【.Net】.Net逆向分析

概述：. NET 程序逆向分析实践指南，涵盖工具使用、分析技术和开源项目推荐。

[toc]

本文部分内容由 AI 生成，经人工修订。

0x01、.NET 逆向概述

.NET 程序编译后生成 IL（Intermediate Language）中间语言，运行时由 CLR（Common Language Runtime）即时编译为机器码执行。相比原生程序，.NET 程序保留了丰富的元数据，使得逆向分析相对容易。

.NET 程序特点

• 元数据丰富：类名、方法名、字段名等信息完整保留
• IL 代码可读：中间语言比汇编更容易理解
• 易于反编译：可近乎完美还原源代码
• 保护方案多样：混淆、加壳、虚拟化保护等

常见保护方案

保护类型	说明	破解难度
无保护	直接反编译	⭐
名称混淆	类名/方法名替换为无意义字符	⭐⭐
控制流混淆	增加跳转和分支	⭐⭐⭐
加壳	运行时解压/解密	⭐⭐⭐
虚拟化保护	将 IL 转换为自定义指令	⭐⭐⭐⭐
原生编译	.NET Native / AOT	⭐⭐⭐⭐⭐

0x02、常用工具推荐

反编译工具

dnSpy

最流行的 .NET 反编译和调试工具，功能强大。

特点：
- 反编译 C# / VB / IL 代码
- 动态调试（断点、内存查看）
- 修改程序集并保存
- 插件扩展支持

GitHub: https://github.com/dnSpy/dnSpy

ILSpy

开源的 .NET 反编译工具，支持最新 .NET 版本。

特点：
- 完全开源
- 支持最新 C# 语法
- 可作为 VS Code 插件
- 导出项目功能

GitHub: https://github.com/icsharpcode/ILSpy

dotPeek

JetBrains 出品的免费反编译工具。

特点：
- 支持 .NET Core / .NET 5+
- 生成 PDB 符号文件
- 与 ReSharper 集成
- 导出为项目

官网: https://www.jetbrains.com/decompiler/

混淆分析工具

de4dot

通用的 .NET 脱壳和反混淆工具。

# 基本用法
de4dot.exe target.exe
 
# 指定混淆类型
de4dot.exe target.exe --type-confuserex
 
# 支持的混淆器
# - ConfuserEx
# - .NET Reactor
# - Agilent
# - SmartAssembly
# - Dotfuscator

GitHub: https://github.com/de4dot/de4dot

CAPE

基于 dnSpy 的自动化脱壳插件。

支持脱壳：
- .NET Reactor
- ConfuserEx
- Eazfuscator
- 各种自定义保护

静态分析工具

NET Analyzer

- 检测潜在的恶意代码
- 分析程序集依赖
- 识别可疑 API 调用

MSDN 文档

- .NET API 参考
- IL 指令参考
- 元数据格式规范

0x03、分析技术

基础分析流程

1. 识别保护方式

   # 使用 Detect It Easy 或 die 工具
   diec.exe target.exe

2. 脱壳/反混淆

   # 使用 de4dot
   de4dot.exe target.exe -o target_unpacked.exe

3. 反编译分析

   • 使用 dnSpy 打开程序集
   • 查看入口点和主要逻辑
   • 分析关键算法和数据流

4. 动态调试

   • 设置断点
   • 跟踪变量值
   • 修改运行时数据

常见分析场景

序列号验证绕过

// 原始代码
if (LicenseManager.Validate(key))
{
    EnableFullVersion();
}
 
// 修改后（dnSpy 编辑 IL）
if (true)
{
    EnableFullVersion();
}

网络请求分析

// Hook HttpWebRequest 或 HttpClient
// 在 dnSpy 中设置断点跟踪请求内容

配置文件解密

// 找到解密函数
// 提取密钥和算法
// 编写解密脚本

IL 代码分析

常见 IL 指令

IL 指令	说明
ldstr	加载字符串
call	调用方法
callvirt	调用虚方法
newobj	创建对象
brtrue	条件跳转（true）
brfalse	条件跳转（false）
ret	返回

IL 修改示例

// 原始 IL
IL_0000: ldarg.0
IL_0001: call bool LicenseManager::Validate(string)
IL_0006: brfalse.s IL_0010
IL_0008: call void Program::EnableFullVersion()
IL_000d: br.s IL_0014
IL_0010: call void Program::ShowTrial()
IL_0015: ret
 
// 修改后（直接调用 EnableFullVersion）
IL_0000: call void Program::EnableFullVersion()
IL_0005: ret

0x04、开源项目推荐

逆向分析工具

项目	说明	链接
dnSpy	反编译调试器	https://github.com/dnSpy/dnSpy
ILSpy	开源反编译器	https://github.com/icsharpcode/ILSpy
de4dot	脱壳反混淆	https://github.com/de4dot/de4dot
dnlib	.NET 程序集操作库	https://github.com/0xd4d/dnlib
Mono.Cecil	程序集读写库	https://github.com/jbevain/cecil

保护与混淆

项目	说明	链接
ConfuserEx	开源混淆器	https://github.com/mkaring/ConfuserEx
Obfuscar	简单混淆工具	https://github.com/obfuscar/obfuscar

学习资源

项目	说明	链接
r77-rootkit	PE 注入示例	https://github.com/bytecode77/r77-rootkit
RunPE	内存执行技术	https://github.com/bytecode77/r77-rootkit/blob/master/Stager/RunPE.cs
SharpCollection	C# 安全工具集	https://github.com/Flangvik/SharpCollection

安全工具示例

项目	说明	链接
YSoSerial.Net	反序列化漏洞利用	https://github.com/pwntester/ysoserial.net
SharpSploit	后渗透工具库	https://github.com/cobbr/SharpSploit
Rubeus	Kerberos 攻击工具	https://github.com/GhostPack/Rubeus
Seatbelt	系统信息收集	https://github.com/GhostPack/Seatbelt

0x05、相关文章

• 【.Net】AppDomain
• 【.Net】反序列化探索
• 【.Net】.Net程序OEP
• 【.Net】可执行文件结构分析
• 【.Net】JIT And Run
• 【.Net】获取程序集地址

0x06、学习建议

入门路径

1. 熟悉 IL 语言 - 理解中间语言基础
2. 掌握 dnSpy - 熟练使用反编译和调试功能
3. 学习混淆技术 - 了解常见保护原理
4. 实践脱壳 - 使用 de4dot 处理样本
5. 深入元数据 - 理解 PE/COFF 和 CLI 格式

进阶方向

• 编写 dnSpy 插件 - 自动化分析流程
• 开发混淆器 - 深入理解保护技术
• 研究新型保护 - 对抗虚拟化保护
• AOT 编译分析 - 处理 .NET Native 程序

---

更新时间: 2026-03-27