[原创]MSVC编译器/Warbird初步逆向记录-逆向工程-看雪安全社区

# MSVC编译器逆向记录

VS版本: Visual Studio 2022

写于: 2025/10/15

# 前言

最近看到了隔壁大佬逆向msvc劫持编译器(碎碎念: 顺便一提似乎直接调用微软为warbird提供的接口来实现编译期混淆会更方便，相关内容下面也有写)我也突然来了兴趣(最后因为ttoil过于复杂没分析完所有IL)，遂逆向了一番并编写了下列内容，希望对各位有帮助。

隔壁大佬的帖子:
https://bbs.kanxue.com/thread-288764.htm

# 主要组件说明

c1.dll - 用于解析 c 代码并发出 IL

c1xx.dll - 用于解析 cpp 代码并发出 IL

c2.dll - 编译器后端, 负责优化与生成实际汇编代码

linker.exe - 链接器

cl.exe - 编译器命令行程序

# 主要代码解析 (c1.dll)

## main_compile:

主函数 cl.exe -> c1.dll -> ...... -> main_compile

```cpp

// 第二阶段初始化
// 第一阶段 init_main1 负责处理命令行参数和各种环境变量
// 第二阶段 init_main2 负责初始化编译器内部的各种模块
init_main2();

// ......

// 各种token处理与各种可选功能
// ......

// /PH 在预处理时生成 #pragma file_hash
if (EmitPragmaFileHash)
    SymbolTableManager_t::DumpFileHashes(PchS);

// ......

// 一些特殊处理
if (!PchUFlag)
{
    Comment_type = 10;
    Comment_string = "/CLRNETCORE";
    op_pragma(0xB); // 下面调用了ILEmitter::EmitPragma来发出一个pragma的IL
    if (Has_com_entry)
    {
        Comment_type = 10;
        Comment_string = "/NOCOMENTRY";
        op_pragma(0xB); // 同上
    }
}

// ......

// 疑似注入头文件或处理预处理指令
InjectArtifactsBeforeInputSource();
ApplyCmdLineWarningFlags();

// ......

// 一些对预编译头的特殊处理
if (!PchUFlag)
{
    MetaDataEmitter::Initialize();
    metaEmitter = MetaDataEmitter::Instance;
}

// ......

if (!PchUFlag || WorkList_t::m_usingWorkList)
{
    StoilHeader();
    ProcessBEWarnings();
}

if ( PchUFile )
    EnsureFilenameIsEmitted();

// ......

// 将解析源代码并转换为IL
CallPrimaryParser();

// ......

// emit 符号数据到 GlobalSymbolIL 与 LocalSymbolIL
SymbolTableManager_t::DumpGlobalSymbols(PchS);

// ......

StoilHeader();

// ......

// IL生成完毕关闭文件句柄
ILSink::closeFile(&ilsExp);
ILSink::closeFile(&LocalSymbolIL);
ILSink::closeFile(&GlobalSymbolIL);
ILSink::closeFile(&ilsInit);
if ( IncludeDebugDataBase )
    ILSink::closeFile(&ilsDB);

// 清理
// ......

```

## init_main2:

第二阶段初始化

```cpp

// 初始化各种模块

// ......

// %Temp% + "/_CL_" + hash + "ex"
OpenExpFile();

// ......

// 打开临时文件夹里的il文件 %Temp% + "/_CL_" + hash + section
ILSink::fopen(&LocalSymbolIL, Basename, "sy", 6);
ILSink::fopen(&GlobalSymbolIL, Basename, "gl", 6);
ILSink::fopen(&ilsInit, Basename, "in", 6);
if (IncludeDebugDataBase)
    ILSink::fopen(&ilsDB, Basename, "db", 6);

// ......

```

## OpenExpFile:

负责打开ex文件

```cpp

// ......

ILSink::fopen(&ilsExp, Basename, "ex", 6)

// ......

if (!PchUFlag)
{
    ILSink::chwrite(&ilsExp, 0x5B);
    ILSink::lowrite(&ilsExp, 0x58);
    status = ILSink::seek();
    IOGlobalVal = status;
    if (status)
    {
        // handle error
    }
    ILSink::chwrite(&ilsExp, 0);
}

// ......

```

## ILSink:

被 ILEmitter 及其相关组件调用, 负责实际写入字节数据

### seek

似乎仅用于将 ilsExp 的读写指针 seek 到0x57的位置

```cpp

// ......

// 直接跳到0x57
fseek(&ilsExp, 0x57, 0);

// ......

```

### chwrite

用于向buffer中写入单个字节

```cpp
// 扩容buffer
if (this->buffer_start + this->buffer_size - this->buffer_end >= 2
    || (res = Buffer::grow(this->buffer_start, 2), ok = 0, res) )
{
    ok = 1;
}

// 检查是否fail
fail = (ok & this->good) == 0;
this->good &= ok;
if (!fail)
    *(uint8_t *)this->buffer_end++ = ch;
```

### lowrite

用于写入压缩整数

```cpp
// 扩容buffer
if (this->buffer_start + this->buffer_size - this->buffer_end >= 2
    || (res = Buffer::grow(this->buffer_start, 2), ok = 0, res) )
{
    ok = 1;
}

// 检查是否fail
fail = (ok & this->good) == 0;
this->good &= ok;
if (!fail) {
    buf = this->buffer_end;

// 判断到底写入单字节还是多字节
    if (val & 0xFFFFFF80 != 0) {

// 0x80 1000 0000 多字节标记
        *(uint8_t *)buf = 0x80;

// 写入四字节数据
        *(uint32_t *)++this->buffer_end = val;
        this->buffer_end += 4;
    } else {

// 写入单字节数据
        *(uint8_t *)buf = val;
        ++this->buffer_end;
    }
}

```

### 待补充

## ILEmitter

此类用于发出 IL

```cpp
ILEmitter::EmitOPbranch(OPTYPE,Symbol_t *);
ILEmitter::EmitOPgoto(Symbol_t *);
ILEmitter::EmitOPlabel(Symbol_t *);
ILEmitter::EmitOPname(Symbol_t *);
ILEmitter::EmitOPnbranch(Symbol_t *);
ILEmitter::EmitOPpragma(uchar);
ILEmitter::EmitOPswexp(Symbol_t *);
ILEmitter::EmitOPswitch(Symbol_t *,Expr_t *);
ILEmitter::EmitPrFilename(Filename *);
ILEmitter::EmitPragma(PRAGMA_TYPE,MessageNumber);
ILEmitter::EmitPragmaComment(PragmaComment_t::Kind_t,char const *);
ILEmitter::EmitWarningPragma(WarningState_t *,WarningState_t * const,std::vector<WarningNumber> const &);
ILEmitter::toil(s_tree *);
ILEmitter::toil_direct(s_tree *);
```

# IL转换的大致流程 (c1.dll)

## ilsExp & ilsInit

source code -> PrimaryParser::Parse -> yacc语法分析器 -> ttoil(递归) -> ILEmitterVisitor -> ILEmitter -> ILSink -> ilsExp & ilsInit

## LocalSymbolIL & GlobalSymbolIL

source code -> PrimaryParser::Parse -> 解析完成 -> SymbolTableManager_t::DumpGlobalSymbols -> SymbolILWriters -> 各种Emitter -> ILSink -> LocalSymbolIL & GlobalSymbolIL

## ilsDB

source code -> CVTSInit (初始化并开始记录) -> PrimaryParser::Parse等函数 -> 保存解析时候产生的记录 -> CVTSEnd (结束记录) -> ilsDB

# obj区段与IL文件含义

```
sy -> LocalSymbolIL  // 本地符号信息
gl -> GlobalSymbolIL // 全局符号信息
in -> ilsInit        // 变量初始化数据
db -> ilsDB          // 调试数据库
ex -> ilsExp         // 调用 ttoil 与其下的 ILEmitterVisitor 转换过来的IL

// fg不由 c1.dll 产生
fg -> 命令行参数
```

# 主要代码解析 (c2.dll)

## il_file

用于打开 c1 生成的 IL

```cpp

wcscpy_s(file_name, 0x104, basename);
wcscat_s(file_name, 0x104, section);

// ......

utc_wfopen_s(&fs, file_name, L"rb")

```

## CilToObj

将 IL 文件写入obj中

```cpp

// secPrefix = ".cil$"
// secName = "ex" or secName = "gl" or ......
// 拼接节名称
sectionName = pstrconcatdup(secPrefix, secName);
key = newkey();
seg = newseg(sectionName, "ILFILE", key, 4, 1, 0);
seginit(seg);

// ......

coff_setsection(seg);

// ......

// 读取 IL 文件数据
int realSize = fread(buf, 1, ilSize, fs);

// ......

// 将数据写入区段
IfilePutNbytes(buf, realSize, 0);

// ......

```

## LtcgCilToObj

将 c1 发出的 IL 文件转换为 obj

```cpp

// ......

ilmap_open(Basename, L"gl", ilMap);
read_gloil_header(ilMap);

// ......

ilmap_close(ilMap);

// ......

obj_start();
coff_directive("-compiler:", *flags, 0, 0);
CilWriteFlags(res, flags);

// ......

gl = il_file(Basename, L"gl");
CilToObj(gl, "gl", 0);
utc_fclose(gl);
in = il_file(Basename, L"in");
CilToObj(in, "in", 0);
utc_fclose(in);
CoffWriteChar(15);

// ......

ex = il_file(Basename, L"ex");
CilToObj(ex, "ex", 0);
utc_fclose(ex);
sy = il_file(Basename, L"sy");
CilToObj(sy, "sy", 0);
utc_fclose(sy);

// ......

md = il_file(Basename, L"md");
CilToObj(md, "md", 0);
utc_fclose(md);

// ......

db = il_file(Basename, L"db");
CilToObj(db, "db", 0);
utc_fclose(db);
CoffWriteChar(15);

// ......

CilToObj(pch, "pch");
utc_fclose(pch);
ModReleasePchs();

// ......

```

# Warbird 接口分析记录

Warbird 分为两个接口 CreateObfuscator2 与 GetObfuscator

## CreateObfuscator2

此函数用于在 linker 中初始化混淆器, 负责初始化链接期混淆

```cpp

// pObfuscatorBase 由 linker 提供
// 基类中会包含 Warbird::CWarbirdLinkerTransformations
// 此类为 linker 提供给 Warbird 用于链接期混淆的接口

// Warbird::CWarbirdLinkerTransformations
Warbird::CWarbirdLinkerTransformations::Log(Warbird::LogLevel,ushort const *);
Warbird::CWarbirdLinkerTransformations::GetImageBase(void);
Warbird::CWarbirdLinkerTransformations::SetSectionFlags(char const *,ulong,ulong);
Warbird::CWarbirdLinkerTransformations::GetSectionLocation(char const *,ulong &,ulong &,ulong &,long);
Warbird::CWarbirdLinkerTransformations::GetRelocStartRva(ulong,ushort &,ushort &);
Warbird::CWarbirdLinkerTransformations::GetSymbolRelocsCount(char const *,void *,ulong &,long);
Warbird::CWarbirdLinkerTransformations::GetSymbolLocation(char const *,void *,Warbird::tagWARBIRD_LINK_SYMBOL &,long);
Warbird::CWarbirdLinkerTransformations::ReadBytes(ulong,uchar *,ulong);
Warbird::CWarbirdLinkerTransformations::WriteBytes(ulong,uchar *,ulong);
Warbird::CWarbirdLinkerTransformations::SetSymbolValue(char const *,void *,uchar *,ulong,int);
Warbird::CWarbirdLinkerTransformations::AddSymbolToGuardTable(char const *,void *);
Warbird::CWarbirdLinkerTransformations::ReplaceEntryFunction(char const *,void *,ulong *);
Warbird::CWarbirdLinkerTransformations::GetImageType(Warbird::IMAGE_TYPE *);
Warbird::CWarbirdLinkerTransformations::AddSymboltoTCEGraph(char const *,long,void *);
Warbird::CWarbirdLinkerTransformations::AddSymboltoTCEGraph(char const *,long,char const *,long,void *,void *);
Warbird::CWarbirdLinkerTransformations::GetBinaryFilename(void);
Warbird::CWarbirdLinkerTransformations::CreateSegment(char const *,ulong,ulong,ulong);
Warbird::CWarbirdLinkerTransformations::GetContributionLocation(void *,Warbird::tagWARBIRD_LINK_SYMBOL &);
Warbird::CWarbirdLinkerTransformations::GetRelocations(ulong,ulong,ulong,Warbird::tagWARBIRD_PRIVATE_RELOCATION_ITEM *,ulong &);

int CreateObfuscator2(
    const wchar_t *szWbrdCfgFilename,      // Warbird 配置文件路径
    const wchar_t *szWbrdSchemaFilename,   // Warbird schema文件路径
    const wchar_t *szWbrdLogFilename,      // Warbird 日志文件路径
    const wchar_t *szWbrdSummaryFilename,  // Warbird 总结文件路径
    unsigned int nWbrdFlags,               // Warbird flags
    int tArchType,                         // Warbird 平台类型
    Warbird::CObfuscator **pObfuscatorBase // Obfuscator基类 由 linker 提供
);

// linker 在调用完 CreateObfuscator2 后会使用 pObfuscatorBase 通过 CWarbirdClient 调用 CreateObfuscator2 创建的 Obfuscator

// linker 的 CWarbirdClient, 与 c2.dll 中的另一个 CWarbirdClient 略有不同
Warbird::CWarbirdClient::TransformFunction(Warbird::Phase);
Warbird::CWarbirdClient::CleanPrivateSymbolTable(void);
Warbird::CWarbirdClient::IsEnabled(void);
Warbird::CWarbirdClient::GetInstance(void);
Warbird::CWarbirdClient::UnInitialize(void);
Warbird::CWarbirdClient::Initialize(IMAGE *,ushort const *,ushort const *,ushort const *,int,int);
Warbird::CWarbirdClient::CleanupConSymbolTable(void);
Warbird::CWarbirdClient::FinishProcessNonLtcgModule(void);
Warbird::CWarbirdClient::IsExcludedSymbol(char const *);
Warbird::CWarbirdClient::RegisterSymbol(char const *,int,uchar,CON *,MOD *,ulong,int);

```

## GetObfuscator

此函数用于在 c2.dll 中初始化混淆器, 负责初始化编译期混淆

```cpp

// pObfuscatorBase 由 c2.dll 提供
// 基类中会包含 Warbird::CC2CodeTransformations
// 此类为 c2.dll 提供给 Warbird 用于编译期混淆的接口

// Warbird::CC2CodeTransformations
Warbird::CC2CodeTransformations::GetFunctionInstructionCount(void *);
Warbird::CC2CodeTransformations::GetFunctionBlockCount(void *);
Warbird::CC2CodeTransformations::Log(Warbird::LogLevel,ushort const *);
Warbird::CC2CodeTransformations::FindSymbolReference(char const *,Warbird::tagWARBIRD_SYMBOL &);
Warbird::CC2CodeTransformations::GetSymbolInformation(ulong,Warbird::tagWARBIRD_SYMBOL *);
Warbird::CC2CodeTransformations::GetSymbolSectionID(void *,long *);
Warbird::CC2CodeTransformations::GetSymbolTypeID(char const *,void *);
Warbird::CC2CodeTransformations::ExpandSymbolDataSize(char const *,void *,ulong);
Warbird::CC2CodeTransformations::SetSymbolAttributes(char const *,void *,unsigned __int64);
Warbird::CC2CodeTransformations::SetFunctionAttributes(char const *,void *,ulong,ulong);
Warbird::CC2CodeTransformations::SetFunctionProtectionLevel(char const *,void *,ulong);
Warbird::CC2CodeTransformations::GetFunctionProtectionLevel(char const *,void *);
Warbird::CC2CodeTransformations::GetFunctionBaseSegmentName(void *,char const * *);
Warbird::CC2CodeTransformations::CreateGlobal(char const *,char const *,Warbird::SymbolType,ulong,ulong,ulong,int,ulong *,void * *);
Warbird::CC2CodeTransformations::CreateBaseSegment(char const *,ulong,ulong,Warbird::tagWARBIRD_SYMBOL &);
Warbird::CC2CodeTransformations::CreateSegment(void *,char const *,ulong,ulong,int,void * *);
Warbird::CC2CodeTransformations::MoveSymbolToCodeSegment(void *);
Warbird::CC2CodeTransformations::AssignSegmentForSymbol(void *,void *);
Warbird::CC2CodeTransformations::SetImageBaseSymbol(void *);
Warbird::CC2CodeTransformations::AllocateSegmentForGlobalVariable(void *,Warbird::SymbolType,char const *,ulong,ulong);
Warbird::CC2CodeTransformations::DuplicateSymbolForProxy(void *,char const *,char const *,ulong,ulong,ulong *);
Warbird::CC2CodeTransformations::CheckLiveSymbol(char const *,int *);
Warbird::CC2CodeTransformations::GetFunctionAttributes(void *);
Warbird::CC2CodeTransformations::DoesAssemblyReferenceExternalSymbols(void *);
Warbird::CC2CodeTransformations::ContainsInstruction(char const *,void *,ulong);
Warbird::CC2CodeTransformations::GetFunctionSize(char const *,void *);
Warbird::CC2CodeTransformations::GetFunctionStackSize(char const *,void *,int *);
Warbird::CC2CodeTransformations::GetImageBaseFixupOffset(char const *,void *);
Warbird::CC2CodeTransformations::CountSymbolReferences(char const *,void *,Warbird::tagSYMBOL_REFERENCE *,unsigned __int64);
Warbird::CC2CodeTransformations::GetFirstFunctionBlock(void *,Warbird::tagWARBIRD_BLOCK &);
Warbird::CC2CodeTransformations::GetNextFunctionBlock(void *,Warbird::tagWARBIRD_BLOCK &);
Warbird::CC2CodeTransformations::GetFirstFunctionInstruction(void *,ulong,ulong,Warbird::tagWARBIRD_INSTRUCTION &,void * *);
Warbird::CC2CodeTransformations::GetNextFunctionInstruction(void *,ulong,ulong,Warbird::tagWARBIRD_INSTRUCTION &,void * *);
Warbird::CC2CodeTransformations::FindPreviousSegmentTransitionRuntime(void *,void *,ulong *,ulong *,void * *);
Warbird::CC2CodeTransformations::RemoveUnusedSegmentTransitionInstructions(void *,ulong);
Warbird::CC2CodeTransformations::BuildFlowGraph(char const *,void *);
Warbird::CC2CodeTransformations::MakeLabelGlobal(void *,ulong *,ulong *);
Warbird::CC2CodeTransformations::ExpandSwitches(char const *,void *);
Warbird::CC2CodeTransformations::MakeSingleReturn(char const *,void *);
Warbird::CC2CodeTransformations::InsertFunctionCall(char const *,void *,Warbird::tagWARBIRD_PARAMETER *,ulong,int,void *);
Warbird::CC2CodeTransformations::MakeBlockSegmentStart(void *,char const *,ulong,ulong,ulong *,ulong *,ulong *);
Warbird::CC2CodeTransformations::ReplaceDirectCall(void *,void *,void *,Warbird::tagWARBIRD_PARAMETER *,ulong);
Warbird::CC2CodeTransformations::PopulateVMWrapper(void *,void *,void *);
Warbird::CC2CodeTransformations::PopulateVMWrapperProEpi(char const *,void *);
Warbird::CC2CodeTransformations::ReplaceConditionalBranch(void *,void *,void *,Warbird::tagWARBIRD_PARAMETER *,ulong);
Warbird::CC2CodeTransformations::ReplaceUnconditionalBranch(void *,void *,void *,Warbird::tagWARBIRD_PARAMETER *,ulong);
Warbird::CC2CodeTransformations::InsertFallThrough(void *,void *,void *,Warbird::tagWARBIRD_PARAMETER *,ulong);
Warbird::CC2CodeTransformations::PopulateProxyFunction(char const *,void *,void *);
Warbird::CC2CodeTransformations::MakeAbsolutePreLower(char const *,void *);
Warbird::CC2CodeTransformations::MakeAbsolutePostLower(char const *,void *,Warbird::Phase);
Warbird::CC2CodeTransformations::AddFunctionToICFExclude(char const *,void *);
Warbird::CC2CodeTransformations::AddSymbolToICFExclude(void *);

int GetObfuscator(
    Warbird::CObfuscator **pCObfuscatorBase // Obfuscator基类 由 c2.dll 提供
);

// c2.dll 在调用完 GetObfuscator 后同样会使用 pObfuscatorBase 通过 CWarbirdClient 调用 GetObfuscator 创建的 Obfuscator

// c2.dll 的 CWarbirdClient
Warbird::CWarbirdClient::TransformFunction(Warbird::Phase,tagFUNC *);;
Warbird::CWarbirdClient::GetInstance(void);
Warbird::CWarbirdClient::IsProtectedSymbol(Symbol *);
Warbird::CWarbirdClient::IsEnabled(void);
Warbird::CWarbirdClient::RegisterSymbols(void);
Warbird::CWarbirdClient::CanUseRegister(Tuple *,ulong);
Warbird::CWarbirdClient::ConvertToWideString(char const *);
Warbird::CWarbirdClient::GetSymbolFilename(Symbol *);
Warbird::CWarbirdClient::IsWarbirdRuntimeModule(tagMOD *);
Warbird::CWarbirdClient::RegisterEnclaveSymbols(void);
Warbird::CWarbirdClient::RegisterEnumerate(ushort const * const,ushort const * const,uint);
Warbird::CWarbirdClient::RegisterSymbol(Symbol *);
Warbird::CWarbirdClient::RegisterTypeField(Warbird::tagWARBIRD_TYPE_FIELD const &);
Warbird::CWarbirdClient::SetFunctionImageBaseOffset(tagFUNC *,Symbol *,ulong);

```

# 参考资源

以下是我在github上搜索到的一些相关代码

## 一个通过patch vc8来为编译器添加功能的补丁

163K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4K9h3c8T1k6i4u0Y4i4K6u0r3L8i4y4$3j5K6S2Q4x3X3f1H3i4K6g2X3M7r3q4@1j5$3S2W2M7R3`.`.

## 对vc6除法优化magic生成算法的逆向

126K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6v1j5h3y4C8e0X3!0A6M7X3g2Q4x3V1k6J5k6i4k6W2M7Y4y4W2b7K6u0p5L8r3H3`.

## 为vc6添加var_order功能的补丁

8d5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4y4@1i4K6u0W2k6$3W2@1K9s2g2T1i4K6u0W2j5$3!0E0i4K6u0r3g2s2u0W2k6h3E0A6i4K6u0r3j5U0b7#2y4e0u0T1k6e0M7#2x3K6N6T1k6r3u0U0x3e0p5%4x3o6k6X3k6h3k6U0x3$3f1#2k6h3k6V1x3r3t1`.

2bcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4y4@1i4K6u0W2k6$3W2@1K9s2g2T1i4K6u0W2j5$3!0E0i4K6u0r3c8i4y4@1k6i4S2z5g2q4)9J5c8X3f1&6z5r3p5I4x3K6R3@1j5U0V1H3y4X3p5K6k6h3g2V1j5h3q4S2x3$3g2W2j5U0N6W2y4e0S2U0k6o6W2V1

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-10-20 21:00 被EX呵呵编辑，原因：添加参考资料

#调试逆向 #系统底层 #问题讨论

最新回复 (20)
wandering 雪币： 6158 活跃值： (11044) 能力值： ( LV2，RANK：10 ) 在线值：发帖 47 回帖 619 粉丝 46 关注私信	wandering 2 楼真厉害 2025-10-18 12:22 0
option 雪币： 9407 活跃值： (4344) 能力值： ( LV2，RANK：10 ) 在线值：发帖 40 回帖 772 粉丝 4 关注私信	option 3 楼学习一下 2025-10-18 16:12 0
青丝梦雪币： 1502 活跃值： (4845) 能力值： ( LV5，RANK：60 ) 在线值：发帖 9 回帖 171 粉丝 26 关注私信	青丝梦 1 4 楼学习一下 2025-10-19 15:01 0
TeddyBe4r 雪币： 4437 活跃值： (3804) 能力值： ( LV12，RANK：330 ) 在线值：发帖 17 回帖 37 粉丝 136 关注私信	TeddyBe4r 6 5 楼可以看看IR相关的东西，劫持那些是可以篡改的 2025-10-20 02:08 0
mb_shzsxtje 雪币： 1162 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 35 粉丝 0 关注私信	mb_shzsxtje 6 楼感谢分享 2025-10-20 09:18 0
mb_xmdcmwxq 雪币： 87 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 7 粉丝 0 关注私信	mb_xmdcmwxq 7 楼 1 2025-10-20 16:30 0
王cb 雪币： 7713 活跃值： (9144) 能力值： ( LV13，RANK：680 ) 在线值：发帖 44 回帖 154 粉丝 190 关注私信	王cb 14 8 楼好东西 2025-10-20 17:39 0
EX呵呵雪币： 637 活跃值： (6978) 能力值： ( LV3，RANK：25 ) 在线值：发帖 8 回帖 245 粉丝 11 关注私信	EX呵呵 9 楼 TeddyBe4r 可以看看IR相关的东西，劫持那些是可以篡改的主要还是ttoil太复杂了，他c++和c的处理还是俩，之前调试了半天才找出来几个太费事了，懒得逆了 2025-10-20 19:29 0
EX呵呵雪币： 637 活跃值： (6978) 能力值： ( LV3，RANK：25 ) 在线值：发帖 8 回帖 245 粉丝 11 关注私信	EX呵呵 10 楼我个人感觉逆向后端c2的ILReader好像比ttoil好搞点，但是看他那几百个case复杂度应该也不低 2025-10-20 19:30 0
fangliangz 雪币： 5717 活跃值： (4104) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 112 粉丝 1 关注私信	fangliangz 11 楼 666 2025-10-21 14:41 0
神奇的人鱼雪币： 34 活跃值： (721) 能力值： ( LV2，RANK：15 ) 在线值：发帖 1 回帖 29 粉丝 2 关注私信	神奇的人鱼 12 楼 666 2025-10-21 15:23 0
mb_cizqyhuh 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 81 粉丝 1 关注私信	mb_cizqyhuh 13 楼总结得挺到位，ttoil确实绕，C/C++两套不同处理更添麻烦。按我的经验，直接用Warbird官方接口做编译期混淆更省事。关于各类IL文件如.sy、.gl的详细机制，可以参考思维导图，里面梳理了完整的解析流程和接口关系。最后于 2025-10-21 17:10 被mb_cizqyhuh编辑，原因： 2025-10-21 16:55 0
zylyy 雪币： 144 活跃值： (2733) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 491 粉丝 3 关注私信	zylyy 14 楼 666 2025-10-21 17:03 0
Gamous 雪币： 222 活跃值： (962) 能力值： ( LV2，RANK：16 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	Gamous 15 楼 111 2025-10-22 18:47 0
半个大西瓜雪币： 1411 活跃值： (1422) 能力值： ( LV3，RANK：20 ) 在线值：发帖 5 回帖 51 粉丝 8 关注私信	半个大西瓜 16 楼学习 2025-10-30 20:27 0
babydream 雪币： 273 活跃值： (280) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 13 粉丝 0 关注私信	babydream 17 楼学习 2025-11-20 08:42 0
binsys 雪币： 158 活跃值： (645) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 65 粉丝 0 关注私信	binsys 18 楼之前泄露的 PlayReady 相关文件，里面的ARM64的.obj文件都是IL的。 2025-12-5 16:22 0
EX呵呵雪币： 637 活跃值： (6978) 能力值： ( LV3，RANK：25 ) 在线值：发帖 8 回帖 245 粉丝 11 关注私信	EX呵呵 19 楼 binsys 之前泄露的 PlayReady 相关文件，里面的ARM64的.obj文件都是IL的。他那个我之前看过因为要warbird混淆所以开了LTCG参数，warbird要在启用LTCG的情况下才能obf 最后于 2025-12-5 23:56 被EX呵呵编辑，原因： 2025-12-5 23:55 0
淡然他徒弟雪币： 5589 活跃值： (7273) 能力值： ( LV10，RANK：160 ) 在线值：发帖 23 回帖 297 粉丝 124 关注私信	淡然他徒弟 1 20 楼 mark 2025-12-6 00:00 0
小迷糊ddd 雪币： 268 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	小迷糊ddd 21 楼感谢分享，学习一下。 2026-4-8 11:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复