免责声明：本篇文章仅作个人逆向分析经验记录与学习之用，所获得的一切资产恕不作任何分享。实践本文章记录的任何操作所产生的一切后果均与本人无关。侵删

本文的撰写离不开前辈开路，也是前辈的帖子带我认识了Process Monitor这一神器，前辈帖子指路：和

1. global-metadata.dat 及 AssetBundle

跟着前辈的文章一步步走就行了，具体怎么操作就请诸位大佬各显神通了，在此略过

2. 植入UnityExplorer

简单介绍一下：UnityExplorer () 是一个十分方便且开源的Unity游戏内调试辅助工具，提供了Inspector、Object Explorer、Console和Hook等诸多强大功能。（可惜的是该项目不知出于何种原因已经archived不再更新）

在上一步中得到解密的global-metadata.dat后，我们可以先将BepinEx或者MelonLoader框架安装到游戏上，这里根据我的经验il2cpp最好选择MelonLoader 0.5.7版。

安装MelonLoader 0.5.7

（这里我已经安装过了所以显示为RE-INSTALL，正常安装应该只有一个INSTALL按钮）

3. 替换global-metadata.dat

安装MelonLoader启动后会在终端发现Cpp2IL报错导致游戏无法正常启动，这是因为原版加密的global-metadata.dat依然在 il2cpp_data\Metadata 文件夹中，需要凭借单身多年的手速将其替换。

替换之前记得将dump出来的global-metadata.dat的第4-8字节的版本号patch正确，经过一遍遍在il2cppDumper中试错后确认为 0x18 。

偷梁换柱具体步骤如下：

在 Game 文件夹中直接启动游戏，不通过启动器启动
立即切换到终端窗口，当 Loading Plugins from ... 字样出现时立即选中终端内任意范围冻结进程，此时游戏窗口应刚好出现并冻结于如图所示白屏状态

通过终端选中冻结进程

复制并备份好原版global-metadata.dat （这一步和下一步理应不会出现“文件被占用”、“无法启动”、游戏崩溃之类的任何错误，如果遇到了说明上一步冻结时机过晚、过早）
将dump并patch好版本（再强调一次，十分甚至九分重要）的global-metadata.dat替换过去
切换至终端窗口，按 Esc 取消选中，解冻进程
依照UnityExplorer的Readme安装UnityExplorer
退出游戏，将第3步备份好的原版global-metadata.dat替换回来，之后在遇到游戏更新时重新走一遍以上步骤即可

4. 解密其它未封装进AssetBundle的资源

在成功安装UnityExplorer之后，我们应当已经拥有了il2CppDumper提供的dump.cs文件，以及UnityExplorer提供的强大hook功能。至此我们终于可以进入正题，解密其它资源。

4.1 解密.acb、.awb音频

根据以往~~解galgame的~~经验，特殊格式必有特殊工具。通过万能的搜索引擎，我最终找到了这个强大工具。

通过阅读这节可以发现解码.acb和.awb需要 .hcakey 。经过测试发现确实如此，没有.hcakey解码出来的.wav文件就是一坨答辩。

解密.awb/.acb可能需要.hcakey

再次借助万能搜索引擎の抛瓦，我找到了大佬的这篇分析.hca的顶级文章。

这里我就直奔主题跳到这一节，发现了 criWareUnity_SetDecryptionKey() 这一关键函数。然而在IDA或者il2CppDumper的dump.cs中都搜索不到 SetDecryptionKey 这一函数。

搜索SetDecryptionKey无结果

因此我退而求其次，搜索 Decrypt 关键词，这次在IDA中发现了一些跟CriWare有关的目标函数。

IDA函数搜索Decrypt

其中包括两个跟acb有关的目标函数:

CriWare.CriAtomExAcb::Decrypt()
CriWare.CriAtomPlugin::DecryptAcb()

重启游戏，在点击开始屏幕进入游戏之前的界面尝试用UnityExplorer hook住这两个函数。

UnityExplorer hook

点击开始屏幕，切换到终端查看打印输出，发现成功打印出key，调用的函数是 CriWare.CriAtomExAcb::Decrypt() 。

       [
       13
       :
       15
       :
       16.183
       ] [UnityExplorer] 
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
      

       void CriWare.CriAtomExAcb::Decrypt(ulong key, ulong nonce)
      

       - 
       __instance: CriWare.CriAtomExAcb
      

       - 
       Parameter 
       0 
       'key'
       : 密钥在这里
      

       - 
       Parameter 
       1 
       'nonce'
       : 
       0
      

        
      

       [
       13
       :
       15
       :
       22.939
       ] [UnityExplorer] 
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
      

       void CriWare.CriAtomExAcb::Decrypt(ulong key, ulong nonce)
      

       - 
       __instance: CriWare.CriAtomExAcb
      

       - 
       Parameter 
       0 
       'key'
       : 密钥在这里
      

       - 
       Parameter 
       1 
       'nonce'
       : 
       0
      

        
      

       [
       13
       :
       15
       :
       22.966
       ] [UnityExplorer] 
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
      

       void CriWare.CriAtomExAcb::Decrypt(ulong key, ulong nonce)
      

       - 
       __instance: CriWare.CriAtomExAcb
      

       - 
       Parameter 
       0 
       'key'
       : 密钥在这里
      

       - 
       Parameter 
       1 
       'nonce'
       : 
       0
      

        
      

       [
       13
       :
       15
       :
       23.574
       ] [UnityExplorer] 
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
       -
      

       void CriWare.CriAtomExAcb::Decrypt(ulong key, ulong nonce)
      

       - 
       __instance: CriWare.CriAtomExAcb
      

       - 
       Parameter 
       0 
       'key'
       : 密钥在这里
      

       - 
       Parameter 
       1 
       'nonce'
       : 
       0
      

根据vgmstream的Readme，将得到的 ulong key 转换为hex bytes。注意.net的BigEndian编码问题。go代码如下：

       package main
      
       import 
       (
      
       "encoding/binary"
      
       "fmt"
      
       )
      
       func main() {
      
       bytes :
       = 
       make([]byte, 
       8
       )
      
       binary.BigEndian.PutUint64(bytes, <替换为密钥>)
      
       fmt.Printf(
       "%X\n"
       , bytes)
      
       }

将转换后的hex bytes保存为.hcakey并复制到与.acb相同的目录，就可以愉快地用vgmstream解密.acb和.awb音频了

音频解密结果

4.2 转换.usm视频

相较而言，.usm视频的解码对我而言就简单多了~~（当然还是因为解galgame的经验）~~

使用vgmtoolbox解码.usm为.m2v和.hca

vgmtoolbox官方地址：

vgmtoolbox打开video demultiplexer

静静等待vgmtoolbox完成它的工作

vgmtoolbox解码完成

使用vgmstream转换.hca为.wav

vgmstream转换.hca为.wav

直接用potplayer播放（注意音轨数量，有的两条有的一条）

potplayer载入音频

potplayer选中两条音轨

如需合并音视频为一个文件，先用everything处理一下文件名

everything重命名.m2v文件

everything重命名.wav文件

再使用ffmpeg合并

1 2	`@REM` `单音轨` `FOR` `%` `%` `a IN (` `*` `.m2v) DO ffmpeg` `-` `i` `"%%a"` `-` `i` `"%%a_0.wav"` `-` `map` `0` `:v` `-` `map` `1` `:a` `-` `c copy` `"%%a.mov"`

1 2	`@REM` `双音轨` `FOR` `%` `%` `a IN (` `*` `.m2v) DO ffmpeg` `-` `i` `"%%a"` `-` `i` `"%%a_0.wav"` `-` `i` `"%%a_1.wav"` `-` `map` `0` `:v` `-` `map` `1` `:a` `-` `map` `2` `:a` `-` `c copy` `"%%a.mov"`

4.3 解码Table

这一部分其实说简单也不行说难也不行。

不能说它难是因为这就是一个加了长度前缀的protobuf，通过 08 0A 这种极具protobuf特点的字节可以看出。（关于长度前缀详见protobuf官方文档：

table文件sample

不能说它简单是由于游戏使用了HybridCLR，global-metadata.dat和DummyDLL中的类型信息都不全，暂时无法自动化地导出.proto用来解析，因此在这部分如果想要获得到.json需要人工去对照CheatEngine得到的mono信息猜出字段名，十分麻烦，故在此略过，直接使用python的 protod 包解码raw wire

1	`protod` `-` `-` `file` `XXXXXXXX.bytes`

table文件sample解码
（找错别字环节）

结语

在这次实战中，遇到的最大阻力其实并不是易盾反作弊的保护，反而是HybridCLR的特殊指令集，导致解码Table时由于缺少.proto又不能通过DLL直接生成，需要手动一个个字段地猜，不是很偷懒优雅。希望之后有大佬能写出将HybridCLR指令集转换回IL指令集的工程，这样就可以开摆了嘻嘻（bushi

更多【软件逆向-少前2逆向经验分享】相关视频教程：www.yxfzedu.com

软件逆向-少前2逆向经验分享

免责声明：本篇文章仅作个人逆向分析经验记录与学习之用，所获得的一切资产恕不作任何分享。实践本文章记录的任何操作所产生的一切后果均与本人无关。侵删

1. global-metadata.dat 及 AssetBundle

2. 植入UnityExplorer

3. 替换global-metadata.dat

4. 解密其它未封装进AssetBundle的资源

4.1 解密.acb、.awb音频

4.2 转换.usm视频

4.3 解码Table

结语

相关文章推荐

Markdown Editor

友情链接

课程目录

技术交流QQ群