Deobfuscate .net应用程序。缺少在运行时加载

我们

试镜的团队正在研究从客户的ERP应用（.NET）大会/ DLL。在检查源代码之后，我们也正在通过反混淆来检查供应商DLL，并在运行过程中检查过程。Deobfuscate .net应用程序。缺少在运行时加载

我们找到了一个在运行时加载和执行的程序集。我们无法找到关于此程序集的更多信息。我们假设这个DLL是从字节加载并附加到appdomain。该字节可以位于其中一个资源中，也可以来自IsolatedStorage。我们真的不知道如何抓住这个DLL，所以我们可以尝试反编译它。

一些信息： - 使用进程资源管理器，我们能够发现从应用程序加载的几个dll路径。 .net程序集和路径列表。但是对于这个集会，没有路径，只有他的集会名称。

有什么办法从内存中“提取”这个DLL并保存它？我们可以做些什么来至少了解关于此程序集的更多信息？

谢谢，柯南。

来源

2017-09-15 Conan.Net

我甚至不认为这样的组件的许可期限会给你反编译代码的权利，因此这种讨论是不合适的。 –

我明白你的关注。但是，在处理财务数据以及没有完整源代码的遗留系统时，此操作有时是唯一的选择。我无法透露项目的所有细节，但想象一家公司被收购，许多商业信息和流程未被记录。除此之外，我们有一个时间表让所有系统都符合法规和合规要求。 –

互联网上有一个名为Megadumper的工具，由Code Cracker提供......它是一个内存转储工具。您只需运行该程序，然后在Mega Dumper中右键单击该进程并选择.net转储。该进程正在使用的所有文件都将从启动进程的转储文件夹中的内存中转储。只要确保以管理员身份运行Mega Dumper。

来源

2017-09-16 04:49:03 user8555433

谢谢。这个工具真的很棒。我可以转储一些我需要探索的.net资源。但不幸的是，并非全部。最重要的程序集仍然在JustDecompile无法找到任何内容的级别中被混淆。 –

通过de4dot运行混淆文件。然后在dnspy中打开清理过的。然后你会看到去混淆的源代码好得多。

来源

2017-09-17 13:29:07 user8555433

@Lex李因此，如果供应商提出了一个后门漏洞在他们的代码，并且不告诉你这件事，然后就是好吗？只要组件保持内部状态，审计他们的代码以检查安全漏洞是完全合法的。现在，如果OP决定复制源代码并将其分发到他自己的产品中，那么这将是非法的。 – user8555433

再一次，你对一些事情不正确。 Windows和Mac OS是本地代码。 OP试图去混淆的代码是.net代码，它更容易。 De4dot是一个通用的反混淆工具，可以将多个不在列表中的混淆器去混淆。如果您尝试使用它，而不是猜测它，你会看到什么，我引用。 – user8555433

Deobfuscate .net应用程序。缺少在运行时加载

回答

相关问题