-
-
[原创]某Unity3D游戏加固产品分析
-
发表于: 2018-8-25 16:09
-
某讯的手游保护系统用的都是一套，在其官宣的手游加固功能中有一项宣传是对比较热门的Unity3d引擎的手游保护方案，其中对Dll文件的保护介绍如下， “Dll加固混淆针对Unity游戏，对Dll模块的变量名、函数名、类名进行加密混淆处理，有效提高静态分析门槛”。
通过动态分析了它的保护方法，通过改源码刷机的方法绕过了它的保护方案（也可通过hook libc.so中的execve函数绕过保护），接下来就可以直接使用GameGuardain这个神奇附加上去进行各种骚操作了。这里主要讲一下如何去从内存中获取Assembly-CSharp.dll 和 Assembly-CSharp-fristpass.dll文件。
绕过保护后，先启动GameGuardian，再启动相关游戏，在某讯的Logo刚好出现时附加到游戏上，待游戏进入到登录页面时，通过内存搜索值的方式搜索9460301（0x4D 5A 90 00）的十进制表示方式。这也是PE文件Dos头的特征码。搜索步骤和结果如下：
记录下第一个值和最后一个的值，接下来的dump步骤需要(dump时，开始地址尽量比第一个值小，结束地址尽量比最后一个地址大，上下浮动的大小尽量大于游戏中最大的Dll文件所占内存大小）。
等待保存完毕以后就可以从手机上拉取到本地了。获取到文件的结果如下：
接下来可直接使用get_dll_from_bin.exe这个工具直接从所有的bin文件中dump出所有的dll文件。操作后可用dnSpy直接打开所有的dll文件查看是否存在Assembly-CSharp.dll和Assembly-CSharp-fristpass.dll这两个文件。结果下图(本次获取到12个dll 文件):
工具获取到dll后直接使用数字命名，直接通过dnspy打开看看是否有最终的目标dll。
获取到dll如下：
|
|
|---|---|
|
|
|
|
|
|
|
|
可以使用VirtualApp来实现，通过第一个参数名来过滤启动的文件。 |
|
|
|
|
|
|
|
|
感谢 分享 经验心得
|
|
|
|
|
|
|
|
|
|
|
|
 我不是易盾的，不过我分析过易盾，效果是比某企鹅的强些。
|
|
|
|
|
|
嗷，那你可以把易盾抽取指令的游戏说一个，我去看看。 |
|
|
啊哦
最后于 2018-9-4 18:56
被烟雨破解编辑
，原因：
|
|
|
啊哦 |
|
|
咳咳情绪有点激动，求版主删掉我的回复，自我淡定
最后于 2018-9-4 19:02
被烟雨破解编辑
，原因：
|
|
|
|
|
|
|
|
|
|
godofrock
烟雨破解
nsec
