SandboxiePlus 高级功能无限试用破解

前言

前几天偶然发现SandboxiePlus的一些有意思的高级功能，比如：数据保护、安全强化和应用程隔离。但这些功能都要收费，免费的证书有效期也只有10天，每个PC只能申请三次。

虽然它已经开源了，鼓励大家提交代码，使用这个软件，看起来破解它没太大的必要，但你自己编译的程序没有微软的签名，正常使用这个程序需要关闭强制驱动签名(DSE)，对于没有虚拟机环境的用户来说显然不可行，这无疑将更大的风险暴露了出来。换句话说，如果我有虚拟机环境了，我也没必要使用SandboxiePlus，除非你是研究这个程序的。本篇文章介绍了如何在其官方发布的程序中(带微软官方签名)，通过替换一些模块，实现无限试用其高级功能。

注意：这里的证书只是一段字符串，不是.DER、.CER或.PFX那种格式的证书，不要搞混了。

验证流程

首先需要获取一个试用证书，这个证书肯定是有效的，然后分析整个程序如何对这个证书的内容进行验证。

获取试用证书

获取证书的路径在选项->全局配置->捐赠支持->获取一个免费试用许可证，

接下来需要输入一个邮箱地址，这个邮箱地址可以是无效的，它并不会像你的邮箱中发送一个验证链接，然后点击确定就行了。

最后等待几秒中，SandboxiePlus会需要一个权限，向自己的安装路径中的Certificate.dat文件写入获取的证书内容，我这里的证书如下：

上述流程对应的代码是OnlineUpdater.cpp的COnlineUpdater::GetSupportCert函数中，该函数中会获取之前输入的邮箱地址、当前计算机用户名以及和驱动交互拿到PC硬件SMBIOS中的UUID，然后拼接成下面格式的URL

向服务端发送网络请求，最后服务端返回的就是上面证书的内容。另一种验证方法是通过序列号，这个应该是没有和PC硬件进行绑定的，这种方法这里就不介绍了，感兴趣的小伙伴可以自行研究一下。

驱动验证

证书的验证主要在驱动侧，52pojie论坛上面从Sandboxie源码分析软件注册机制及逆向思路这篇文章介绍了如何绕过驱动的验证，总结来说就是让驱动的验证函数直接返回STATUS_SUCCESS，绕过验证。这不符合我们需求，而且这种方法现在已经无效了，一些高级功能还是无法使用。
驱动的验证函数是verify.c中的KphValidateCertificate函数，主要验证流程如下：

1. 打开并获取Certificate.dat文件的内容，解析成如下key:value的形式,

获取字段中的信息，如下:

• "NAME"字段的值表示用户名，
• "DATA"字段的值表示试用证书的开始日期，
• "TYPE"字段的值"EVALUATION"表示证书类型，"10"表示有效试用期时间，单位是天
• "SOFTWARE"字段的值表示软件名称，必须是"Sandboxie-Plus"，任何类型的证书都是"Sandboxie-Plus"，否则无法验证通过。

• "UPDATEKEY"字段的值表示证书的更新密钥，如果这个值存在一个黑名单中，则验证失败。
• "HWID"字段的值表示硬件ID，如果和当前机器的硬件ID不相同，验证失败。

1. 然后将key和value输入填入缓存区，使用SHA256算法进行hash运算.

1. 签名验证。验证函数函数如下，Hash和HashSize就是上文中的sha256值和长度，Signature是证书中的"SIGNATURE"对应的值，这个值是经过base64编码的，到验证函数这个地方已经经过解码了。

这个函数试用的签名算法是BCRYPT_ECDSA_P256_ALGORITHM.

1. 验证通过之后，开始填充Verify_CertInfo全局变量，它的类型是SCertInfo。SandboxiePlus用户态和驱动进行通信，返回Verify_CertInfo的内容，来查询当前机器是否有资格使用一些高级功能。

前面签名已经验证通过了，所以将active设置为1。根据"TYPE"设置type，这里为eCertEvaluation，对应的level为eCertMaxLevel表示可以试用SandboxiePlus的所有高级功能，部分代码如下：

接下来就是填充expired，判断当前证书是否过期。如果证书类型是eCertEternal，将永远有效。验证eCertEvaluation证书有效期逻辑如下：

总结：这个验证过程就是获取证书内容，对除签名字段以外的其他内容进行sha256运算，然后hash值和签名使用ECDSA算法进行验证。验证通过之后，填充全局变量Verify_CertInfo。

破解思路

破解私钥

• 渗透大佬可以尝试拿些"2a3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6j5h3&6V1j5X3!0^5K9h3g2Q4x3X3c8H3L8s2g2K6i4K6u0W2j5$3!0E0i4K6u0r3"这台主机，获取KphpTrustedPublicKey对应的私钥，大佬们可以挑战下。
• 尝试基于密码学的一些原理破解私钥，比如：选择明文攻击。现在的计算机水平，几乎无法实现。

修改机器时间

• 假如你不怕麻烦的话，可以申请一个有效试用证书，不断修改当前机器的时间，实现永远在有效期内。

修改用户态查询结果

上文中介绍了驱动中的验证逻辑，用户态通过和内核态通信来判断是否可以使用一些高级功能，其实就是返回Verify_CertInfo中的内容。那么能不能通过修改用户态的结果来绕过验证？

• 情况一：假如构造一个无效证书，修改用户态的查询结果，是否可行？答案是不可行。因为你绕过了用户态验证，但内核态的Verify_CertInfo中的信息并没有变，当你使用一些高级功能，内核态也会进行判断对应的字段是否有效，相关代码如下：

• 情况二：假如我申请一个有效试用证书，但我能否修改用户态的查询结果，实现软件的无限试用？答案是可以。当我一个试用证书过期了，_SCertInfo结构体中除了expired之外的其他成员都是正常的，而expired字段的校验交给了用户态，内核态并没有校验。查找所有参数IoControlCode为API_QUERY_DRIVER_INFO，调用NtDeviceIoControlFile的代码，修改返回结果，将expired字段设置为0，expirers_in_sec设置为0xffffffff，即可实现无限试用。

对应的文件已经编译成了DLL，请关注下面的公众号，

回复SandboxiePlus关键字获取下载链接。文件下载后替换SandboxiePlus安装目中的文件即可。

总结

本文利用了SandboxPlus验证逻辑漏洞，通过修改SandboxiePlus用户态程序查询证书信息的结果，实现了无限试用官方正式版高级功能的效果。