使用x64dbg反混淆非托管壳

SystemDomain::ExecuteMainMethod处下断点，是一个非常折中的方案，不会过于深入clr内部，也不会随随便便被hook住
运行到这里的时候主程序集已经被这些非托管壳还原到对应位置
为什么这说，请看下图

这是主线程的调用堆栈（我在主线程里运行了消息泵，所以暂停住了）
可以看到底端是不知名的地址，应该是TMD之类的壳生成的
再向上看，有个clr._CorExeMain和clr._CorExeMainInternal，clr._CorExeMain是导出函数

有被hook的风险，所以在这里下断点不适合，clr._CorExeMainInternal其实也可以，但是感觉不太好（没测试过）
然后是
······
clr.RunMain
clr.Assembly::ExecuteMainMethod
clr.SystemDomain::ExecuteMainMethod
clr.ExecuteEXE
······
这4个应该都可以，都是比较安全的，几乎不可能被hook住，直接dump下这时的主模块就没啥问题了
不过只测试了clr.SystemDomain::ExecuteMainMethod，测试了3个壳（2个强壳，1个打包器），都是可以的

原文地址：https://www.cnblogs.com/ugvnui/p/9399247.html

时间： 2024-11-09 00:00:27

使用x64dbg反混淆非托管壳的相关文章

反混淆、反编译unity3d动画插件DFTweenLite得到源码

我为什么要得到这个源码,因为有洁癖! 对于Itween性能差,LeanTween 和 HOTween的 免费, 个人还是比较喜欢 Daikon Forge 出品的东西, 因为有我个人很欣赏的 DFGUI 产品.确实很好用!!! DFTweenLite 是免费的, DFTweenPro是收费的. 功能上基本上不差啥.  免费没有源代码, Dll 还进行了混淆. 没有办法,上网找解决办法. 还真有: de4dot主要用来反混淆 用法:dll文件直接拖到de4dot.exe会生成另外一个  文件名+c

使用VBA进行JS反混淆，还原JS代码。

本文地址:http://www.cnblogs.com/Charltsing/p/JSEval.html 联系QQ:564955427 类似下面的代码是登陆 全国企业信用信息公示系统(安徽)(网址:http://www.ahcredit.gov.cn/search.jspx)时得到的,需要反混淆. eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>32?String.fromCha

unity代码反混淆

Unity3D研究院之在把代码混淆过的游戏返混淆回来(七十七) 雨松MOMO [Unity3D研究院之游戏开发] 围观8625次 31条评论 编辑日期:2014-08-01 字体:大 中 小 最近一直在找如何在MAC上混淆Android的DLL,至今没能找到合适的,有大神知道记得告诉我喔.今天群里有人说了一个混淆代码和返混淆代码的工具de4dot ,不查不知道一查吓一跳.这玩意可以把别人混淆过的代码反混淆回来. 这个工程是开源的 https://github.com/0xd4d/de4dot找一

反混淆、反编译unity3d动画插件DFTweenLite得到源代码

出处:http://blog.csdn.net/u010019717 author:孙广东      时间:2015.3.17   23:00 我为什么要得到这个源代码.由于有洁癖! 对于Itween性能差,LeanTween 和 HOTween的 免费. 个人还是比較喜欢 Daikon Forge 出品的东西. 由于有我个人非常赞赏的 DFGUI 产品.确实非常好用! ! . DFTweenLite 是免费的. DFTweenPro是收费的. 功能上基本上不差啥. 免费没有源代码, Dll 还

RESTClient调试POST方法&amp;Reflector+de4dot反混淆破解dll

RESTClient调试POST方法 RESTClient是火狐的一款WebAPI测试工具. 1.先看下我们要调试的接口 2.添加自定义请求头 Name:Content-type Value:application/x-www-form-urlencoded 3.设置请求体 对请求报文进行Base64解码,使用工具Notepad++ 解码后: 反编译工具Reflector+反混淆工具de4dot破解dll 1.下载de4dot,然后解压目录结构如下: 2.打开“CMD命令提示符”,再定位到 De

js混淆代码还原－js反混淆：利用js进行赋值实现

先贴一个混淆后的测试代码: eval(function(p,a,c,k,e,d){e=function(c){return(c<a?"":e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(

反混淆后的.net文件编译

因为工作的需要,研究一下别人的软件.这篇文章主要是分享一下过程,其中没有什么技术性的东西,只是想告诉那些和我一样深深被反编译出来的代码,在编译过程中显示出来的错误数量惊呆的小伙伴们,这些错误或许没有你想象的那么厉害,当然,你必须要要有足够的基础去修改那些错误. 首先,打开reflector,发现代码被混淆过,看到那些乱七八糟的方法名称,你懂得.下载de4dot-3.0.3,反混淆后,将文件反编译成c#工程,本来想弄成mc++,但这种托管的c++和我最熟悉的vc6差距大着,悲剧,还是c#看着舒服.

Winform JAVA程序破解，以及反混淆工具

对于winform生成的exe程序,可以通过ILSpy.exe工具来进行破解. 可以通过ILSpy下载 有的程序会使用混淆工具进行混淆,这样反编译的源代码可读性很差,可以使用反混淆工具对其进行反混淆 de4dot de4dot用法 使用命令行到de4dot目录中,调用de4dot.exe(如果是64位调用de4dot64.exe) 后续添加要反混淆的exe目录执行后就可以成功. 反编译java程序,需要用到jd_gui jd-GUI

.net反混淆脱壳工具de4dot的使用

de4dot是一个开源的.net反混淆脱壳工具,是用C#编写的,介绍一下它的使用方法 首先 pushd 到de4dot.exe所在文件夹,然后调用 de4dot.exe  路径+dll名称 如下图 Detected Unknown Obfuscator 说明侦测不到这个程序集是用什么方式混淆的,但是de4dot依然会把反混淆的程序集重新生成一个新的程序集. 当然,生成的程序集还是没能反混淆. Dundas作为一个给专业程序员使用的控件,当然没那么容易破解,不过这里又多了解了一种反混淆脱壳工具,也