前言

Dnguard HVM(以下簡稱DHVM)，它通過對虛擬機(CLR)和JIT加密，號稱.Net最強加密軟件。截至10月27日目前官網最新版4.60版，它的試用版可以下載試用，本篇看下它這個最新版的強度。HWN28資訊網——每日最新資訊28at.com

2.概述

本篇看下它的新版改動了哪些東西，加固了加密程度。HWN28資訊網——每日最新資訊28at.com

調用托管Main：HWN28資訊網——每日最新資訊28at.com

threadStart.Call(&stackVar);

之后JIT編譯函數invokeCompileMethod的methodInfo參數的成員變量ILCode處的情況。HWN28資訊網——每日最新資訊28at.com

000000018047407E 41 D2 E3             shl         r11b,cl0000000180474081 41 D3 F3             sal         r11d,cl0000000180474084 45 0F C1 DB          xadd        r11d,r11d0000000180474088 4C 8B 5E 10          mov         r11,qword ptr [rsi+10h]000000018047408C 4C 89 5F 10          mov         qword ptr [rdi+10h],r11

老板的情況:HWN28資訊網——每日最新資訊28at.com

0000000180497AB2: E9 A1 73 00 00 jmp  0000000180497AB80000000180497AB7: F8             clc0000000180497AB8: 4C 89 5F 10    mov  qword ptr [rdi+10h],r11

r11寄存器做了一些位移和相加的動作，應該是解密ILCode的地址和確保r11不能修改，可見它確實做了加固加密處理。此外，在經過試驗，在Jmp指令跳轉到指定的位置時，會出現與HVMRun64.dll二進制不符合的數據。這應該也是它的一個反破解機制。HWN28資訊網——每日最新資訊28at.com

這兩個東西，加上去似乎增加了難度。這種方式加上之前的防御策略，確實能阻擋大部分人。然二進制無不可做之事。我們順著這個地址(000000018047408C)往下看:HWN28資訊網——每日最新資訊28at.com

000000018047409D 0F 84 DD 00 00 00 je 0000000180474180

這個地方其實可以hook下，但是DHVM似乎進行了相應的反hook機制，所以無法做到，繼續往下看。HWN28資訊網——每日最新資訊28at.com

00000001804741C7 E9 00 00 00 00          jmp         00000001804741CC00000001804741CC C6 84 24 81 00 00 00 2A  mov         byte ptr [rsp+81h],2Ah00000001804741D4 E9 00 00 00 00          jmp         00000001804741D900000001804741D9 E8 C2 82 BA FF          call        000000018001C4A0

這兩個jmp都是跳轉到jmp本身指令集的下一條指令集地址的特性。所以這里是hook的好地方:HWN28資訊網——每日最新資訊28at.com

以上代碼可以改為:HWN28資訊網——每日最新資訊28at.com

00000001804741C7 4C 8B 6F 10          mov         r13,qword ptr [rdi+10h]00000001804741CB 90                   nop00000001804741CC C6 84 24 81 00 00 00 2A mov         byte ptr [rsp+81h],2Ah00000001804741D4 49 C6 45 0D 08       mov         byte ptr [r13+0Dh],800000001804741D9 E8 C2 82 BA FF       call        000000018001C4A0

如此跳轉實際上是廢跳，原理是把利用這兩個jmp的特性，對它進行了一個Hook。HWN28資訊網——每日最新資訊28at.com

把ILCode的地址也即是【rdi+0x10】的地址賦給r13,然后把r13偏移量為0XD的地方byte修改為8.HWN28資訊網——每日最新資訊28at.com

它的一個C#示例是:HWN28資訊網——每日最新資訊28at.com

static void ABC(){    Console.WriteLine("Call ABC");}static void DEF(){    Console.WriteLine("Call DEF");}static void Main(string[] args){   Console.WriteLine("Call Main");   ABC();   DEF();   Console.ReadLine();}

Main里面調用了函數ABC和DEFHWN28資訊網——每日最新資訊28at.com

調用ABC和DEF的二進制MSIL分別為：HWN28資訊網——每日最新資訊28at.com

ABC:28 07 00 00 06 00DEF:28 08 00 00 06 00

他們不同點事,07和08，調用ABC的二進制MSIL在整個ILCode里面的偏移是0xD。所以上面Hook代碼HWN28資訊網——每日最新資訊28at.com

00000001804741D4 49 C6 45 0D 08  mov  byte ptr [r13+0Dh],8

本來它的調用打印的結果是:HWN28資訊網——每日最新資訊28at.com

圖片HWN28資訊網——每日最新資訊28at.com

hook之后打印的結果是:HWN28資訊網——每日最新資訊28at.com

圖片HWN28資訊網——每日最新資訊28at.com

3.結尾

DHVM新版加強了難度，但我們可以利用指令集的一些特性來對它進行學習和研究，依然非常簡單。HWN28資訊網——每日最新資訊28at.com

本文鏈接：http://www.tebozhan.com/showinfo-26-15432-0.html.Net JIT騷操逆向最新版Dngurad HVM

聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。郵件：2376512515@qq.com

上一篇： Next.js 14 正式發布，更快、更強、更可靠！

下一篇： 事與愿違：可變類出現了線程安全問題