Deobfuscate .net應用程序。缺少在運行時加載

我們

試鏡的團隊正在研究從客戶的ERP應用（.NET）大會/ DLL。在檢查源代碼之後，我們也正在通過反混淆來檢查供應商DLL，並在運行過程中檢查過程。Deobfuscate .net應用程序。缺少在運行時加載

我們找到了一個在運行時加載和執行的程序集。我們無法找到關於此程序集的更多信息。我們假設這個DLL是從字節加載並附加到appdomain。該字節可以位於其中一個資源中，也可以來自IsolatedStorage。我們真的不知道如何抓住這個DLL，所以我們可以嘗試反編譯它。

一些信息： - 使用進程資源管理器，我們能夠發現從應用程序加載的幾個dll路徑。 .net程序集和路徑列表。但是對於這個集會，沒有路徑，只有他的集會名稱。

有什麼辦法從內存中「提取」這個DLL並保存它？我們可以做些什麼來至少了解關於此程序集的更多信息？

謝謝，柯南。

來源

2017-09-15 Conan.Net

我甚至不認爲這樣的組件的許可期限會給你反編譯代碼的權利，因此這種討論是不合適的。 –

我明白你的關注。但是，在處理財務數據以及沒有完整源代碼的遺留系統時，此操作有時是唯一的選擇。我無法透露項目的所有細節，但想象一家公司被收購，許多商業信息和流程未被記錄。除此之外，我們有一個時間表讓所有系統都符合法規和合規要求。 –

互聯網上有一個名爲Megadumper的工具，由Code Cracker提供......它是一個內存轉儲工具。您只需運行該程序，然後在Mega Dumper中右鍵單擊該進程並選擇.net轉儲。該進程正在使用的所有文件都將從啓動進程的轉儲文件夾中的內存中轉儲。只要確保以管理員身份運行Mega Dumper。

來源

2017-09-16 04:49:03 user8555433

謝謝。這個工具真的很棒。我可以轉儲一些我需要探索的.net資源。但不幸的是，並非全部。最重要的程序集仍然在JustDecompile無法找到任何內容的級別中被混淆。 –

通過de4dot運行混淆文件。然後在dnspy中打開清理過的。然後你會看到去混淆的源代碼好得多。

來源

2017-09-17 13:29:07 user8555433

@Lex李因此，如果供應商提出了一個後門漏洞在他們的代碼，並且不告訴你這件事，然後就是好嗎？只要組件保持內部狀態，審計他們的代碼以檢查安全漏洞是完全合法的。現在，如果OP決定複製源代碼並將其分發到他自己的產品中，那麼這將是非法的。 – user8555433

再一次，你對一些事情不正確。 Windows和Mac OS是本地代碼。 OP試圖去混淆的代碼是.net代碼，它更容易。 De4dot是一個通用的反混淆工具，可以將多個不在列表中的混淆器去混淆。如果您嘗試使用它，而不是猜測它，你會看到什麼，我引用。 – user8555433

Deobfuscate .net應用程序。缺少在運行時加載

回答

相關問題