【发布时间】：2012-08-08 07:24:31
【问题描述】：
序言
我正在尝试反汇编和反向工程一个作者早已不复存在的程序。该程序提供了一些我在其他地方还没有找到的独特功能，而且……我对程序的逆向工程感到好奇和好奇。如果你只是想尝试帮我找到另一个程序...不要打扰。
问题
我正在使用带有 Hex-Rays Decompiler 的 IDA Pro 来获得一些不错的伪代码，以尝试加速逆向工程。我认为有助于加快速度的一件大事是弄清楚字符串的含义。到目前为止，这就是我发现的长度超过 4 个字符的字符串：
dword_131894E = 54264588;
dword_131894A = 51381002;
dword_1318946 = 51380998;
dword_1318942 = 52429571;
dword_131893E = 52298503;
runtimeVersion[0] = 836;
szIndex = 0;
do
{
runtimeVersion[szIndex] = (runtimeVersion[szIndex] - 1) ^ (szIndex + 882) ^ 0x47;
++szIndex;
}
while ( szIndex < 11 );
通过查看三个字符的字符串的类似伪代码，并使用 Hex-Rays 悬停在类型信息上，我是这样理解的：
- runtimeVersion 是一个 const wchar
- 这意味着它具有 Unicode 字符 (UTF-16)
- 字符串嵌入到内存中，但在本例中是弱加密（XOR？）
上面的伪代码对于所有大字符串都是相同的，除了常量“882”对于每个字符串都不同。我假设这是某种编译时加密或宏，它一个一个地找到字符串并唯一地“加密”它们。但是，问题是，我似乎无法通过复制伪代码来获得正确的字符串。这是我在 C# 中的内容：
ushort[] newCharArray = new ushort[rawCharacters.Length];
// Go through and decode all of the characters.
ushort i = 0;
do {
newCharArray[i] = (ushort)((i + 882) ^ (rawCharacters[i] - 1) ^ 0x47);
++i;
}
while (i < 11);
'rawCharacters' 是一个超短数组。我将每个 dword 条目分成两半，并将每个条目视为 ushort。我将它们从底部到顶部放在数组中...因此分配给 runtimeVersion[0] 的值首先添加到我的数组中，然后是来自 dword_131893E 的值，然后是 dword_1318942 等。
我不确定我在这里缺少什么。这似乎很简单，以至于反转和恢复字符串应该是小菜一碟，但我对从伪代码到实际代码的转换感到困惑。
想法？
【问题讨论】：
-
它与“解密”完全无关。你的意思可能是解码而不是解密。
-
随心所欲地调用它。很明显，大字符串从其原始形式转换为旨在使它们更难从可执行文件中拉出的东西。对我来说，这就是加密......但也许对你来说 SSL 只是一个“编码”：P
-
您是否尝试过不同的变体，例如不同的异或或使用不同的编码（utf8、utf16 等）？
-
我的第一个猜测是您错误地加载了
rawCharacters。您能否包括显示 C# 中数据加载的源代码以及RuntimeVersion声明的 Hex-Rays 输出？ -
你确定你找到的代码是加密的吗？我的想法是字符串以加密方式存储在可执行映像中，软件将其展开为可理解的内容。
标签： c# c++ reverse-engineering ida