學(xué)習(xí)過了名稱混淆，最近又看了一些字符串加密方面的東西。在混淆保護(hù)和加密殼中都有字符串加密保護(hù)功能。

總體上字符串加密可以分為兩類， 第一類是混淆保護(hù)中的字符串加密技術(shù)。主要特征是修改代碼執(zhí)行路徑。大部分混淆保護(hù)工具的字符串加密都是這一類。

第二類就是加密殼中的字符串加密技術(shù)。這種不用修改IL代碼，直接對元數(shù)據(jù)中的字符串加密。這一類以remotesoft,maxtocode為代表。

先看第一類，加密實(shí)現(xiàn)大致如下。

加密前：

MessageBox.Show("Hellow World!");

加密后：

MessageBox.Show(Helper.Decode("A34579dfbbeyu346563345/=="));

簡單的說就是將原來使用字符串的地方，將直接使用字符串改為間接使用字符串。在這里保護(hù)軟件將字符串 "Hellow World!" 進(jìn)行加密 得到結(jié)果 "A34579dfbbeyu346563345/=="。 Helper.Decode 是保護(hù)軟件提供的一個解密函數(shù)，它實(shí)現(xiàn)將 "A34579dfbbeyu346563345/==" 還原為 "Hellow World!" 。

因?yàn)槭腔煜Ｗo(hù)，所以我們可以分析得到 Decode 的代碼。然后直接用這個函數(shù)的代碼寫一個小工具將程序集中所有加密的字符串都還原。生成一個字符串對應(yīng)表。以方便代碼閱讀和調(diào)試。

如果再深入，可以實(shí)現(xiàn)自動將字符串還原到原程序集中。

再來看上面例子的IL代碼。

加密前：

ldstr "Hellow World!" 
call MessageBox.Show(string)

加密后：

ldstr "A34579dfbbeyu346563345/==" 
call string Helper.Decode(string) 
call MessageBox.Show(string)

怎么還原，其實(shí)很簡單，我們已經(jīng)知道了decode的代碼，而且已經(jīng)能實(shí)現(xiàn)字符串的解密了。得到了字符串的對應(yīng)表。

直接將

ldstr "A34579dfbbeyu346563345/==" 
call string Helper.Decode(string)

ldstr "Hellow World"

第二類字符串加密保護(hù)：

實(shí)現(xiàn)就是直接對元數(shù)據(jù)中的String流進(jìn)行加密。

這類保護(hù)有一個缺陷，程序運(yùn)行后 元數(shù)據(jù)中的String流會解密后在內(nèi)存中完整還原。在我前面的文章里面有介紹元數(shù)據(jù)的dump。這里就不重復(fù)羅嗦了。

對于第一類字符串加密保護(hù)，還有其它的形式，如 Helper.Decode這個函數(shù)可以是一個native的函數(shù)。或者是和流程混淆結(jié)合。