将注入进行到底:利用Mono注入C#游戏脚本

本文作者01dTan9,首发于三叶草小组博客：http://blog.sycsec.com/   致力于引领每一位对windows安全感兴趣的萌新，希望让萌新能够对Windows有初步的了解。笔者的文章涉猎广泛，从Windows基础编程，加密与解密，跨平台脚本语言，硬件安全，到游戏引擎逆向，涵盖多方面，多领域的理论与技术，帮助萌新更快地从入门到入狱。

1. 传统注入方式

对于传统的第三方游戏插件开发而言，由于没有游戏厂商提供的官方接口，只能通过非常规的方式将插件的功能安装在游戏中。

通常来说，这些安装的方式与病毒的行为十分类似，更偏向于系统底层，比如利用Windows API修改目标进程中的数据，或者创建远程线程让目标进程执行汇编代码或加载第三方库（如DLL），更有甚者，直接在Windows内核中劫持目标进程网络通讯，或进行APC注入。

目前传统的应用层注入方式主要有以下几种：

静态注入类：

        导入表注入

        注册表注入

        DLL劫持注入

动态注入类：

         钩子注入

         APC注入

         远程线程注入

         输入法注入

         LSP注入

使用上述方法安装的插件，其功能实现大部分要靠硬编码、钩子、内存修改来实现。这样一来，需要耗费大量的时间分析游戏的汇编代码与通过内存中的数据来构建结构体与游戏对象。

2. 从硬编码注入到脚本注入

假如我们可以让游戏脚本在游戏中执行，通过脚本直接使用游戏引擎封装好的函数与对象，不就可以事半功倍了吗？

1. Unity3D

Unity3D是由Unity Technol ogies开发的一个让玩家轻松创建诸如三维视频游戏、建筑可视化、实时三维动画等类型互动内容的多平台的综合型游戏开发工具，是一个全面整合的专业游戏引擎。Unity使用户能够以2D和3D方式创建游戏，并且引擎提供C＃中的主要脚本API ，用于插件形式的Unity编辑器，游戏本身以及拖放功能。在 C＃作为引擎使用的主要编程语言之前，Unity支持 Boo 和 JavaScript 版本的 UnityScript。

2. Mono

Mono是一个免费的开源项目。由微软的子公司Xamarin（前身为Novell，最初由Ximian）和.NET基金会领导。旨在构建符合ECMA（欧洲计算机制造商协会）标准的.NET Framework兼容工具集。包括 C＃编译器和带有实时（JIT）编译的公共语言运行时。

3. Mono和Unity3D

简单来说，Mono是Unity3D的一个运行时，负责C/C++和C#/CIL的交互。

举个例子，随便打开一个Unity游戏的根目录，你会发现一个名为UnityPlayer.dll的动态链接库，这个动态链接库封装是Unity的底层C++代码。

在 游戏根目录MonoEmbedRuntime （某些低版本Unity游戏目录为游戏根目录Mono,笔者的为 2018.2.0 Beta）下有一个名为mono.dll的动态链接库，这个便是负责C/C++和C#/CIL的交互的模块，网上有开源版本，但许多游戏公司为了防止游戏被恶意修改，通常都重新编译mono.dll，在其中加入加密游戏数据与检测恶意行为的代码。

在游戏根目录游戏名_DataManaged中名为Assembly-CSharp.dll的文件便是C#脚本代码。

三者的关系如下：

1.C#库文件

负责实现第三方功能，代码需要因游戏而定，主要是通过获取或修改Unity原生组件（Transform、physics等）的数据实现第三方功能，也可以直接使用开发者定义的函数，但这种方法需要获取游戏源代码，需要解密脚本文件，在此不再赘述。

2.动态链接库

在目标进程中载入C#脚本需要以下API，具体参数查阅mono官方文档，上面都有详细解释。

通过文件名加载C#脚本文件镜像。

        mono_image_open_from_data

从文件镜像中读取并将C#代码编译为IL代码，至此，C#代码被即时编译完毕。

        mono_assembly_load_from_full

获取IL代码的镜像。

        mono_assembly_get_image

通过类名获取类句柄，供                        mono_class_get_method_from_name调用。

        mono_class_from_name

通过类句柄和函数名获取函数地址，供mono_runtime_invoke调用。

        mono_class_get_method_from_name

通过函数地址运行IL代码，代码开始运行。

        mono_runtime_invoke

在调用mono的API之前，我们需要获取API的函数地址，基本方法如下：   

首先获取mono.dll的模块句柄

HMODULE hMono = GetModuleHandle(L"mono.dll");

再获取API地址

typedef void* (__cdecl *MONO_IMAGE_OPEN_FROM_DATA)(char *ImageName);

MONO_IMAGE_OPEN_FROM_DATA mono_image_open_from_data;

mono_image_open_from_data = (MONO_IMAGE_OPEN_FROM_DATA)GetProcAddress(hMono, "mono_image_open_from_data");

用这种方法获取所有需要调用的API

加载C#脚本代码

还可以在DLL中实现C#热更新，方便调试。

3.主程序

主程序负责将动态链接库注入到目标程序。

通过上文提到的远程线程注入方法

使用 CreateRemoteThread 远程调用 LoadLibrary 即可。

1 . 如何对抗脚本注入（Anti-Cheat）

对抗脚本注入，有以下几种、主要思路是在mono.dll上做手脚。

        ·当前流行的方法通过修改mono源码，加密Assembly-CSharp.dll，并在mono_image_open_from_data里加入解密脚本的函数，这样既可以防止脚本被静态Patch，又可以防止动态注入。

          ·Android平台下的进程保护

          ·Windows平台下的进程保护（R0、R3）

另外一种是在其他mono函数加入检测代码。笔者所遇到便是在mono_class_from_name加入检测代码，非原生脚本的加载都会导致函数调用崩溃。

2. 如何绕过防注入（By Pass）？

·利用没有被修改的函数加载代码，如mono_assembly_foreach枚举IL代码镜像，绕过mono_class_from_name的检测。

·重写mono_class_from_name函数。

·加载另一个纯净的mono.dll，使用纯净模块里面的函数来加载代码。

利用mono平台注入C#代码大大提高了开发效率，如果是单纯用原生Unity组件开发出来的代码基本上适用于所有用Unity引擎开发的游戏。

未来Unity可能会放弃mono平台，转用LICPP平台，但是短时间内是不会放弃mono这个成熟的平台的，所以，本方法在未来一段时间内都有利用价值。