Xenocode是.net下非常著名的软件加密公司，Fox是其产品之一，是一个反汇编器（另外还有个postbuild是加密的）。Fox 2007的功能包括查看，分析，及Profile .Net程序。可惜免费的Community版不提供Profile的功能，Professional版的网上又没的下。不过无所谓，PEBrowse里连Profiler的源代码都提供了，为了这个花钱也不值得。Fox 2007 CE的下载地址是http://www.xenocode.com/Products/Fox/Setup.msi，让我们看看这款著名的软件其最新版的保护方式吧。 
    安装后目录下就Fox.exe这一个程序，用Reflector打开，发现错误，不含CLR头。不是吧，现在这么流行用win32加密.net程序吗？



    用PEiD查一下壳，显示UPolyX v0.5 *。通常这是不可信的，好像我试过的被本地代码加密过的.net程序查出都是这个壳。就算是，偶也不会脱，哈哈。用OD载入，果然是本地代码程序。试着跟了一会，没有头绪。还是从.net下PE执行的原理着手吧。
    过去讲过，.net下加壳分两种，一种是像MaxtoCode那样，分Method加密解密，在内存中不存在完整的assembly。另一种是用传统的加壳技术，解密后原来完整的assembly会出现在内存中，这就给我们dump之提供了先决条件。Fox用的是第二种。可是断点下在哪儿呢？就下在“万能断点”，mscorjit.dll的compileMethod处,在我的机上是7906E7F4。在OD中下断，bp 7906E7F4。这里要注意，就是在入口点下断会显示地址无效，因为mscorjit.dll还没有被载入，运行一段后就可以下断了。
当第一次中断时，我们看堆栈值
0012EDE8        79E9776F  返回到 mscorwks.79E9776F
0012EDEC        790AF170  mscorjit.790AF170
0012EDF0        0012EF2C
0012EDF4        0012EFB8
0012EDF8        00107210
0012EDFC        0012F06C

    原来讲过，第四行的值指向了struct CORINFO_METHOD_INFO_结构，该结构如下：
struct CORINFO_METHOD_INFO
{
    CORINFO_METHOD_HANDLE       ftn;
    CORINFO_MODULE_HANDLE       scope;
    BYTE *                      ILCode;
    unsigned                    ILCodeSize;
    unsigned short              maxStack;
    unsigned short              EHcount;
    CorInfoOptions              options;
    CORINFO_SIG_INFO            args;
    CORINFO_SIG_INFO            locals;
};

    我们在OD中这样选择：

 

    然后在数据窗口中查看BYTE *   ILCode的地址。
 

    至于这段代码的内容是什么，我们不关心，但这是JIT引擎编译的第一个method，也就是说如果FOX是整个assembly解密，这时已经解密完成了。根据.net下PE结构的定义，IL代码是定义在.text节中的，和win32下的PE差不多，在内存中也遵循rva偏移定位的原则。我们来到0138DA40所在的段：


    双击，查看这段内存的数据，看到了什么？PE文件头！难道这就是解密后的原文件？不妨dump下来看看。点右键，选“保存数据到文件”，然后把扩展名从mem改为exe。呵呵，图标一下又变成fox了。
 

    用Reflector再次打开dump.exe，这次Reflector能完全显示出来了。这就是Fox的本体。
 

    试着运行一下，报错。“Unalbe to find a runtime version to run this application.”。没事，这种小困难不算啥，我不会修复让微软帮忙。直接用ildasm.exe反编译，然后原封不动地再用ilasm.exe编译回来。OK，一切问题解决，程序可以正常运行了。


/////////////////////////////////////////////////////////////

    下面解决网络验证问题。当你联网运行fox时，会出现个小窗口，提示你输入在fox网站的用户名和密码，进行验证。这可不爽，难道每次运行FOX我都得联网？而且还有天数限制。不过既然源代码已经出来了，就把网络验证块给爆了吧。
 

    在Reflector中来到入口处，代码如下。（跟踪窗口的产生过程，用PEBrowse调试比较方便。如果哪个call你跳过去后，窗口就显示的话，就跟进去，直到找到网络验证的地方，就像OD中的F7,F8。我已经调试过了，所以这里直接给出静态的流程。）

代码:

[STAThread]
private static void xc447809891322395()
{
      Application.EnableVisualStyles();
      Application.SetCompatibleTextRenderingDefault(false);
      x3e4e23fadc83a77e xeefadcae1 = new x3e4e23fadc83a77e();
      while (xeefadcae1.x69b9cb33c60f0e3b)
      {
            Application.Run(xeefadcae1);
            if (2 != 0)
            {
                  return;
            }
      }
}

代码:

Label_06C4:
      this.x85601834555fb7d5();
      base.Height = Screen.PrimaryScreen.WorkingArea.Height;
      using (xf17d6cdd9cc7b699 xfdcddccb1 = new xf17d6cdd9cc7b699(0xfa0))
      {
            xfdcddccb1.ShowDialog(this);
      }
      this._x8af6efb682bc47ce = new x8af6efb682bc47ce();
      using (x02e1e2a3949fc710 xeeafc1 = new x02e1e2a3949fc710())
      {
            xeeafc1.Text = x77fa6322561797a0.x6886d5a1867d55cb;
            xeeafc1.Icon = base.Icon;
            xeeafc1.x7598bfd06959c5c4 = x77fa6322561797a0.x6886d5a1867d55cb;
            xeeafc1.x77fa6322561797a0 = x77fa6322561797a0.x4cdaa3594901b8ae;
            x02e1e2a3949fc710.x658c509a55e4e71a xcaeea1 = xeeafc1.x59b56fb51064be4a(this);

    再次点x59b56fb51064be4a(this)，跟进去。终于，我们看到了“UserSerial”，和WebRequest，这明显是网络验证的代码段了。
    到这里一切很明显了，下面的分析一切从简。首先在Software\Oak Vale Networks这项中新建UserSerial项，然后随便输入注册码。然后爆破三个地方。爆破时在反编译出的il文件中修改。
第一处，il文件的354889行
      IL_00b8:  /* 33   | 5D               */ bne.un.s   IL_0117
改为beq.s

第二处，il文件的354853行
      IL_0075:  /* 2D   | 51               */ brtrue.s   IL_00c8
改为brfalse.s
第三处，
      IL_00d0:  /* 2C   | 13               */ brfalse.s  IL_00e5
改为brtrue.s

    改完后保存，用ilasm.exe编译，命令行如下：
ilasm /resource=dump.res dump.il
    完成后运行，OK，一切搞定。即使联网也不会提示激活了。
    最后说几句，对dump后的fox.exe进行动态调试是很重要的一环，因为看着网络验证函数的返回值调试起来非常方便。比如，在PEBrowse中可以清楚地看到验证服务器的返回值。如下图



    这句是建立一个读写流，读取网络验证的返回值，保存在eax中。我们双击eax，就会看到服务器返回的验证值。这里返回的是“FAIL”，失败。还有的值包括“BAD”，“EXP”过期等。这样结合静态分析，看代码是非常方便的。