Со времени создания топика много обсудили, во много м разобрались и много осталось за кадром. Решил подшить выкладываемый софт и линки

Инструменты:

dnSpy - бодрый декомпилятор и отладчик тут беты

Gray Wolf - DE-ObfuScatE / Edit IL(Live) / Add payloads / Edit attributes(public/privet) / Copy strong names signing on EXE/DLL
ReSharper 6.0 Build 2093 Pre-Release - Очень навороченый декомпилер, побробности --> ТУТ <--.
Рег-данные:

Reflector 8.3.3.115 - платный декомпилятор .NET 8.3.0.95 + (дополнение к нему)
Седьмая версия рефлектора - думаю все знают
Сборка Add-in'ов для Reflector - есть много полезных вещей
.Net ID 1.0.0.3 - определение защиты
DNiD by Rue - сигнатурный анализатор
Dotnet IL Editor (DILE)- Opensource дизассемблер и дебаггер
Xenocode Fox Code Analyzer- профайлер и дизассемблер
Reactor Decryptor 1.7 - что то декриптит, но что не понятно(с) zeppe1in
Simple Assembly Explor (SAE) - Assembler, Disassembler, Deobfuscator, IL editor and more...
DotNet Dumper 1.0 - Дампер .net'овских приложений. Подробное описание
Kurapica dotNET Tracer 1.1 - трейсер от известного автора инструментов для .net
ILSpy 1.0.0.481 - Opensource комбайн, на подобие SAE. Подробности тут
dotTrace Performance 4.0.665.4 - Неплохой трейсер для .Net приложений. Умеет делать трейсы не смешивая потоки как KDT. Умеет сравнивать трейсы двух запусков программы
Рег-данные:

Universal Fixer 1.0 - fix dumps after dumping them whit Dotnet Dumper or other similiar tools and will also fix nasty things: multiple assembly/module definitions, wrong extends, etc.
iMPROVE .NET Deobfuscator - деобфускатор


ConfuserDumper
ConfuserDelegateKiller
CodeCrackerTools: ConfuserMethodsDecryptor, ConfuserDelegateKiller, ConfuserStringDecryptor, MegaDumper, etc.

Документация:
--> Microsoft <--
--> Metadata and File Format <--
--> CIL(опкоды с полным пояснениями) <--

Статьи с хабры:
Защита .NET приложений - Субъективная теоретическая муть с хабры, выдаваемая за обзор обфускаторов(только для фанатов)
Как обмануть NET.Reflector - вот это уже годная статья, в которой рассматривается ручная обфускация в стихах и картинках
Взлом программ для чайников - ну не знаю...прописные истины, но приятно, что все это есть на русском языке и нормально оформлено
Реверс-инжиниринг обфусцированной сборки .NET - один только заголовок чего стоит. По сути статья информативная
Инъекции MSIL кода в стороннюю сборку при помощи Mono.Cecil. Реализация принципов АОП в NET
Избавление .NET программы от регистрации на примере BEM
Снимаем дамп объектов с памяти .Net приложения

Другое:
.NET Reflector v7.0.0.198 (C# Source by wangshy)
String decryption with de4dot

Прошлый топик https://exelab.ru/f/action=vthread&forum=1&topic=16650&page=-1

-

Last edit: 2012-02-17, Links fixed. Jupiter

| Сообщение посчитали полезным: prorab777, ViruSZ7

столкнулся с dotfuscator, то ли новой то ли кастомной версии. de4dot последний билд его не берет
с декриптом строк я разобрался - изменил подсчет magic number и сам метод декрипта строк.
но мусорный код в виде циклов и кейсов остается и я не могу найти место в de4dot где это обрабатывается, чтобы посмотреть что не так.
кто-нибудь сталкивался уже с этим?

| Сообщение посчитали полезным:

zds пишет:
de4dot последний билд его не берет

так он 100 лет в обед не обновлялся же....
надо учить код утилитки и пилить свою логику.

| Сообщение посчитали полезным: sefkrd

zds
а сам файл можно залить?

| Сообщение посчитали полезным:

zds
--> Extending-de4dot <--

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

igorcauret
--> Link <--
здесь таргет и профикшенный для декрипта строк de4dot

ajax
у меня проблем с изменением de4dot не было. вопрос был в том где de4dot обрабатывал мусорный код раньше, чтобы посмотреть почему не работает сейчас. но походу такого функционала и раньше не было для dotfuscator. был только декрипт строк.
может если время будет, то запилю с нуля

| Сообщение посчитали полезным: igorcauret

Смотрю в шапке нет даже документации на С# (CLI)
--> Microsoft <--
--> Metadata and File Format <--
--> CIL(опкоды с полным пояснениями) <--

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным: Medsft, denis765600, ARCHANGEL

ClockMan пишет:
Смотрю в шапке нет даже документации на С# стопудово поддерживаю шапка никудышная, ТС слился, больно смотреть.
Ну все с Archer теперь попрёт)

| Сообщение посчитали полезным: ClockMan

zds ссылка на меге мертвая, перезалейте пожалуйста

| Сообщение посчитали полезным:

Раз уж пришлось собирать de4dot из последних исходников с гитхаба, то просто оставлю тут, может кому пригодится: http://rgho.st/private/6xZnLfRB4/669b038a0476b1a7fd92bd1258b707f7

| Сообщение посчитали полезным:

hoyux
Зачем?

https://ci.appveyor.com/project/0xd4d/de4dot/build/artifacts



-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

| Сообщение посчитали полезным: denis765600

4kusNick пишет:
Зачем?
Да кто же знал что где-то такое есть

hoyux пишет:
Дык на гихабе же ссылка есть в самом начале описания )
Еслиб я читал... Скачал и закрыл

| Сообщение посчитали полезным:

hoyux
Дык на гихабе же ссылка есть в самом начале описания )

| Сообщение посчитали полезным:

Чего-то сдох AssemblyComparer который я ранее пользовал, нашел другой удобный тул для сравнения дотнет сборок (для моно тоже канает), ранее на форуме не упоминался: BitDiffer



Он давно не обновлялся, но в моем случае справился с задачей, может еще кому пригодится.

-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

| Сообщение посчитали полезным: Jaa, Flint, JohnyDoe, -=AkaBOSS=-

--> Первая бета dnSpy 4 <--

| Сообщение посчитали полезным: DICI BF, sefkrd, v00doo, Haoose-GP

Не знает никто что может помочь с анпаком? http://bit.ly/2zyR7DA
Пробовал de4dot, de4dot fixed by ivancitooz - не берут.
Последний вроде спецом под Confuser / Crypto Obfuscator пилился

| Сообщение посчитали полезным:

orislip пишет:
Не знает никто что может помочь с анпаком? http://bit.ly/2zyR7DA

Если ничего не помогает, попробуй вручную:
1. Открыть S..S.. .exe в DnSpy
2. перейти в <Module>.cctor через выпадающее меню ПКМ
3. в конце конструктора расположились 3 вызова каких-то функций. Ставим останов на самом первом и запускаем программу на выполнение.
4. после всплыва на точке останова дампим программу. Загружаем сдампленное - тела функций на месте.
5. Причесываем программу в de4dot (я использовал сборку 2016 года) с командной строкой -p cr -f SS.exe
6. В причесанной программе видим что константы обфусцированы. У меня вызовы идут к Class14, Class15 ( 0x02000012) , к методам вида

например в стат конструкторе ZipFile

От этой обфускации можно избавиться и после декомпиляции в проект , написав консольную программу замены по Regexp, проходящей по полученный cs Файлам и заменяющий вызовы. (естественно нужно будет вычислить значение буфера Class14.byte_0);
Потребуется еще разобраться с зашифрованными ресурсами. Как там дело обстоит я не смотрел.

P.S. Видимо, программа SS.exe защищена с помощью CryptoObfuscator а сверху еще накрыт ConfuserEx ( опция - шифровка кодовой секции). То есть более осмысленные действия - это позволить защите конфузера расшифровать кодовую секцию , сдампить модуль и натравить потом уже распаковщик CryptoObfuscator.

| Сообщение посчитали полезным: parfetka, 4kusNick, orislip

Выложите пожалуйста Sn.exe (Strong Name Tool) из .NET SDK
Спасибо!

| Сообщение посчитали полезным:

https://www.sendspace.com/file/s3vuw5

| Сообщение посчитали полезным: TryAga1n

ребята, есть ли в природе монитор/логгер вызванных методов? по типу API Monitor ( http://www.rohitab.com/apimonitor )

| Сообщение посчитали полезным:

Возможно дот нет трейсер? http://prntscr.com/h2r5k6
такого крутого как апимонитор (но для дотнета) не знаю

| Сообщение посчитали полезным:

Есть ещё dotTracer



-----
Флэш, ява, дотнет - на завтрак, обед и ужин. Unity3D на закуску.

| Сообщение посчитали полезным:

Да, это я все видел, но это не то что требуется. Хотелось бы видеть значения параметров до/после выполнения метода.
Кстати, пока тул искал (которого паходу нет) наткнулся на https://github.com/Michidu/ILUnpacker

| Сообщение посчитали полезным:

Привет, подскажите пожалуйста как обновить (рекомпилировать) скрытые методы созданные компилятором (это опция в dnSpy)
В моём случае выходит, что эти методы получают управление, а не те что я изменил ))
Например - есть метод по нажатию на кнопку, я его меняю под свои цели )), а исполняется в итоге параллельный метод (с таким же кодом) созданный компилятором - программа dnSpy это видит, но менять там ничего не получается...
Я так понимаю должен быть некий рекомпилятор, для синхронизации этих двух методов..

| Сообщение посчитали полезным:

Всем привет! Нужно посмотреть код утилиты.
ProtectionID определил: [.net scan core] ConfuserEx v0.5.0 detected!
Решил сдампить.
ConfuserDumper вылетает с ошибкой "Требуется неотрицательное число. Имя параметра: count". Видимо он работает только с ConfuserEx 1.9
Решил снять дамп с помощью OllyDbg. Искал регионы памяти со строкой "koi". Но ни один из найденых регионов не содержит "MZ" сигнатуру в начале.
Подскажите пожалуйста, что я делаю не так и какие утилиты мне необходимо использовать.
--> https://mega.nz/#!1NEUAY4B!Epx1WIpFiCtXk7UnPY2Gsft_FEP3dHyMX9cg15hqcus <--
--------------
Добавлено:
--------------
Удалось распаковать с помощью UnConfuserEx.
На этом этапе я смог смотреть расшифрованный код методов с помощью ILSpector и плагина от Medsft.
Потом я скормил программу утилитам ConfuserExCallFixer, ConfuserExSwitchKiller, ConfuserExDupPopPatcher.
Утилита ConfuserExStringDecryptor вылетела с ошибкой.
Все ОК. Программа работает.
На этой стадии получился такой файл:
--> https://mega.nz/#!1M1zWBQY!fWON8RcNiqIx_5OqsrRt4SuVoETEb5GRIuOCpOkEIJ8 <--
Потом обработал файл с помощью de4dot-v3.1.41592
Получился в результате файл, но уже не запускается:
--> https://mega.nz/#!RY0WmYKQ!opdmSgAjv2VSzK_BH9Wb6hfWU6TuSprVtbqHV7uKplM <--
В рефлекторе и dnspy могу смотреть код. Но не могу найти код, который необходимо. Видимо, что-то пошло не так.
Также строки не расшифрованы. Подскажите пожалуйста, в какую сторону копать?

| Сообщение посчитали полезным:

вы еще 2 CRLF между строками ставьте

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Lambda пишет:
Также строки не расшифрованы. Подскажите пожалуйста, в какую сторону копать?

видимо потому, что

Lambda пишет:
Утилита ConfuserExStringDecryptor вылетела с ошибкой.

| Сообщение посчитали полезным:

sendersu пишет:
видимо потому, что

Все верно. Это очевидно.

P.S. Всем спасибо. Нашел в интернете другую ConfuserExStringDecryptor и строки дешифровал. До изначального вида программу не привел. Но и этого результата хватило для решения задачи.

| Сообщение посчитали полезным:

plz help me
i need this file's unpacked
https://www.sendspace.com/filegroup/1Kcqe3X1gxzgGqRCz6zDgQ
plz
От модератора: 1) what you have done yourself? 2) you used wrong topic, warning #1

| Сообщение посчитали полезным:

--> Зарелизили <-- dnSpy 4

| Сообщение посчитали полезным: _MBK_, sendersu, B0u3z1z1, DICI BF, force666