本文为看雪论坛优秀文章
看雪论坛作者ID：阿腊婆
朋友给了个某工程软件样本求助，是Sential Ldk加密的.net程序。经过处理逆向完成，整理了一下这个加密狗的特征做个分享。这个加密程序的逆向比较有意思，网上资料非常少，论坛这里也有人之前发过样本（旧贴链接），这个帖子可算是揭榜。不知道这个例子算脱壳还是算逆向，似乎更靠近逆向一样。1. 安装以后，服务里面，增加了Sential LDK的自启动服务，必须保证服务启动才能启动软件。
2. exe同文件夹下，有hasp_rt.exe以及hasp_windows.XXXXX.dll等hasp配套的dll和exe文件。（最初在这花费了很多时间去静态分析，后来发现没有必要）考虑到样本工程太大，于是去下载了Sential Ldk suite 7.10，写了一个Helloworld demo进行加密，再加密处理。
使用的时候，先本机运行Sentinel_LDK_Run-time_setup的客户端，收集客户C2V证书。拿客户端证书进行服务器端签名后，得到一个V2C的证书。本地运行程序加载证书以后，就可以运行程序了。以上demo样本获得以及使用过程步骤可以参考官方文档。PS：Sential LDK的服务可以视为加密狗的驱动程序，而V2C证书，可视为软狗。启动和停止Sential LDK的服务就可以创造带狗和无狗的环境。考虑到C2V证书和下V2C证书都是经过AES多次加密的结果，故没有考虑从这里突破。而是考虑直接在能够运行（带狗）的情况下把能够运行的程序dump出来。使用de4dot可以反混淆加密的exe，得到相对清晰的源代码。再用dnspy可以调试。这个方法是从byte字节流数组里面读取一个int32的。
这个是msdn里面利用DynamicILInfo类动态生成方法中的PutInteger4。可以参见微软msdnDynamicMethodandTypeBuilder.DefineMethod。 （https://docs.microsoft.com/zh-cn/archive/blogs/thottams/dynamicmethod-and-typebuilder-definemethod）这种加密方式是混淆和替换了方法的实体，类似于ilProtector，运行时再动态取出并通过LDK服务解密构建出实际运行的动态方法。（所以IDA和X64dbg分析工作量很大，反复在壳里面绕，想通过静态分析并爆破工作量巨大，实际上最后的逆向过程也不需要使用IDA和X64dbg。）。
既然它的加密方式是通用的，解密流程是类似的，我们只需要理顺method与method IL代码之间的对应关系就行了。（1） 先处理文件校验的过程，直接修改代码指向对的文件就可以避开这个检查，内部不深究了。
（2）读取存储在PE文件的.protect嵌入文件中的IL实体代码（经过加密处理）
（3）将加密过的代码交给LDKSerice进行解密。调用 hasp_windows_XXXX.dll与本地服务的1947端口进行数据通信。这样的通信方法共有十来个，为hasp_update,hasp_dispatch_XXX，图中的三个是不同平台下的：
类似的调取服务过程基本都是开放全局内存地址给dll写入，之后再读取相应内容。例如跟踪了一个hasp_update方法，是传入一个xml的模板，之后传回来就是已经写好的字符串。以方法的metadatatoken为键值，储存在缓存中：
至此软件与狗的互动过程全部结束。剩下需要做的事情就是把动态方法存储起来并二次反编译。论坛有贴详说了这个过程，就不赘述了。
1. https://docs.microsoft.com/zh-cn/archive/blogs/thottams/dynamicmethod-and-typebuilder-definemethod
2. https://docs.microsoft.com/en-us/dotnet/api/system.reflection.emit.assemblybuilder?view=netframework-4.83. https://stackoverflow.com/questions/4460859/methodbuilder-createmethodbody-problem-in-dynamic-type-creation
看雪ID：阿腊婆
https://bbs.pediy.com/user-889127.htm
*本文由看雪论坛 阿腊婆 原创，转载请注明来自看雪社区。
好书推荐