[原创] dotNET 动态脱壳技术要点-加壳脱壳-看雪安全社区

# 加壳脱壳要点
dotNET 程序文件内主要存储的是 IL 字节码，一般加壳之后，其 IL 字节码会隐藏或屏蔽，而脱壳的关键在于恢复 IL 字节码，进而近似获取程序源代码。
# JIT主要作用
dotNET 程序一般在 JIT 的时候会将 IL 全部或部分解析出来，一般来说不对 token 加密的话，此时JIT的时候，会出现完整的IL。
# JIT主要流程
dotNET JIT 流程大致是：
```
clr!ThePreStub
clr!PreStubWorker
clr!MethodDesc::DoPrestub
clr!MethodDesc::MakeJitWorker
clr!UnsafeJitFunction
clr!CallCompileMethodWithSEHWrapper
clr!invokeCompileMethod
clr!invokeCompileMethodHelper
clrjit!CILJit::compileMethod
```
dotNET 程序在运行的时候，具体到方法执行时，CLR 会为每个方法生成一个 stub，然后调用一堆JIT 函数，生成机器码。这里面关键 JIT 有两个，一个是 DoPrestub 函数，一个是 compileMethod 函数。相对来说，compileMethod  更偏底层。
# 通过JIT获取IL的关键要点：
## IL 会在哪儿出现？
如果 dotNET 未加壳，那么在 DoPrestub 里就能够获取到 IL ，DoPrestub 的一个参数就是 MethodDesc，也就是方法描述符，通过它就可以获取IL。
但是 dotNET 加壳了，在 DoPreStub 里获取的 MethodDesc ，其找到 IL 是加密的或是错误的。一般壳体会劫持一些 JIT 函数，调用一些解密或恢复函数，进而获取真正的IL，然后再交由所劫持的 JIT 函数去生成机器码，进而执行该方法。
一般壳体不会完整实现更底层的功能，比如如何将每一个IL代码转换成一堆机器码，以及一些代码优化工作，这个工作量太大，而且不太会比原始 JIT 更好，还有可能出现运行错误。
## 获取 IL 的策略分析
一种策略是，遍历所有的方法，获取方法的 MethoDesc，然后手动触发 DoPrestub，进而触发壳体内部的 IL 解密或恢复函数，获取想要的IL。但是这里存在五个问题：
### 一是 某一个方法一旦触发 DoPreStub 之后，会被立即执行；
### 二是 某一个方法一旦触发 DoPreStub 之后，不会再次触发，如果壳体需要多次触发才能获取IL，怎么办？；
### 三是 UnboxingStub 不会被 JIT 直接编译；
### 四是 Inline 方法会内联到被调用方法里；
### 五是 dotNET 方法在执行的时候，会进行一些检查，即影响该方法执行的前置条件是否已完成。
+ 检查类静态构造或类构造方法是否执行？
+ 泛型类是否已执行
## 如何获取IL了？
dotNET 加壳后，如何只触发壳体的IL解密或恢复函数，而不让具体的方法进行执行了。
### 构造一个 CallJit 封装方法，详见 wwh1004
```
		public static void CallJit(void* methodHandle) {

Logger.Instance.LogInfo("即将执行：Reset");
			RuntimeFunctions.Reset(methodHandle);

Logger.Instance.LogInfo("即将执行：DoPrestub");
			RuntimeFunctions.DoPrestub(methodHandle);
			if (RuntimeFunctions.IsUnboxingStub(methodHandle)) {
				Logger.Instance.LogInfo("IsUnboxingStub：True");
				// CLR内部存在UnboxingStub的方法不会被JIT直接编译，所以需要对UnboxingStub进行编译
				void* pUnboxingStub;
				Logger.Instance.LogInfo("即将执行：GetWrappedMethodDesc");
				pUnboxingStub = RuntimeFunctions.GetWrappedMethodDesc(methodHandle);

Logger.Instance.LogInfo("即将执行：Reset");
				RuntimeFunctions.Reset(pUnboxingStub);

Logger.Instance.LogInfo("即将执行：DoPrestub");
				RuntimeFunctions.DoPrestub(pUnboxingStub);

Logger.Instance.LogInfo("即将执行：Reset");
				RuntimeFunctions.Reset(pUnboxingStub);
			}

Logger.Instance.LogInfo("即将执行：Reset");
			RuntimeFunctions.Reset(methodHandle);
```
### Patch相关JIT函数
+ 修改 Inline 方法
可参照 wwh1004 给出的方法，但是需注意，x86 和 x64 的区别。
+ 在 DoPreStub 里关闭 类静态构造检测检测
```
//DoPreStub 源代码里没有直接给出
// 检查该方法所属的类型是否需要运行静态构造函数
    if (!pMD->CheckRunClassInitThrowing()) {
        // 初始化失败（如抛出异常）
        return;
    }
```
可能是代码进行了内联，即将子函数的代码包络进来了。同样，调用 MakeJitWorker 函数也一样。
```
//伪代码
 if ( ((*(_DWORD *)(v89 + 0x38) & 0x100000) == 0// if (IsClassConstructorTriggeredViaPrestub())
             || (unsigned int)CORProfilerDisableOptimizations()
             || (*((_DWORD *)MethodTable::GetModule(v88) + 8) & 0x800) == 0
             && ((g_CORDebuggerControlFlags & 8) == 0 || (*((_DWORD *)MethodTable::GetModule(v88) + 8) & 0x400) != 0))
            && !*(_DWORD *)(*((_QWORD *)MethodTable::GetModule(v88) + 6) + 0x114i64) )
          {//【Patch，直接nop掉，不执行该调用】
            MethodTable::CheckRunClassInitThrowing(v6);// 
// 触发静态构造器的执行
// pMD->GetMethodTable()->CheckRunClassInitThrowing();
          }
```
+ 在 DoPreStub 里关闭 泛型检测
```
//源代码
if (ContainsGenericVariables())
    {
        COMPlusThrow(kInvalidOperationException, IDS_EE_CODEEXECUTION_CONTAINSGENERICVAR);
    }
```
```
//伪代码：需Patch的代码有5处。
  if ( ((unsigned __int8)v13 & 2) != 0 )        // if (ContainsGenericVariables())函数的内联？
  {
    if ( (unsigned int)TypeHandle::IsGenericVariable((TypeHandle *)&v167) )
      goto LABEL_271;//【Patch，不跳转】
    if ( (unsigned int)TypeHandle::HasTypeParam((TypeHandle *)&v167) )
    {
      TypeParam = (MethodTable **)TypeHandle::GetTypeParam(&v167, v186);
      if ( (unsigned int)TypeHandle::ContainsGenericVariables(TypeParam, 0) )
        goto LABEL_271;//【Patch，不跳转】
    }
  }
  else if ( v13 && *(int *)v13 >= 0 && (*(_DWORD *)v13 & 0x30) != 0 && MethodTable::ContainsGenericVariables(v13, 0) )
  {
    goto LABEL_271;//【Patch，不跳转】
  }
  if ( g_IBCLogger )
    IBCLogger::LogMethodDescAccessStatic(this);
  v14 = *((_WORD *)this + 3);
  if ( (v14 & 7) == 5 && (*((_BYTE *)this + 0x18) & 7) == 0 )
  {//【Patch，不跳转】
LABEL_271:
    v157 = 0i64;
    v156 = 0i64;
    v155 = 0i64;
    v154 = 0i64;
    RealCOMPlusThrow(0x21i64, 0x1ABBi64, 0i64); //Patch目的是不让其执行到此处。  COMPlusThrow(kInvalidOperationException, IDS_EE_CODEEXECUTION_CONTAINSGENERICVAR);
  }
  if ( g_IBCLogger )
  {
    IBCLogger::LogMethodDescAccessStatic(this);
    v14 = *((_WORD *)this + 3);
  }
  if ( (v14 & 7) == 5 && *((_WORD *)this + 0xD) )
  {
    MethodDesc::GetMethodInstantiation(this, &v180);
    v103 = 0;
    v104 = v181;
    if ( v181 )
    {
      v105 = v180;
      do
      {
        v106 = *(MethodTable **)(v105 + 8i64 * v103);
        if ( ((unsigned __int8)v106 & 1) != 0 )
          v106 = *(MethodTable **)((char *)v106 - 1);
        v177 = v106;
        if ( (unsigned int)TypeHandle::ContainsGenericVariables(&v177, 0) )
          goto LABEL_271;//【Patch，不跳转】
      }
      while ( ++v103 < v104 );
    }
    pThread = v204;
  }                                             // ContainsGenericVariables()判断结束
```

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-3-10 13:00 被htg编辑，原因：

最新回复 (6)
mb_dimjtfnf 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 6 粉丝 1 关注私信	mb_dimjtfnf 2 楼 vbox能脱么 2025-3-25 14:10 0
htg 雪币： 9147 活跃值： (5023) 能力值： ( LV12，RANK：624 ) 在线值：发帖 30 回帖 119 粉丝 28 关注私信	htg 7 3 楼 mb_dimjtfnf vbox能脱么我没有试过，但是可以用上述的方法试一试，也就是用动态脱壳方式来还原 IL。但是，要进行带壳调试，找到并patch掉一些反调试坑才行。 2025-3-25 16:21 0
haseex 雪币： 146 活跃值： (679) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 72 粉丝 1 关注私信	haseex 4 楼 DNGuard 使用这种方式脱壳需要注意什么吗？ 2026-4-30 08:24 0
haseex 雪币： 146 活跃值： (679) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 72 粉丝 1 关注私信	haseex 5 楼 DNGuard 使用这种方式脱壳需要注意什么吗？ 2026-4-30 08:25 0
haseex 雪币： 146 活跃值： (679) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 72 粉丝 1 关注私信	haseex 6 楼 DNGuard 使用这种方式脱壳需要注意什么吗？ 2026-4-30 08:25 0
htg 雪币： 9147 活跃值： (5023) 能力值： ( LV12，RANK：624 ) 在线值：发帖 30 回帖 119 粉丝 28 关注私信	htg 7 7 楼 haseex DNGuard 使用这种方式脱壳需要注意什么吗？ 1、解决调试坑； 2、解密方法体内的token。 2026-5-1 18:17 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复