某Unity3D游戏加固产品分析
某讯的手游保护系统用的都是一套，在其官宣的手游加固功能中有一项宣传是对比较热门的Unity3d引擎的手游保护方案，其中对Dll文件的保护介绍如下， “Dll加固混淆针对Unity游戏，对Dll模块的变量名、函数名、类名进行加密混淆处理，有效提高静态分析门槛”。
通过动态分析了它的保护方法，通过改源码刷机的方法绕过了它的保护方案（也可通过hook libc.so中的execve函数绕过保护），接下来就可以直接使用GameGuardain这个神奇附加上去进行各种骚操作了。这里主要讲一下如何去从内存中获取Assembly-CSharp.dll 和 Assembly-CSharp-fristpass.dll文件。
绕过保护后，先启动GameGuardian，再启动相关游戏，在某讯的Logo刚好出现时附加到游戏上，待游戏进入到登录页面时，通过内存搜索值的方式搜索9460301（0x4D 5A 90 00）的十进制表示方式。这也是PE文件Dos头的特征码。搜索步骤和结果如下：
记录下第一个值和最后一个的值，接下来的dump步骤需要(dump时，开始地址尽量比第一个值小，结束地址尽量比最后一个地址大，上下浮动的大小尽量大于游戏中最大的Dll文件所占内存大小）。
等待保存完毕以后就可以从手机上拉取到本地了。获取到文件的结果如下：
接下来可直接使用get_dll_from_bin.exe这个工具直接从所有的bin文件中dump出所有的dll文件。操作后可用dnSpy直接打开所有的dll文件查看是否存在Assembly-CSharp.dll和Assembly-CSharp-fristpass.dll这两个文件。结果下图(本次获取到12个dll 文件)：
工具获取到dll后直接使用数字命名，直接通过dnspy打开看看是否有最终的目标dll。
获取到dll如下：
并不存在所需要获取的dll文件。后面经过分析可知这套保护方案把Dos头的前128字节清空了。接下来就需要单个文件进行操作和修复了，使用010editor打开文件，搜索PE头的文件特征(50 45 00 00 4c 01 03 00)。然后通过搜索到的位置往前查看128字节是否被清零，如果是先把正常的pe文件的前128个字节复制，再往搜索到的位置的往前128字节进行粘贴修复即可。如图：
经过反复操作和修复后，再通过get_dll_from_bin.exe操作修复的bin文件即可。
经过操作后获取到如下的Dll：
通过与解包后的资源文件大小相比较，3.dll大小和Assembly-CSharp.dll相同。
12.dll大小和Assembly-CSharp-firstpass.dll相同。
分别将3.dll 和12.dll文件拖入dnspy中，如图所示3.dll是目标文件Assembly-CSharp.dll：
12.dll是Assembly-CSharp-fristpass.dll：
到此，所有目标文件已经获取完毕。
排版有点渣，将就看吧。主要是思路。望大牛轻喷。
看雪ID：nsec
bbs.pediy.com/user-636975
本文由看雪论坛 nsec 原创
转载请注明来自看雪社区
热门技术文章推荐：