记录一次.net项目的破解过程

声明：本CSDN博客中的所有文章均为本人原创 请勿转载

注意：本次演示破解了一个当前网络的商业项目，请务必遵守互联网及软件版权的相关规定。不要对原公司造成侵权，及利益上的侵害。

同时，我也无意侵犯该商业项目的相关权益。下面的内容仅供学习交流。

[如何破解]
破解一个软件，最强大，最直接，最让人情有独钟的非调试莫属。不管怎样，调试方式几乎像一把软件的解剖刀。无所不能。通过调试，能够窥探加密，为程序去壳，解密口令，修改源码，这些关键的操作在许多强大的工具支持下其实并不困难，一些很著名的工具可以帮助我们轻松完成。微软也提供了一些调试工具，如winDbg，虽然它可能不是最强大的，但却是最适应于windows调试的工具。

软件的加密，加壳，证书等手段都是人们总结的能够抵制破解的一些方法。正如人们所说，没有一个软件是完美的，也没有一个软件是不能被破解的。
这次演示中并不打算使用调试，而是一种类似测试中的“白盒”形式来分析并提出方案。专业的建议使用调试。
下面简单聊几句.net的基础知识，这些是我们使用.net的基础。
作为.net应用程序，它依赖于.net的CLR运行，CLR（公共语言运行时）是.net平台的核心，它管理了一个内存区，将其称为托管堆。所以许多人称.net程序为托管应用程序。一般WIN32等程序使用的内存分配直接由操作系统管理，即存储在操作系统的分配的堆栈上。但.net内存由CRL管理。因此，当应用层发生异常时，将不会直接抛向操作系统，而是首先由CLR接管并处理。CLR自身很难出现异常。所以，这样的程序在一定程度上是安全的。CRL内驻留的一个GC（垃圾回收）进程来专门负责对象的回收任务。GC的出现降低了程序开发人员的内存管理负担，同时在一定程度上防止了疏忽造成的内存泄露。
CLR类似于一个虚拟CPU，只不过它面向的数据不是进制码，而是MSIL。MSIL（简称IL），是微软创建的一种中间语言。微软的.net平台的语言无关性就是靠它来体现。在NET平台上，你可以使用多种语言进行开发，最终，将被编译为同一种MSIL语言。你可以将其看做一种低级的类似Win32/64汇编的语言。一句话，.net编译生成的文件exe,Dll等，都是以MSIL码存储的。它只有在运行时才会被JIT即时译为适应于目标机器CPU的语言。而不像C，C++等是直接的机器语言。事实上如JAVA等有平台虚拟机的程序框架都具有如此的特征。JAVA就是被译为JVM可执行的字节码存放。这样的好处是跨平台能力增强。并且具备了一次编译多次运行的较强移植能力。

上面的基础应该足够了，回到正题，我们要破解一个软件，在不通过调试时似乎理解源码是至关重要的，因为我们需要知道软件中在哪些地方进行了限制。但没有源码，就必须有一定的低层知识。由一些MFC，WIN32等直接生成的文件已经成了二进制代码，经过了一系列的链接，和优化，已经和源代码相去甚远了，你可以使用如UltraEdit的工具直接查看甚至修改二进制文件，但这几乎不可行，不过你可以反汇编，汇编语言要好理解多了，想返回源码的想法在Win32/64下最好打消。但在.net下却可以很好的还原到一定的程度。汇编你可能也不太熟悉，但.net生成的是MSIL，所以，我们只需要看MSIL。和汇编一样，MSIL也是由一些助记符构成的，这些指令的含意，你可以在微软的相关技术文档上查阅。我就在此不多延伸。
既然我们看到的DLL都是MSIL，那么我们可以通过VS下的工具箱中的IL DASM来查看MSIL。IL DASM 和IL ASM工具都是微软提供的比较基础和强大的反IL工具。

[寻找突破口]

从演示项目中找到可能使用证书的页面或者事件,逐渐排除一些无关的业务逻辑。首先我们登陆系统。可以发现，当前系统没有注册。



其次找到验证的入口，点击“未授权网站”铵钮。打开如下页面：



可以看到，底部有一个上传证书的文本框。根据WEB程序的特点。这些处理全部集中在下面“确认提交”这个事件中完成的。单击右键-》属性，可以看到该页面的名称，然后在VS项目下找到该页面。但我们从原页面程序中并没有看到该事件的处理函数。Asp.net的机制是后台与页面相分离，通过页面指令来关联后台文件，所以，使用VS环境寻找并打开这一页面源码，可以看到后台地址的映射：



可以看到，后台程序放在了ShopWe 空间下的Admin_ShopWeCert类。

这个名为ShopWe的DLL在Bin目录下。



[顺藤摸瓜 寻找相应的工作模块]
既然锁定了入口的DLL，我们便可以使用VS提供的IL DASM工具反射原程序集，我不想在此说反射是多么强大的一种工具，这全归功于元数据集。
在 程序-》SDK-》工具，打开DASM，然后选择“文件”=-》选择SHOPWE ，即可打开该DLL，如下图所示。



上面清楚的列举了当前模块中的类，方法，字段和属性，还有版本等信息。

对于右侧的三角符号，正方形的含义不清楚的，可以查下IL DASM的用法中有介绍。

蓝色的“集成快”表示类，“集成块”中间有I标识的是接口，向右红三角表示版本，元数据信息，平行四边形表示字段，向上红三角表示属性，正方形是方法。带S的是静态方法。
如果不清楚，请单击IL DSAM 帮助菜单。或者查找 该工具用法。

在页面的提交事件中，我们已经看到，该事件的处理函数为Submit_Click



双击列表中的Submit_Click方法以查看MSIL代码。下面是该方法的MSIL码：
.method family hidebysig instance void Submit_Click(object sender,
class [mscorlib]System.EventArgs e) cil managed
{
// 代码大小 250 (0xfa)
.maxstack 5
.locals init (class [Common]ShopWe.Common.XMLControl V_0)
IL_0000: ldarg.0
IL_0001: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert
IL_0006: callvirt instance bool [System.Web]System.Web.UI.WebControls.FileUpload::get_HasFile()
IL_000b: brfalse.s IL_0031
IL_000d: br IL_00d9
IL_0012: ret
IL_0013: ldarg.0
IL_0014: ldfld class [System.Web]System.Web.UI.HtmlControls.HtmlInputText Admin_WebSetting_Cert::cert
IL_0019: callvirt instance string [System.Web]System.Web.UI.HtmlControls.HtmlInputControl::get_Value()
IL_001e: ldsfld string [mscorlib]System.String::Empty
IL_0023: call bool [mscorlib]System.String::op_Inequality(string,
string)
IL_0028: brtrue.s IL_009a
IL_002a: ldc.i4 0x1
IL_002f: brfalse.s IL_0062
IL_0031: ldarg.0
IL_0032: callvirt instance class [System.Web]System.Web.UI.Page [System.Web]System.Web.UI.Control::get_Page()
IL_0037: callvirt instance class [System.Web]System.Web.UI.ClientScriptManager [System.Web]System.Web.UI.Page::get_ClientScript()
IL_003c: ldarg.0
IL_003d: call instance class [mscorlib]System.Type [mscorlib]System.Object::GetType()
IL_0042: ldstr ""
IL_0047: ldstr "gnjikabjhphjdapjhpfklpmkmpdldmkldobmloimbopmlognko"
+ "nnljeohjloamcpcnjpgnaaenhailoadmfbmkljpobiafhkbdalpbmjgiildgfehojlmeeoj"
+ "colopnoakhlolfnkcgmndnheehocdfoahlpmboodmnakiaaflaaaeglpdnloeemmelmmdcn"
+ "nhjnkgaoghhokgooogfppgmpgdda"
IL_004c: ldc.i4 0x921899a
IL_0051: call string xb9d8bb5e6df032aa.x1110bdd110cdcea4::_xaacba899487bce8c(string,
int32)
IL_0056: call string [mscorlib]System.String::Intern(string)
IL_005b: callvirt instance void [System.Web]System.Web.UI.ClientScriptManager::RegisterStartupScript(class [mscorlib]System.Type,
string,
string)
IL_0060: br.s IL_0098
IL_0062: newobj instance void [Common]ShopWe.Common.XMLControl::.ctor()
IL_0067: stloc.0
IL_0068: ldloc.0
IL_0069: ldarg.0
IL_006a: call instance class [System.Web]System.Web.HttpServerUtility [System.Web]System.Web.UI.Page::get_Server()
IL_006f: ldstr "~/Setting/ShowSetting.xml"
IL_0074: callvirt instance string [System.Web]System.Web.HttpServerUtility::MapPath(string)
IL_0079: ldstr "root/Cert"
IL_007e: ldarg.0
IL_007f: ldfld class [System.Web]System.Web.UI.HtmlControls.HtmlInputText Admin_WebSetting_Cert::cert
IL_0084: callvirt instance string [System.Web]System.Web.UI.HtmlControls.HtmlInputControl::get_Value()
IL_0089: callvirt instance void [Common]ShopWe.Common.XMLControl::UpdateInnerText(string,
string,
string)
IL_008e: ldc.i4 0xfffffffe
IL_0093: brtrue IL_0012
IL_0098: br.s IL_00f9
IL_009a: ldarg.0
IL_009b: ldstr "~/cert/"
IL_00a0: call instance string [System.Web]System.Web.UI.Page::MapPath(string)
IL_00a5: call bool [mscorlib]System.IO.Directory::Exists(string)
IL_00aa: brfalse.s IL_00de
IL_00ac: ldarg.0
IL_00ad: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert
IL_00b2: ldarg.0
IL_00b3: call instance class [System.Web]System.Web.HttpServerUtility [System.Web]System.Web.UI.Page::get_Server()
IL_00b8: ldstr "~/cert/"
IL_00bd: callvirt instance string [System.Web]System.Web.HttpServerUtility::MapPath(string)
IL_00c2: ldarg.0
IL_00c3: ldfld class [System.Web]System.Web.UI.WebControls.FileUpload Admin_WebSetting_Cert::UploadCert
IL_00c8: callvirt instance string [System.Web]System.Web.UI.WebControls.FileUpload::get_FileName()
IL_00cd: call string [mscorlib]System.String::Concat(string,
string)
IL_00d2: callvirt instance void [System.Web]System.Web.UI.WebControls.FileUpload::SaveAs(string)
IL_00d7: br.s IL_00f4
IL_00d9: br IL_0013
IL_00de: ldarg.0
IL_00df: ldstr "~/cert/"
IL_00e4: call instance string [System.Web]System.Web.UI.Page::MapPath(string)
IL_00e9: call class [mscorlib]System.IO.DirectoryInfo [mscorlib]System.IO.Directory::CreateDirectory(string)
IL_00ee: pop
IL_00ef: ldc.i4.0
IL_00f0: brtrue.s IL_00ac
IL_00f2: br.s IL_00ac
IL_00f4: br IL_0062
IL_00f9: ret
} // end of method Admin_WebSetting_Cert::Submit_Click

如果你对MSIL还不了解，那么必然会面对上面的代码感到迷惑。不要紧，我只所以刚才将其描述为助记符是有原因的，上面的指令（第二列）表示了一些特定的意义。你也应该发现，这些指令是一些单词的简单形式：如：ret (return)
还有意思类的：.ldstr (load string) ，call （调用静态方法）callvirt（调用实例方法）ldarg（加载参数）
Ld这个前缀预示着要向托管堆分配内存并复制数据。
我们同时看到有熟悉的类库成员，一般使用类库时就会以类似原形的形式出现在代码中。
第一列是什么意思？怎么那么像地址。它就是地址，这种地址是相对地址，用于进行指令跳转，并不是内存中的真正地址。
上面蓝色的部分只是我在第一次接触MSIL时的猜测。之所以写出来是想让别人多一种懒人的办法。MSIL的相关知识建议看国外较为权威的书籍，或者去MSDN上进行指令含义的速查。想学MSIL，我可以推荐几本书，当前引进国内的这一方面的书几乎没有。

[查看DLL的内部，跟踪验证函数的思路，确定修改地点和修改方式]
现在我们分析上面的代码，不论怎样，这个事件当中必然有验证证书的逻辑。我们只需要先定位这段逻辑。
我们发现这段核心的验证代码：



其它的代码很明显是属于一般的IO操作。这一段初始了一个ValidateCert对象并调用它的一个返回BOOL的ValidCert方法。由IF来判断，因此，这一段属于验证判断。是我们需要修改的部分。很明显，我们可以取掉这段IF判断，只让其顺序执行为真的代码即可。

类似于下面的代码：
If(true)
{
//TO DO：合法证书操作
}else{
//TO DO: 不合法证书
}
但是，根据一般编程规律。一个验证逻辑应该被共享。因为如果验证仅仅在该事件被触发时才验证一次，那么当页面加载时，如果判断该软件是否注册？所以，很明显这个验证会在许多地方进行。我们要一一找出并修改，的确是一件很麻烦的事。但假设它们的验证点调用的是一个验证方法呢？事实上前面已经说了，这个逻辑应该被共享，所以，我们在这里不应该去改，而继续追踪 ValidCert方法。
下图为该验证类ValidateCert：



这个方法的代码如下，

.method public hidebysig instance bool ValidCert() cil managed
{
// 代码大小 311 (0x137)
.maxstack 5
.locals init (class [Common]ShopWe.Common.XMLControl V_0,
char[] V_1,
string[] V_2,
bool V_3,
bool V_4)
.try
{
IL_0000: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
IL_0005: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
IL_000a: ldstr "~/Certificate.xml"
IL_000f: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string)
IL_0014: call bool [mscorlib]System.IO.File::Exists(string)
IL_0019: brfalse.s IL_0020
IL_001b: br IL_00d7
IL_0020: ldc.i4.0
IL_0021: stloc.3
IL_0022: ldloc V_3
IL_0026: conv.u4
IL_0027: ldloc V_3
IL_002b: conv.u4
IL_002c: add
IL_002d: ldc.i4.0
IL_002e: clt.un
IL_0030: stloc V_4
IL_0034: ldloc V_4
IL_0038: brfalse.s IL_0075
IL_003a: ldc.i4.1
IL_003b: stloc.3
IL_003c: leave IL_0135
IL_0041: br.s IL_006b
IL_0043: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
IL_0048: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
IL_004d: callvirt instance class [System]System.Uri [System.Web]System.Web.HttpRequest::get_Url()
IL_0052: callvirt instance string [System]System.Uri::get_Host()
IL_0057: callvirt instance string [mscorlib]System.String::ToLower()
IL_005c: ldloc.2
IL_005d: ldc.i4.0
IL_005e: ldelem.ref
IL_005f: callvirt instance string [mscorlib]System.String::ToLower()
IL_0064: callvirt instance bool [mscorlib]System.String::Contains(string)
IL_0069: brtrue.s IL_00b1
IL_006b: ldc.i4.0
IL_006c: stloc.3
IL_006d: leave IL_0135
IL_0072: ldc.i4.0
IL_0073: brfalse.s IL_0020
IL_0075: br.s IL_00d0
IL_0077: ldarg.0
IL_0078: ldloc.0
IL_0079: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
IL_007e: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
IL_0083: ldstr "~/Certificate.xml"
IL_0088: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string)
IL_008d: ldstr "root/CertCode"
IL_0092: callvirt instance string [Common]ShopWe.Common.XMLControl::GetInnerText(string,
string)
IL_0097: call instance string ValidateCert::xcc381ffa3ede662f(string)
IL_009c: ldc.i4.1
IL_009d: newarr [mscorlib]System.Char
IL_00a2: stloc.1
IL_00a3: ldloc.1
IL_00a4: ldc.i4.0
IL_00a5: ldc.i4.s 124
IL_00a7: stelem.i2
IL_00a8: ldloc.1
IL_00a9: callvirt instance string[] [mscorlib]System.String::Split(char[])
IL_00ae: stloc.2
IL_00af: br.s IL_0043
IL_00b1: call valuetype [mscorlib]System.DateTime [mscorlib]System.DateTime::get_Now()
IL_00b6: ldloc.2
IL_00b7: ldc.i4.1
IL_00b8: ldelem.ref
IL_00b9: call valuetype [mscorlib]System.DateTime [mscorlib]System.DateTime::Parse(string)
IL_00be: call bool [mscorlib]System.DateTime::op_LessThanOrEqual(valuetype [mscorlib]System.DateTime,
valuetype [mscorlib]System.DateTime)
IL_00c3: brfalse.s IL_006b
IL_00c5: ldc.i4.0
IL_00c6: brtrue IL_0043
IL_00cb: br IL_003a
IL_00d0: ldc.i4 0x3
IL_00d5: brtrue.s IL_00fa
IL_00d7: ldloc V_3
IL_00db: conv.u4
IL_00dc: ldloc V_3
IL_00e0: conv.u4
IL_00e1: sub
IL_00e2: ldc.i4.0
IL_00e3: clt.un
IL_00e5: stloc V_4
IL_00e9: ldloc V_4
IL_00ed: brtrue.s IL_00ef
IL_00ef: newobj instance void [Common]ShopWe.Common.XMLControl::.ctor()
IL_00f4: stloc.0
IL_00f5: br IL_0077
IL_00fa: leave.s IL_0135
} // end .try
catch [mscorlib]System.Object
{
IL_00fc: pop
IL_00fd: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
IL_0102: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
IL_0107: ldstr "~/Certificate.xml"
IL_010c: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string)
IL_0111: call bool [mscorlib]System.IO.File::Exists(string)
IL_0116: brfalse.s IL_0131
IL_0118: call class [System.Web]System.Web.HttpContext [System.Web]System.Web.HttpContext::get_Current()
IL_011d: callvirt instance class [System.Web]System.Web.HttpRequest [System.Web]System.Web.HttpContext::get_Request()
IL_0122: ldstr "~/Certificate.xml"
IL_0127: callvirt instance string [System.Web]System.Web.HttpRequest::MapPath(string)
IL_012c: call void [mscorlib]System.IO.File::Delete(string)
IL_0131: ldc.i4.0
IL_0132: stloc.3
IL_0133: leave.s IL_0135
} // end handler
IL_0135: ldloc.3
IL_0136: ret
} // end of method ValidateCert::ValidCert

或许和上面的代码一样，你感觉很晕，不要紧，首先这个方法返回的是一个BOOL，我们可以想到，返回真是为验证通过，返回假时为验证不通过。事实上代码中很明显进行了一次“证书加密的字符串比较”
如下面的核心代码。



这段代码进行了一次比较，如果比较结果为真，则表示验证成功，当前方法返回为真。代码中是从XML中读取一个字符串并调用一个方法解密后分隔为一个数组，这段比较了数组第一个项和当前路径的值。

事实上完全没有必要看方法的内部，你既然猜测它返回真假就意味着是否通过验证，那么只要注释该方法内部，加入直接返回真的代码即可。这种情况下，必须是在该方法内部没有和其它验证部分有影响的操作。比如，该方法内部同时写了一个私钥文件。而其它地方却需要使用这个文件。这种情况是不能这样处理的。但是，通过这段代码，并没有发现这类操作。
所以，我们只需要删除该方法内部的代码，编写一个返回为真的语句即可。

确定了修改地点和修改方案，那么接下来我们要将该DLL转储为IL文件，以便修改它。
[反编译DLL为MSIL代码]
有许多工具可以选择，但微软提供的IL DASM工具已经绰绰有余了。
在IL DASM打开 ShopWe 的DLL，然后执行 文件-》转储，在弹出的文件对话框中选择转储地址，输入文件名后确定即可，此时，你会在设置的路径下看到两个文件，一个为IL后缀的MSIL文件和一个RES的资源文件。



[修改MSIL]

现在，我们有了IL文件，接下来需要修改这个IL。用一般的文本编辑器都可以打开编辑。
在该.method public hidebysig instance bool
ValidCert() cil managed
方法体开始加入如下代码，这段代码只是简单的返回了一个真值。

//破解代码
// 代码大小 7 (0x7)
.maxstack 1
.locals init ([0] bool CS$1$0000)
IL_0000: nop
IL_0001: ldc.i4.1
IL_0002: stloc.0
IL_0003: br.s IL_0005
IL_0005: ldloc.0
IL_0006: ret
//破解代码完

注释下面的逻辑，IL同样支持C++的单行多行注释符。
接下来编译修改过的DLL。

[编译IL文件为DLL]
我使用微软的ilasm工具进行编译
在VS2005命令提示符下，输入ilasm filefullname /dll
Filefuname:你的IL文件的路径和文件名，后面的/DLL选项是告诉编译器输出为DLL
回车即可显示编译进度：



最后提示成功。如果没有成功，请仔细查看输出的错误信息。

一般常见的有：你的文件不可访问。这常是由于命令参数不对。或者当前用户缺少权限。
还有，就是你当前目录已经生成了一个DLL，并且由其它程序使用而造成无法覆盖的问题。
同时也要注意你修改的源文件是不是有语法等错误。
不会使用，请参考：http://msdn.microsoft.com/zh-cn/library/496e4ekx(VS.80).aspx

生成成功后，你就可以看到IL文件目录下生成的一个DLL文件。

[偷梁换柱 替换修改后的DLL]
将该DLL替换原网站下的DLL即可。到此，我打开系统并登陆，便可以看到“注册成功”的提示。



事实上，此时你会发现，这原来是如此简单的过程。这个简单的演示中，我们得到的不是一个免费的软件，而是知识。