.Net Reactor 5脱壳教程
今天别人发来一个.Net的DLL让我脱壳,第一步自然是先扔进de4dot
我这个de4dot 是集成了 Ivancito0z / TheProxy / PC-RET 4.9mod / wuhensoft(5.0) 各大神修改的版本,无法脱壳,肯定就是新的reactor 5加的壳了。
我们加上 -v 参数显示错误
在解密资源的时候出错了,我们打开de4dot的源码,找到报错的位置
懒的分析原因,直接注释掉,编译de4dot 后重新进行脱壳。
成功脱壳,打开看看
发现字符串未被正确解密。
我们再次解密:
命令行(用法和token获取具体参考de4dot帮助)
de4dot SixTow-cleaned.dll --strtyp delegate --strtok 0x060001BA -v
解密后发现字符串依然未解密,我们再回头看解密函数
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
|
[Class8.Attribute0( typeof (Class8.Attribute0.Class9< object >[]))] internal static string smethod_10( int int_5) { if (Class8.byte_1.Length == 0) { BinaryReader binaryReader = new BinaryReader(Class8.assembly_0.GetManifestResourceStream( "pF5NG7nGmlpjNJS2XA.xvDeEZ4QpSKik8SYCO" )); binaryReader.BaseStream.Position = 0L; byte [] array = binaryReader.ReadBytes(( int )binaryReader.BaseStream.Length); binaryReader.Close(); byte [] array2 = new byte [32]; array2[0] = 177; array2[0] = 136; array2[0] = 181; array2[1] = 96; array2[1] = 150; |
解密是通过资源 pF5NG7nGmlpjNJS2XA.xvDeEZ4QpSKik8SYCO 解密出来的,但是pF5NG7nGmlpjNJS2XA.xvDeEZ4QpSKik8SYCO在de4dot脱壳的时候清理了。
好吧,我们从原程序中将 pF5NG7nGmlpjNJS2XA.xvDeEZ4QpSKik8SYCO 提取出来,并加入 脱壳后的文件(如图)。
再次使用
de4dot SixTow-cleaned.dll --strtyp delegate --strtok 0x060001BA -v
进行解密
发现成功解密。脱壳完成(部分混淆是其它DLL中的,不在此文讨论范围)
欢迎指正。
【推荐】国内首个AI IDE,深度理解中文开发场景,立即下载体验Trae
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· Linux系列:如何用 C#调用 C方法造成内存泄露
· AI与.NET技术实操系列(二):开始使用ML.NET
· 记一次.NET内存居高不下排查解决与启示
· 探究高空视频全景AR技术的实现原理
· 理解Rust引用及其生命周期标识(上)
· 阿里最新开源QwQ-32B,效果媲美deepseek-r1满血版,部署成本又又又降低了!
· 单线程的Redis速度为什么快?
· 展开说说关于C#中ORM框架的用法!
· SQL Server 2025 AI相关能力初探
· Pantheons:用 TypeScript 打造主流大模型对话的一站式集成库