Реверс-инжиниринг Denuvo

Много блогов написано на PlayGround про Denuvo, но не один из них толком не объясняет, с точки зрения программиста, что это за защита. Я решил сделать обзор реального кода данной защиты на примере кропотливого анализа игры Rise of the Tomb Raider.

Исполняемый файл ROTTR.EXE имеет стойкую крипто защиту с антипатчингом байт-кода (Code segment decryption). Именно поэтому очень сложно добраться до заголовков PE и управлять ими. Но кое-что разглядеть всё таки мне удалось.

Любой файл (будь то исполняемый или библиотека) имеет точку входа в процедуру – main (или start). Дизассемблировав файл ROTTR.EXE и переведя мнемокод ассемблера в читаемый код языка Си, я начал собирать части кода в единое целое.

Примечание: т.к. форумом не предусмотрены теги языков программирования, буду выкладывать скриншоты, сделанные из Visual Studio, чтобы код не терялся с текстом.

Процедура main (с неё начинается любая программа) принимает функцию DenuvoProtection и возвращает функцию Result

В коде DenuvoProtection можно увидеть, что функция активно использует методы записи в память, в частности VirtualProtect

Собственно ничего сложного здесь нет – заводим константы и переменные типов, открываем память для чтения/записи (VirtualProtect), перемещаем в память то, что нам нужно (memset) и возвращаем приложению управление памятью с оригинальными значениями (return VirtualProtect).

Функция Result выполняет примерно тоже самое, что и DenuvoProtection – использует VirtualProtect

Здесь стоит объяснить эту строку

(*(WORD *)(0x14000003C + (__int64)0x140000004) == 332)

по сути это указатель на указатель. Т.е. сначала значение 0x14000003C приводится к ссылочному типу WORD (указатель на адрес памяти), и затем получаем указатель на указатель адреса памяти. Мудрёная конструкция, но при работе с динамической памятью она используется очень часто.

Теперь рассмотрим несколько функций, которые собственно и вешают «протект». Начнём с CryptoTypeF

На первый взгляд - «дикий ужас». Но не так страшен чёрт, как его малюют. Здесь байты подвергаются обработке битовому оператору XOR (исключающее ИЛИ). Оператор побитового исключения ИЛИ (^) сравнивает каждый бит первого операнда с соответствующим битом второго операнда. Если один бит равен 0, а другой равен 1, соответствующий бит результата устанавливается равным 1, в противном случае - 0.

CryptoTypeS – аналогично CryptoTypeF перебирает биты и шифрует байты

Функция LowLevelFunction извлекает младший байт из заданной величины при помощи макроса LOBYTE

Т.е. например, есть некоторая переменная

#define val 0xFFAC

её младший байт будет LOBYTE(val) == 0xAC, а старший HIBYTE(val) == 0xFF

Данное извлечение байтов применяется в функции CryptoFunctionC

На вид функция громоздкая и не понятная, но имея базовые знания C/C++ можно легко прочитать весь её код. Суть аналогична предыдущим, а смысл – сделать код не пригодным для отладки и дизассемблирования.

Далее находятся остальные функции, их объяснение не требуется – это стандартные циклы и условия. Все они нужны для полноценной работы функции DenuvoProtection

+ ещё 4 картинки

Заключение.

Конечно же этот код далек от рабочего (именно поэтому я не выкладываю полный исходный код), нужно много чего доделывать и приводить в нормальный вид с классами и прочими хейдерами и уже потом делать реверс-инжиниринг (всё что я описал выше это даже не близко полный взлом Denuvo, а только самая верхушка айсберга). Я не профессиональный программист, не специализируюсь на шифровании и работе с виртуальными машинами, но данный анализ у меня занял всего лишь один вечер! Очень странно, что целые группы высококвалифицированных хакеров до сих пор сидят на одном месте ровно. Я не буду разводить холивар почему они ничего не делают?, заплатили ли им за то, чтобы они не ломали Denuvo… Я скажу одно – данная защита вполне взломо-пригодна. Достаточно собраться нескольким ребятам, которые «собаку съели» на методах шифрования и поломать эту защиту. Чтобы разработчики не придумали – всегда можно это сломать. Это аксиома архитектуры x86 – для этой архитектуры просто невозможно написать защиту, т.к. у неё открыты доступ к процессору, памяти, ring0 и прочее, что позволяет контролировать весь этап запуска приложения.