[原创]HybridCLR C# 方法体解密记录 V1 —— 以23年的少女前线2:追放为例-逆向工程-看雪安全社区

# HybridCLR C# 方法体解密记录 V1 —— 以23年的少女前线2:追放为例

本来标题我想写 `HybridCLR 标准代码加固解密记录` 的，但考虑到不确定ym是否基于社区版的基础上作的修改，因而作罢

~~不过人家官网上确实有少前2的商业合作案例来着~~

## 1. 初探

在翻文件目录的时候，我发现了在 `GF2_Exilium_Data\StreamingAssets\ClientRes_Windows\Codes` 下有很多 bytes 文件，且文件名都是 Unity 在 Mono 模式编译下的编译产物

![Alt text](upload/attach/202508/987680_2ZBDNWAPPWFHC43.png)

扔进 dnSpy 看一下，方法识别没有问题，但是方法体里面的 IL 指令全部被混淆，没办法解析

![Alt text](upload/attach/202508/987680_7GTVJ29FPXN5TSM.png)

## 2. 研究

看了一下之前导出的 dump 文件，发现这玩意的解释运行是基于 <a href="elink@17eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Z5P5h3u0J5K9h3c8U0L8s2u0Q4x3X3g2V1L8$3y4Q4x3X3g2U0L8$3c8W2i4K6u0V1M7r3S2A6L8r3!0K6L8%4m8Z5P5g2)9J5k6h3y4G2L8g2)9J5c8R3`.`.">HybridCLR</a> 的

![Alt text](upload/attach/202508/987680_3KKXE87U3JA4RKJ.png)

对于 HybridCLR 的源码解析，知乎有一篇文章写的不错 <a href="elink@fddK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6*7K9s2g2S2L8X3I4S2L8W2)9J5k6i4A6Z5K9h3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0b7^5y4K6f1&6z5e0V1H3x3l9`.`.">【划时代的代码热更新方案——hybridclr源码流程解析】</a>

但对于我们调试苦逼人来说，还是官网的指点比较有性价比 () <a href="elink@b06K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Z5P5h3u0J5K9h3c8U0L8s2u0Q4x3X3g2V1L8$3y4Q4x3X3g2U0L8$3c8W2i4K6u0V1M7r3S2A6L8r3!0K6L8%4m8Z5P5g2)9J5k6h3y4G2L8g2)9J5c8X3c8G2j5%4y4Q4x3V1k6T1j5i4y4A6j5#2)9J5c8Y4y4G2N6i4u0U0k6h3W2F1M7%4m8W2j5%4c8Q4x3U0y4Q4x3U0g2q4z5q4)9J5y4f1t1H3i4K6t1#2z5o6y4Q4x3U0g2q4z5q4)9J5y4f1q4r3i4K6t1#2z5e0f1`.">【官网链接-HybridCLR源码结构及调试】</a>

在官网中提到了，IL层指令集转换在 `HybridCLR/transform/transform.cpp` 的 `HiTransform::Transform` 函数，那么我们就去看看这个函数，多半解密也在这里面

![Alt text](upload/attach/202508/987680_5EXG9VGACEQA5BS.png)

## 3. 分析

打开 IDA，找到 `HiTransform::Transform`，修一修结构体，一点点对照社区源码 ~~开源的好处~~，发现有一段代码是多出来的

![alt text](upload/attach/202508/987680_G7E78WMYRP8D5JB.png)

这段代码很明显对 IL 字节码进行了异或解密操作，而解密的 Key 由 `exceptionClausesSize`、`localVarCount` 和 `codeSize` 计算得来

![alt text](upload/attach/202508/987680_99MRJA2KZMRD2KY.png)

## 4. 解密

照着伪代码把 Key 计算过程和解密过程抄下来，就可以解密了

![alt text](upload/attach/202508/987680_6M3GJAMHV5R5YSR.png)

![alt text](upload/attach/202508/987680_CDNV98KUG8W44QJ.png)

## 碎碎念

本文其实 2023 年年底就写的差不多了，只是因为懒没写完 :-

![alt text](upload/attach/202508/987680_AUSFRB7TD7YSMCX.png)

最近在逆蓝色原神（bushi）的时候，发现 `HybridCLR` 又换加密算法了，而且比两年前少前二这个还恶心，遂想起这个半成品然后写出来发发 (ˉ﹃ˉ)

今年也高考完了，考得不好去了个双非的信安，悲 :(

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#软件保护 #调试逆向

最新回复 (4)
fanfall 雪币： 659 活跃值： (1555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	fanfall 2 楼解那个没用他目前是没用多少hyb的 2025-8-27 17:27 0
mb_vhgiqyvt 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_vhgiqyvt 3 楼大佬HybridCLR专业版做的代码加固你知道怎么解吗？就是hook Assembly.load拿到的DLL文件无法用dnSpy直接打开的那种 2025-9-9 10:29 0
mb_zmbaaugg 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zmbaaugg 4 楼佬，现在2的dll有函数名称混淆了能解开吗 2026-1-1 16:35 0
mb_dywdmipb 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_dywdmipb 5 楼大佬有偿求解请联系... 2026-7-21 21:35 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复