剖析DotNet的名称混淆保护技术,兼谈某壳3.15的新保护技术

  1. 云栖社区>
  2. 博客>
  3. 正文

剖析DotNet的名称混淆保护技术,兼谈某壳3.15的新保护技术

瑞克-rick 2006-12-21 14:47:00 浏览336
展开阅读全文

混淆在目前的DotNet保护中占主流地位。名称混淆是最基础的混淆保护技术。
DotNet加密保护工具MaxToCode也在最近的更新中加入了混淆保护--名称混淆。

我们先谈谈名称混淆技术,
名称混淆的意义何在?
在我看来它就只有一个意义,将表意的名称替换为无意义的名称。
如果说再在名称混淆上搞其它的花样都是徒劳的。

名称混淆从本质上可以分为两类。

第一类,最简单的名称混淆——名称替换。
.Net的元数据中有一个NameTable,这个表里面保存了所有类型,方法,属性,字段等的名称。
这一类混淆的本质就是从NameTable里面进行一对一的名称替换。
当然实现的方式可能是多样的。可以IL级替换,也可以直接元数据级替换,或者其它达到相同效果的方式。
抗反混淆的强度很低。

第二类,名称擦除、索引破坏
这类混淆只能在元数据级进行操作,要求对元数据的全部结构十分清楚,有一定难度。
它的本质,让名称索引数组越界。
元数据中类型,方法,属性,字段等的定义处是通过一个整形的index值指向 NameTable 的,index所对应的字符串就是它的名称。
这类混淆就是直接修改这个index值,如将它改为-1。

如果还要进一步做,可以再删除NameTable中无用的字符串,以及删除NameTable有用但重复的字符串。
再修改索引,让名称相同的指向同一个字符串。

这类混淆有一定的抗反混淆的强度,能让一部分反混淆工具失效,还能让一部分反混淆工具发生数组越界的异常。


名称混淆的反混淆技术(实质也是一个“名称混淆”过程,只是这次我们是有意义的“混淆”):
Jason早前就分析过了,我这里就直接搬来用。
Jason说过,名称都存在元数据中的NameTable中的,反混淆只要直接修改这个NameTable,将特许字符的名称改为字母的名称即可。
这实际上就是使用的第一类名称混淆技术来反混淆。
这种方法能对付目前绝大部分保护工具的名称混淆。对付不了第二类名称混淆。

这种只是最初级的反名称混淆技术。我们可以使用第二类混淆技术来实现更好的反名称混淆工具。
能达到什么效果呢?不仅能把特许字符替换为字母的字符,还能让替换后的名称表达一定的意义。
即在进行名称替换时采用匈牙利命名法,只要看到名称就能知道它是“类型、方法、属性、字段等”。
甚至看得出字段的类型,访问权限。类型的基类等。
这类工具能反上面两类名称混淆。

目前DST(Dotnet Security Team)[http://bbs.dotnetreverse.com]组员已经开发出了这样的工具。

下面谈谈某加密保护工具的新版3.15.
今天朋友给了我一个3.15加密的程序,让我看看。
首先直接拿3.14的脱机试了一下,脱壳正常。
然后再看,有名称混淆。
去看了一下该工具的更新说明,增加了名称混淆,还提到有增加新保护技术。

我问那朋友新版都有什么新功能,他告诉我,新版有名称混淆界面,提供了三种名称混淆方式。
"encrypt objects name","none objects name", "md5 objects name"。
看到这三种方式,很明显,第一个和第三个都是第一类名称混淆。
我想新保护技术不会就是"none objects name"吧。如果是,那怎么说也应该是第二类名称混淆才能勉强称得上新技术。
实际分析了一下被加密程序的NameTable,发现不是,它还是第一类名称混淆。用第一类名称混淆技术就能反它。它只不过是把所有名称都替换成了不可见字符("\r\n")。

这就让我有一点困惑了,它提供的三种方式本质是一样的,而且用Jason自己介绍的方法就能实现反混淆。
从技术上讲,他自己应该清楚提供一种方式就足够了。也许这只是商业化运作的产物,这样能满足一批不懂技术的用户。

名称混淆,简简单单就行了,没有必要深入,毕竟它只有一个浅显的意义。
目前反名称混淆工具很完善,再怎么深入也是徒劳的。

说了这么多还没有提到它的新保护技术是什么,
我朋友是遇到了问题才把程序抛给我的,他说用PEdumper dump后程序没法用Reflector和ildasm看结构 了。
它的新保护技术大概就是anti一般的pedumper吧,说新保护技术有些夸张了,其实在win32保护中就有用过。通过破坏PE文件结构来anti pedumper。
难怪用3.14的脱机没有问题,而用pedumper就有问题了。


再就没有发现什么新东西了。
该工具从3.11起在加密核心就基本没有变了,强度也一直停留在那个水平。
现在看来,他似乎是在转型了,开始向混淆保护发展了。
加密保护是他的特色,加密壳在jit层还是有一定发展空间的,至少能让强度再上一个台阶。

DNGuard 2.0已经实现了jit层的内核,可行性是没有问题的了。
开发中的 DNG H-VM接近尾声了,兼容性比预期的要好。








网友评论

登录后评论
0/500
评论
瑞克-rick
+ 关注