAll()
  46.  
  47. ERROR:    at de4dot.cui.FilesDeobfuscator.DoIt()
  48.  
  49. ERROR:    at de4dot.cui.Program.Main(String[] args)
  50. ERROR: 
  51. ERROR: 
  52. ERROR: Caught an exception:
  53. ERROR: 
  54. ERROR: ------------------------------------------------------------------------------
  55. ERROR: Message:
  56. ERROR:   The type initializer for '<Module>' threw an exception.
  57. ERROR: Type:
  58. ERROR:   System.TypeInitializationException
  59. ERROR: ------------------------------------------------------------------------------
  60. ERROR: 
  61. ERROR: Try the latest version!


Я чего-то сомневаюсь правильно ли распакована рантайм длл (однако проверял loaddll.exe из олли - грузит)... Значит ли подобный эксепшен, что de4dot просто не знает как новый Agile.NET обрабатывать?

Направьте пожалуйста куда дальше рыть... может я вообще по ложному пути пошел...



Ранг: 8.0 (гость)
Активность: 0.01↘0
Статус: Участник

 Создано: 16 декабря 2017 09:54
· Личное сообщение · #14

i need this version my friends


Ранг: 337.6 (мудрец), 224thx
Активность: 0.21↘0.1
Статус: Участник
born to be evil

 Создано: 16 декабря 2017 14:33
· Личное сообщение · #15

freudz
ес-но не знает, agile свежее, чем он саппортит

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным: freudz

Ранг: 21.5 (новичок), 4thx
Активность: 0.01↗0.03
Статус: Участник

 Создано: 16 декабря 2017 17:09
· Личное сообщение · #16

ajax
дык, можешь пнуть в нужном направлении куда рыть? =)
разбирать новые крипт\декрипты из сдампленой длл?
или есть более простой метод?




Ранг: 337.6 (мудрец), 224thx
Активность: 0.21↘0.1
Статус: Участник
born to be evil

 Создано: 18 декабря 2017 11:35 · Поправил: ajax
· Личное сообщение · #17

freudz
вроде очевидно, зависит от цели - либо разбирать VM и допиливать дедот, если нужен алго, либо искать дырку в конкретном софте, чтобы зарегать, не трогая VM.
забыл, что за софт копаете. забейте, там алгоритмы в ключе, если помню правильно

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

Ранг: 21.5 (новичок), 4thx
Активность: 0.01↗0.03
Статус: Участник

 Создано: 18 декабря 2017 12:23
· Личное сообщение · #18

ajax пишет:
забейте, там алгоритмы в ключе, если помню правильно
это и хочу посмотреть. реализацию. =)

если возвращаться к теме Agile.NET, Вам каким образом удалось получить чистый код? Опять же, разбирали ВМ и уже модифицировали de4dot? Или каким другим способом смогли? Натолкните на мысль...



Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 21 декабря 2017 12:52
· Личное сообщение · #19

freudz скажи мне пожалуйста а de4dot пустить под дебагом не судьба?

Посмотри на каком этапе падает то? Что сюда ошибки которые выплевавает дед писать ...
На данный момент дед знает 6 версий виртуальных машин agile но по мне так он у тебя не доходит до использования девирт.методов.
Доходит у тебя до детекта машины или нет?

| Сообщение посчитали полезным: freudz


Ранг: 88.2 (постоянный), 111thx
Активность: 0.07↘0.01
Статус: Участник

 Создано: 23 декабря 2017 03:26
· Личное сообщение · #20

--> Link <--

The dnSpy repository may have been compromised. All previous releases have been removed, and the repository is currently archived on GitHub.

https://github.com/0xd4d/dnSpy

Beware.




Ранг: 748.2 (! !), 390thx
Активность: 0.37↘0
Статус: Участник
bytecode!

 Создано: 23 декабря 2017 13:44
· Личное сообщение · #21

Apocalypse
Не поддавайтесь паническим настроениям отдельных граждан, все хорошо.

I set it to read-only because I didn't plan on updating it for a while and didn't want to get any more issues (you can't set it to read-only, just enable/disable it)

-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

| Сообщение посчитали полезным: sefkrd

Ранг: 512.7 (!), 360thx
Активность: 0.27↘0.03
Статус: Модератор

 Создано: 23 декабря 2017 15:39
· Личное сообщение · #22

Apocalypse пишет:
--> Link <--

--
Sorry, that page does’t exist!
--
утка?




Ранг: 77.2 (постоянный), 73thx
Активность: 0.19↘0.15
Статус: Участник

 Создано: 24 декабря 2017 00:45 · Поправил: sefkrd
· Личное сообщение · #23

sendersu
Нет, не паштет(утиный) ..
Я читал его..
Ничего особенного..
У человека случилась паническая атака..



Ранг: 4.0 (гость)
Активность: 0.01↘0
Статус: Участник

 Создано: 24 декабря 2017 14:03
· Личное сообщение · #24

dll накрыта СliSecure и CryptoObfuscator
Первое снимается после декрипта строк. Второй валится на обычном де4дот с ошибкой ресурса, фикшеный де4дот валится просто без сообщений.

bed8_24.12.2017_EXELAB.rU.tgz - PoloniexDemoStart-Decrypted-cleaned.dll



Ранг: 105.6 (ветеран), 69thx
Активность: 0.06↘0
Статус: Участник

 Создано: 26 декабря 2017 18:03 · Поправил: JohnyDoe
· Личное сообщение · #25

Есть ничем незашишенное приложение. Собрано под 64 бита. ildasm/ilasm пересобирает в 32 бита вроде без проблем. Но при запуске оно валится. Ругается на то что не может загрузить какой-то файл. Ситуация похожа на ту, которая возникает, когда версия FrameWork'а использованная при сборке выше, чем доступная в ОС. Это как-то решаемо? Пробовал сравнить два il файла после ildasm. Взял второй от самого простого приложения написанного на C#. Отличий особых вроде бы и нет. Они видимо есть, но я их не вижу. Сборку вообще можно конвертировать как-то?




Ранг: 77.2 (постоянный), 73thx
Активность: 0.19↘0.15
Статус: Участник

 Создано: 26 декабря 2017 18:09 · Поправил: sefkrd
· Личное сообщение · #26

JohnyDoe
Создай vs проект с помощью dnspy, и можешь пересобрать как угодно..



Ранг: 105.6 (ветеран), 69thx
Активность: 0.06↘0
Статус: Участник

 Создано: 26 декабря 2017 18:36
· Личное сообщение · #27

sefkrd
Ага, понял, что просто так не выйдет. Нужно для начала внести правки относительно несовместимости с текущим фреймворком.



Ранг: 2.0 (гость)
Активность: 0=0
Статус: Участник

 Создано: 31 декабря 2017 11:19
· Личное сообщение · #28

freudz поделитесь пожалуйста чистым AgileDotNetRT.dll 6.4.0.29 без Themida.
Или подскажите, как можно убедить Themid-у не падать при виде отладчика в Visual Studio?
Пробовал чистить AgileDotNetRT.dll от Themida скриптами от LCF-AT, но все впустую, библиотека выходит неработоспособной, может потому что там цифровая подпись была, или скрипты криво настроил, подскажите настройки для LCF-AT пожалуйста.
Вот собственно сам AgileDotNetRT.dll 6.4.0.29 под Themida http://rgho.st/7sZc5MNy2



Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 09 января 2018 12:37
· Личное сообщение · #29

ronin0x0 пишет:
freudz поделитесь пожалуйста чистым AgileDotNetRT.dll 6.4.0.29 без Themida. присоединяюсь!



Ранг: 330.4 (мудрец), 334thx
Активность: 0.16↗0.17
Статус: Участник
ILSpector Team

 Создано: 16 января 2018 09:09
· Личное сообщение · #30

И что господа никто NET сообщество осчастливить не хочет с AgileDotNetRT.dll фимку снять?)))



Ранг: 21.5 (новичок), 4thx
Активность: 0.01↗0.03
Статус: Участник

 Создано: 18 января 2018 16:37 · Поправил: freudz
· Личное сообщение · #31

Medsft,ronin0x0

Комрады, я работал с 6.5.0.2.
Залил сюда: _h_t_t_p_s_://fex.net/#!517678833289

За работоспособность не ручаюсь, ибо таргет был 64бита и юзал анменеджед либы, так что пришлось несколько по другому решать... =))

| Сообщение посчитали полезным: JohnDow
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 15 . 16 . >>
 eXeL@B —› Основной форум —› Взлом .NET (part 2)
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати