Intermediate Language to C++ (IL2CPP) Yöntemi Hakkında Soru

horriblebyte

Öncelikle merhabalar. Herkese iyi akşamlar diler ve mübarek Ramazan Bayramınızı en içten dileklerimle kutlarım.

İnternette gezinirken Unity'in farklı bir build seçeneği olan IL2CPP isimli yöntemini keşfetmiştim. Build esnasında bu yöntem seçildiğinde, Unity projesindeki Assembly.Csharp.dll dosyası olduğu gibi C++'a dönüştürülüyor ve kodların okunmasını neredeyse imkansız hale getiriliyormuş. Bu konu hakkında biraz daha araştırma yaptığımda, aynı olayın herhangi bir C# kod öbeği için de geçerli olduğunu farkettim.

Araştırmalarım sonucunda aşağıdaki Github repository'sini buldum.
Adres: https://github.com/anydream/il2cpp
Açıklama kısmında da anlatıldığı gibi, bu bir MSIL/C# to C++ dönüştürücü.
README.md dosyasında aşağıdaki gibi bir görsel sunulmuş;

il2cpp

İlk görüşte çok sevinmiştim böyle bir şeyin var olduğu için, sonrasında bu yöntemi README.md dosyasında anlatıldığı gibi basit kod öbeklerinde denedim ama aşağıdaki gibi basit bir kodu compile edemedi (C++'a dönüştüremedi).

Kod;

[CodeGen]
static class ProcessDumper {
    public static void Entry() {
        List<Process> CurrentProcesses = Process.GetProcesses().ToList();
        lock (CurrentProcesses)
            for (int i = 0; i < CurrentProcesses.Count; i++)
                Console.WriteLine(CurrentProcesses[i].ProcessName);
        Console.ReadLine();
    }
}

Sizce bu sistemin varlığının amacı tam olarak nedir? Bunun hakkında bilgi verebilirseniz sevinirim. Herkese kolay gelsin.

Halil Han BADEM

horriblebyte Merhabalar, sizlere de iyi bayramlar.
Güzel bir konu, bu gece inceleyip edindiğim bilgiyi aktarmaya çalışacağım.
Ön tahminim; okunamamasının durumu ARM gibi zor okunan bir yapıya dönüştürmüş olabilir.
Okunmamasından kastınız nedir tam anlamadım ama yine de kontrollerimi sağlayınca daha sağlıklı sonuca ulaşacağım.

🤟

Halil Han BADEM

horriblebyte Tekrardan selamlar,
biraz araştırma sonucu az çok bir şeyler anladım sanırım.
Kimse bu aletin ne işe yaradığını söylememiş. Lakin bir grup veya kişi bir dumper yapmış. Bu dumper ile offset ve RVA değerleri alınabiliyor. HEX kodu ile ilgili yerler bulunabiliyor. Elime tam anlamıyla build edilmiş bir dosya gelmedi (bunun için geliştirme ortamım bulunmadığı için oluşturamadım.). Şimdi bu IL2CPP'nin hikayesine gelelim.

IL2CPP, AOT tipi bir derleyicimiş. Bunun açılımı ahead-of-time olarak geçer. Kullanmalarının sebebi hız, performans ve güvenlik sebepliymiş. Çalışma zamanında sanal makine tarafında kütüphaneleri destekliyor. Bu sebeple de aslında teknolojinin iyi bir düzeyde olduğundan bahsedebiliriz. AOT muhabettine gelince. AOT'un görevi .NET ile derlenen düşük seviyeli çıktıyı IL'ye çeviriyor. Sonrasında ise onu da C++ kaynak koduna. IL2Cpp unity ile birlikte gelen, platforma özgü bir teknoloji. Çalışma mantığı aşağıdaki gibi;

Komut satırları ile ilgili exe, dll veya apk il2cpp ile dönüştürülüyor.
Örneğin;

"C:\Program Files\Unity\Editor\Data\MonoBleedingEdge\bin\mono.exe" "C:\Program Files\Unity\Editor\Data\il2cpp/il2cpp.exe" --copy-level=None --enable-generic-sharing --enable-unity-event-support --output-format=Compact --extra-types.file="C:\Program Files\Unity\Editor\Data\il2cpp\il2cpp_default_extra_types.txt" "C:\Users\Josh Peterson\Documents\IL2CPP Blog Example\Temp\StagingArea\Data\Managed\Assembly-CSharp.dll" "C:\Users\Josh Peterson\Documents\IL2CPP Blog Example\Temp\StagingArea\Data\Managed\UnityEngine.UI.dll" "C:\Users\Josh Peterson\Documents\IL2CPP Blog Example\Temp\StagingArea\Data\il2cppOutput"

Biraz uzun gelmiş olabilir. Bir kaynak vereceğim. Komutların ve il2cpp için çok ayrıntılı bir anlatım mevcut.
Kısaca bu teknoloji genelde android ürünler başta olmak üzere daha güvenli ve c++ performansı ile (Native olarak derlenmesi başta geliyor.) güvenliğinden yararlanmak için geliştirilmekte.

Üsteki yazıyı yazarken bir resim gözüme çarptı ve Native noktasında doğru tahmin ettiğim ortaya çıktı;

Buradan anlıyorum ki güvenlikten öte amaç boyuttan kazanmak ve performansı en üst seviyeye taşımak. Malumunuz native şekilde çıktı her zaman daha hızlıdır. Bunun sebebi direkt olarak işletim sistemi API ve kütüphaneleri ile iletişime geçer. .NET aracı bir uygulama ile iletişime geçiyor. Bu sebeple araya bir reflector ekleyince tüm kodlar açık şekilde meydana dökülüyor. Bu olay C# için belki bir nebze güvenliği arttırabilir ama dediğiniz gibi direkt olarak kodları başarılı bir şekilde dönüştürür mü bilemiyorum. Tahminimce unity bunun için çok fazla kontroller ve müdahalede bulunuyor. Dediğim gibi ne kadar kodlar görünmese de IDA ve benzeri bir araç ile offset değerlerine göre ilgili satır bulunup HEX ile değişiklik yapılabilir. Bunun yanı sıra bazen HEX durumunda bir Olly gibi rahatça müdahale olmuyor pek. Hele ki ASM veya ARM tipinde bir çıktı verirse. Bu kez ilgili offset için jmp komutları sıraya giriyor. KeyPatch vs. vs. ben devam edersem başka konulara dalacağım burada keseyim 😃

Atmış olduğunuz repoda ki bir bilette şu cevabı gördüm;

This project has stopped developing.
In the past year, I was trying to integrate garbage collector with c++, but this is an internal project, sorry.

Geliştirmesi en azından attığınız kaynak kısmında durdurulmuş gibi duruyor.

Kaynaklar:
Ayrıntılı IL2CPP Anlatımı
İlgili Dumper
İlgili Dumper Kullanımı
Eski adıyla Bytecode stripping
IL2CPP Kullanım Mantığı

Umarım sorunuza yanıt olmuştur,
ya da sorunuzu doğru anlamışımdır 🙂

horriblebyte

Halil Han BADEM Öncelikle elinize emeğinize sağlık, benim için o kadar araştırıp kafamdaki soru işaretlerini giderebilecek birçok kaynak sunmuşsunuz, çok çok teşekkür ederim.

Aslına bakarsanız benim asıl yapmak istediğim şey; kodlarımı bu ve türevi yöntemler ile bir şekilde native dile çevirip, asıl kodlarımın Reflector tarzı uygulamalar vasıtası ile görüntülenebilmesini engellemek. "Görüntülenebilmesini engellemek" derken şunu kastediyorum, C# gibi aradiller aracılığıyla oluşturulmuş programları Reflector ve türevi programlar ile açtığınızda, yazdığınız kodu noktası noktasına okuyabiliyorsunuz. Ancak aradil olmayan, native dillerde durum böyle değil. C++ gibi native diller aracılığıyla oluşturulmuş programları OllyDbg, IDA tarzı debugger'lar ile açtığınızda, karşınıza sizin yazdığınız kod değil, sizin yazdığınız kodun karşılığı olan makine kodu çıkıyor. Yani yazdığınız kod doğrudan okunamıyor (yanlışım varsa affola, ben öyle biliyorum).

Yoksa sizin de dediğiniz gibi, kodlar okunamasa bile uygulamaya bir şekilde hook atılabiliyor, ilgili fonksiyon pas geçilebiliyor, vs vs bunlar böyle uzar gider. 🙂

Benim için kodların okunamaması (en azından okunmasının zorlaşması) kâfi olacaktır. Piyasadaki 2, 3 unpacker/obfuscator sayesinde uygulamayı unpack/deobfuscate edip, "nasıl kırdım uygulamayı ama hahaha, simdi kodlari araklayalım" şeklinde övünen tiplerden kurtulmak için bunu yapmak istiyorum. Bunun için bir öneriniz var mı? Yoksa böyle şeylerle uğraşmak yerine doğrudan C++ gibi native dillere yönelmemi mi önerirsiniz?

Son olarak, cidden ama cidden yaptığınız araştırmalardan ötürü minnettarım. Yaptığınız işi seviyorsunuz bu açıkça ortada, Allah gönlünüze göre versin. Selametle.

Halil Han BADEM

horriblebyte Merhaba,
öncelikle iyi dilek ve duaların için çok teşekkür ederim. Aynı düşünceleri sizin içinde barındırdığımı söylemek isterim. Rabbim sizin de gönlünüze göre versin inşallah. Platformun amacı bu zaten. Birbirimize çıkarsız yardımcı olmak. Ne bir maddi beklenti ne de menfaat durumu söz konusu. Sadece gönüllü olarak bir şeyler yapmaya çalışıyoruz.

Sorunuza gelince aslında bu durumda 2 husus söz konusu. Bunların biri C# ile devam edip kendi algoritmanız ile bir obfuscator yazmanız. Bu durumda "kodları reflector ile bulup, aha crackledim" diye gezinen kişilerden otomatikman kurtulmuş olursunuz. Zaten Türkiye şartlarında gerçek reverse ile uğraşan kişiler azınlıkta. Ben de şahsen hobi olarak yaptığım bu işte o azınlık derecesine gelmek için çabalıyorum. Kendi algoritmanız ile oluşturduğunuz obfuscator'u kırmak çok basit olmayacaktır. Bu şekilde bir önlem almış olursunuz.

Diğer husus C++, C veya Delphi gibi native dillere geçmek. Önerim budur. Zira bu diller ile geliştirilen yazılımalar performans ve güvenlik anlamında .NET'i 2'ye katlayacak güçtediler. Dilin zenginliğini bir kenara bırakarak konuşuyorum. C++ veya C ile derlediğiniz bir uygulamadan maximum düzeyde bir performans alırsınız. Native çalışır ve kodları kolay erişilemez. Diğer bir nokta Delphi. Evet, herkes "eskimiş" dil diye baksa da dün yeni bir sürümü yayınlandı. Delphi XE 10.4 Sydney. Ücretsiz sürümünün de mevcut olduğu, keygenlerine kolay ulaşabileceğiniz bir IDE. Yeni sürüm ile LSP ve yüksek DPI'li uygulamalar oluşturabiliyorsunuz. Ücretsiz tasarımlar (uygulamanız için), Mobil, web programlama gibi cross diyebileceğimiz özellikleri ile şu anda adeta zirveyi yaşıyor. Belki kullanılmıyor ama şans tanımak gerek. Neyse Delphi'nin reklamını çok yapmayayım. Geçenlerde Microsoft bir bloğunda (9.0 içindi galiba) Delphi'de geçmişte ve halen olan TRecord tipini yeni duyurup ismini değiştirmişti sadece. İnsanlarda çok güzel diyip; diğer bilinçli insanlar ise "Bu Delphi'de mevcut, ismini değiştirip yeni özellikmiş gibi sunmanız ne içindir?" tarzında yorumlar yapmışlardı. Yine konuyu dağıtmadan Native ve Windows taraflı C#'ı kullanmak akıl işi değil. Kullananlar genelde; kolaylık ve Microsoft'un arkasında olmasından ve kaynak çokluğundan dolayı kullanıyor. Native olarak derleyen birçok dil var aslında. Yine araştırma yapmak gerekir.

Sonuç olarak native olarak çalışan, size daha performans verecek bir dile geçmeniz en azından kodlarınızı basit bir şekilde reverse edilmesini engelleyecek, daha performanslı uygulamalar çıkarabileceksiniz. Nacizane önerim bu şekildedir. Umarım faydası dokunur.

İyi çalışmalar dilerim...

horriblebyte

Halil Han BADEM

Merhaba, öncelikle iyi dilek ve duaların için çok teşekkür ederim. Aynı düşünceleri sizin içinde barındırdığımı söylemek isterim. Rabbim sizin de gönlünüze göre versin inşallah. Platformun amacı bu zaten. Birbirimize çıkarsız yardımcı olmak. Ne bir maddi beklenti ne de menfaat durumu söz konusu. Sadece gönüllü olarak bir şeyler yapmaya çalışıyoruz.

İyi dilekleriniz ve çabalarınız için çok teşekkürler.

Sorunuza gelince aslında bu durumda 2 husus söz konusu. Bunların biri C# ile devam edip kendi algoritmanız ile bir obfuscator yazmanız. Bu durumda "kodları reflector ile bulup, aha crackledim" diye gezinen kişilerden otomatikman kurtulmuş olursunuz. Zaten Türkiye şartlarında gerçek reverse ile uğraşan kişiler azınlıkta. Ben de şahsen hobi olarak yaptığım bu işte o azınlık derecesine gelmek için çabalıyorum. Kendi algoritmanız ile oluşturduğunuz obfuscator'u kırmak çok basit olmayacaktır. Bu şekilde bir önlem almış olursunuz.

Peki eğer bir programcı böyle bir şeye kalkışacaksa, araştırması gereken konular nelerdir? Bu konuda bir fikriniz var mı?

Diğer husus C++, C veya Delphi gibi native dillere geçmek. Önerim budur. Zira bu diller ile geliştirilen yazılımalar performans ve güvenlik anlamında .NET'i 2'ye katlayacak güçtediler. Dilin zenginliğini bir kenara bırakarak konuşuyorum. C++ veya C ile derlediğiniz bir uygulamadan maximum düzeyde bir performans alırsınız. Native çalışır ve kodları kolay erişilemez.

Sanırım bu durumda tercihim C++ dilinden yana olacak. Ufak bir araştırma ile C++ dili için önerilen Qt Framework'u keşfettim. Bu framework hakkında düşünceleriniz nelerdir? C++ hakkında neredeyse hiç bilgisi olmayan bir yazılımcı, C++ öğrenmeye direkt Qt Framework ile başlayabilir mi? Diğer bir sorum, eğer bu ve bunun gibi C++ framework'leri ile uygulama geliştirirsem, geliştirdiğim uygulama Native özelliğini olduğu gibi korumaya devam edebilecek mi?

İyi çalışmalar...

Halil Han BADEM

horriblebyte

horriblebyte Peki eğer bir programcı böyle bir şeye kalkışacaksa, araştırması gereken konular nelerdir? Bu konuda bir fikriniz var mı?

Bunun için önerebileceğim tek kaynak Github gibi duruyor. Örnekler doğrultusunda kişi kendi korumasını yaratabilir. Böylelikle koruma sağlanabilir. Mesela bir örnek. Yine de kırılma ihtimali var. Buna verilecek emeği yeni bir dil için vermek daha mantıklı duruyor.

horriblebyte Sanırım bu durumda tercihim C++ dilinden yana olacak. Ufak bir araştırma ile C++ dili için önerilen Qt Framework'u keşfettim. Bu framework hakkında düşünceleriniz nelerdir? C++ hakkında neredeyse hiç bilgisi olmayan bir yazılımcı, C++ öğrenmeye direkt Qt Framework ile başlayabilir mi? Diğer bir sorum, eğer bu ve bunun gibi C++ framework'leri ile uygulama geliştirirsem, geliştirdiğim uygulama Native özelliğini olduğu gibi korumaya devam edebilecek mi?

Qt'yi aslında Python ile tanıdım. Python'da C++ gibi görsel anlamda biraz çaba isteyen dillerden. Tabii ki zorluk olarak C++ ile Python karşılaştırılamaz. Cross özelliği ön plana atıyor. Açıkçası Qt ile uygulama geliştirip bir güvenlik incelemesi yapmadım.

horriblebyte C++ hakkında neredeyse hiç bilgisi olmayan bir yazılımcı, C++ öğrenmeye direkt Qt Framework ile başlayabilir mi?

Evet fakat bu sizi acemileştirecektir ilk aşamada. C++ yapısını bilmeden sadece C++ için değil hatta diğer diller içinde aynı durum geçerli; henüz yapıyı bilmeden bir framework ile başlamak ana dilin temelinin birçok önemli hususunu da erteliyor. Bunun sebebi framework'un sağladığı kolaylıklar diyebiliriz.

horriblebyte Diğer bir sorum, eğer bu ve bunun gibi C++ framework'leri ile uygulama geliştirirsem, geliştirdiğim uygulama Native özelliğini olduğu gibi korumaya devam edebilecek mi?

Cross platform olması aklımı karıştırdı. Test etmedim fakat ön yorum olarak şunu söyleyebilirim; kodların compile aşamasında framework eğer özellikleri inject ediyorsa native olarak çıktı verir fakat framework yapısı ile compile edip sonrasında yine framework'un istediği bazı DLL tipleri olursa. Varolan kodun .NET'ten farksız olacağını anlarız. Yine de .NET kadar kolay ulaşılabilir mi bilemiyorum. Dediğim gibi test etmediğim bir konuda çekingen cevaplar verebiliyorum. Sizi de yanlış yönlendirmek istemem. Ana mantık çerçevesinde tepkisine bağlı bir durum.

İyi çalışmalar dilerim.

ZekiGrsoy

Merhaba. Konuyu abone olarak takip ediyorum. Yanıtlardan tam olarak şunu çıkartamadım veya göremediysem kusura bakmayın.

Örneğin basit bir exe uygulaması form üzerine şekil, şema çizen kodlara sahip olsun... Native olarak derlendiğinde bağımlılık açısından yine .NET Framework System.Drawing' e mi başvuracak? Yoksa System.Drawing kaynağı olan gdiplus.dll' e doğrudan mı başvuracak?

Halil Han BADEM

ZekiGrsoy Merhaba,
bunu test etmek gerekir. .NET tarafında kullanılan her kütüphaneyi C++'da karşılığını bulabilir mi bilemeyiz.
Kendi düşüncem sanmıyorum; zira bu durum bu kadar kolay ve stabil olsaydı şu anda IL2CPP baya popüler bir araç olurdu. %100 dönüştürme olacağını düşünmüyorum.