-
-
[求助]学习脱壳一个.net程序，寻求精通高手老师指点，谢谢。
-
发表于: 2011-9-17 07:51
-
拿到一个小程序，软件运行需要.net 2.0 运行环境，所以一定是.net编写的。
文件大小：573k
上传原文件名：helper.rar Helper原版.rar
1、先使用Reflector尝试打开，提示错误。
2、使用hildasm打开，出现错误。
3、一定是有加壳混淆。上软件DotNet Id检测壳，
,显示是".net Reactor"的壳，然后使用Dotnet_Dumper进行脱壳。脱壳比较顺利。
4、得到Helper脱壳1.exe，脱壳后显示440K，可以运行，运行速度加快了。
5、然后使用Reflector尝试打开仍然显示同样信息，使用HilDASM可以打开，但是显示仍有加密。
6、再上DotNet Id,
,显示有MAXTOCODE加密，然后使用RE-max 3.4 进行脱壳，分别使用 MAXtocode 3.5\3.4\ 3.2的多个版本的runtime库，分别进行测试，发现都显示一下错误信息：
7、然后生成了一个半成品的文件，文件运行时会发生错误异常。
据此，.net程序的脱壳遇到了麻烦，停止了，希望精通脱壳.net程序的高手老师给予指导。文件附近已经上传了，不知道还需要哪里进行下一步操作。
谢谢了。另外完全不会脱壳.net的的学员可以跟着一块学习，算是初学者了。
文件大小：573k
上传原文件名：helper.rar Helper原版.rar
1、先使用Reflector尝试打开，提示错误。
2、使用hildasm打开，出现错误。
3、一定是有加壳混淆。上软件DotNet Id检测壳，
,显示是".net Reactor"的壳，然后使用Dotnet_Dumper进行脱壳。脱壳比较顺利。4、得到Helper脱壳1.exe，脱壳后显示440K，可以运行，运行速度加快了。
5、然后使用Reflector尝试打开仍然显示同样信息，使用HilDASM可以打开，但是显示仍有加密。
6、再上DotNet Id,
,显示有MAXTOCODE加密，然后使用RE-max 3.4 进行脱壳，分别使用 MAXtocode 3.5\3.4\ 3.2的多个版本的runtime库，分别进行测试，发现都显示一下错误信息：7、然后生成了一个半成品的文件，文件运行时会发生错误异常。
据此，.net程序的脱壳遇到了麻烦，停止了，希望精通脱壳.net程序的高手老师给予指导。文件附近已经上传了，不知道还需要哪里进行下一步操作。
谢谢了。另外完全不会脱壳.net的的学员可以跟着一块学习，算是初学者了。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
不是maxtocode
|
|
|
|
|
|
|
|
|
下载一个,看看能不能搞定 |
|
|
看了一下,搞不定 等大牛出来吧 |
|
|
|
|
|
里面代码好像变了 |
|
|
|
|
|
[QUOTE=crackdung;1001015]不是maxtocode
[ 老师，我dump后用reflector怎么看不到代码，你是怎么看到的。 |
|
|
[QUOTE=fanbaol;1001713][QUOTE=crackdung;1001015]不是maxtocode
[ 老师，我dump后用reflector怎么看不到代码，你是怎么看到的。[/QUOTE] 抱歉，我是手工轉存il的 
|
|
|
 原来是汉字变成了U码 |
|
|
[QUOTE=crackdung;1001735][QUOTE=fanbaol;1001713]
抱歉，我是手工轉存il的 [/QUOTE]怎样转存的，能否交流下。mguser@126.com 谢谢。 |
|
|
|
|
|
不行,还是找不到关键 那位大大出个教材 |
|
|
|
|
|
|
|
|
  报病毒，且无法运行 |
|
|
我重新从网上下载一个。
脱完壳后用Reactor_Decryptor修复一下。 继续找   破解后的程序我不会提供的，自己试一试~ 
|
|
|
[QUOTE=chenxiaolu;1003509]我重新从网上下载一个。
脱完壳后用Reactor_Decryptor修复一下。 继续找 破解后的程序我不会提供的，自己试一试~ [/QUOTE]多谢，我自己再学习一下。 |
|
|
首先感谢chenxiaolu老师的关于Reactor_Decryptor修复的帮助，该软件确实将脱壳后的程序进行了修复，修复了95%的错误，使用.net reflector 7 打开顺利，可以看到内部很多源程序。
关于加密点我也找到了，请看图：  不过再想请问老师，如果修改程序呢？ 1、要么反编译整个程序，再使用编程软件重新编译，这点我反编译过程中，仍然遇到了5处错误，这5处错误一定会让重新编译程序时发生错误而无法生产最终的程序。 2、直接修改程序，不过我找了很多方法，而reflector 7只能反编译程序看看，但是无法直接修改。 请教一下，如何修改reflector 7可以看到的程序？ 谢谢。 |
|
|
|
|
|
可以直接使用UltraEdit修改PE文件。
先用ILDASM 显示字节，获得IL代码的16进制。然后用UE查找这个16进制串，最后可以根据微软对IL代码的16进制定义进行修改 http://msdn.microsoft.com/zh-cn/library/812xyxy2.aspx点击进入具体的某个OpCode，比如ADD，那么其对应的16进制就是58  详细步骤可以参考《微软.net程序的加密与解密》第79页。 |
|
|
貌似你截图中的代码和我最上面帖子中的截图中的代码是一样的，你还需要自己再找一遍吗？
我觉得楼主挺可爱的。听说昨天在群里吼了半天也没人理你...... 我也不清楚为什么大家这么缺乏共享精神呢，我也好多也不懂，只能靠工具，唉...... |
|
|
|
