Universal Fixer 1.0 - fix dumps after dumping them whit Dotnet Dumper or other similiar tools and will also fix nasty things: multiple assembly/module definitions, wrong extends, etc. iMPROVE .NET Deobfuscator - деобфускатор
HaRpY пишет: Итак вопрос: какой из способов корректен?
а если во втором варианте перехватить jit-компиляцию и посмотреть? я думаю всё будет в норме. чтобы не делали авторы защит подавать фреймворку всё должны так, как ему нужно.
zeppe1in пишет: а если во втором варианте перехватить jit-компиляцию и посмотреть? я думаю всё будет в норме. чтобы не делали авторы защит подавать фреймворку всё должны так, как ему нужно.
Для второго случая в момент jit-компиляции в буфере (CORINFO_METHOD_INFO.ILCode) лежит только код. SEH-секции нет. Следовательно, на момент jit-компиляции, данными SEH-секции уже должны быть инициализированы какие-то структуры CLR. Т.е. нет необходимости класть в буфер вслед за кодом SEH-секцию.
Скорее всего, для первого варианта наличие в буфере после IL кода SEH-секции не более чем "счастливая случайность".
dx2003 не вопрос. в 2х словах в защищённом фаиле находится закодированный код и есть cliшная таблица методов, в которой указано где в фаиле лежит закодированный код(с хедером), и его размер. При жит компиляции он смотрит по своей таблице, и если не 0 то раскодирует код и отдаёт компилеру.
Собственно если разобраться что откуда, то проходимся по таблице, раскодируем код, и меняем рва. всё.
Осталось только передать привет Deathway за Oreans UnVirtualizer
Более конкретно могу рассказать в лс, потому что хз как тут, только сырки выкладывать, а на первой же жертве пришлось вносить ряд изменений, может версия была другая, может билд такой, хз.
а как узнать где находятся закодироваанный код и cli'шная таблица методов? если есть что-то вроде солюшена (на подобии моего...) было бы интересно взглянуть +)
NIKOLA
В моем случае это начальный проект с помощью которого можно собрать статический анпакер NET Reactor'а... Все в рабочем, так сказать, не причесанном, варианте +)
подскажите немного по методике, есть обфуцированная сборка, что и где патчить я нашел и пропатчил, сборка была подписана SN и текстовые строки были ею зашифрованы, соответственно при переподписи мы видим симпатичные иероглифы, как поступить?
Av0id я б разшифровал все строки и использовали их в декомп. проекте (если они пошифрованы через ориг SN - тогда как еще, нельзя иметь и ориг и свой SN сразу)
New: - Bug fixed - now will dump all posible exes from memory - Added Managed Stack Explorer for .NET programs - just select a process And Click on Advanced Info -> Managed Stack Explorer
чёто ток после ILSpy(опен-соурс декомпилер) появилось обилие других декомпилеров. Что говорит нам.... Скажу прямо, они просто передируют код ILSpy изменяют интерфейс и делают свои копирайты.
Сделал свой деобфускатор при помощи Mono.Cecil. Основную задачу выполняет, но когда просматриваю через декомпилер (пробовал рефлектор & ILSpy). Ринэймер норм работает (вот кстати его код:
) Но вот с другой штукой проблемы. Дело в том, что обфускатор (.NET ID показал Spices Opfuscator), создаёт в норм классе nested type, куда выносит все стд методы. я с помощью Mono.Cecil написал деобфускатор(но после такого деобфускатора рефлектор просто вылетает):