.Net反编译技术详解及4个反编译工具介绍

Net反编译技术详解及4个反编译工具介绍

什么是反编译？

高级语言源程序经过编译变成可执行文件，反编译就是逆过程。即通过技术手段将可执行文件还原成源代码。此文讲解如何将.net(c#、F#、vb.net)编写的可执行文件还原成c#代码。

了解.net(c#)的编译过程

C#源代码经过编译器的编译之后，变成MSIL微软中间语言。其实也就是一个可执行文件，也可以叫做程序集（.exe文件）。

注意：不是所有的exe文件都叫程序集，这个文件是由微软中间语言组成的才叫程序集。

当程序被执行时，微软中间语言（程序集）将被CLR翻译成平台对应的CPU指令，然后交给CPU执行。

注意：CPU的指令并不是相同的，不同平台的CPU指令可能有比较大的区别。如：Intel和AMD在开机或者关机的时候Intel可能为111 而AMD可能为000。不同型号的CPU指令也可能有区别。如：四核和双核。

C#代码的编译过程如下图所示：

c#反编译过程：

反编译过程即将.net 程序集转换成IL中间语言，然后再将IL转为c#代码。还原率接近90%。

反编译工具介绍:

说到.net 反编译工具，很多人第一反应都是Reflector这款神器。但是我呢认为这是个垃圾软件，为什么呢，因为他收费啊，而且没有什么特别出众的功能，所以本文不加以介绍。本文主要介绍ILSpy、dnSpy、JetBrains和Telerik JustDecompile以及可直接修改程序集的reflexil插件和脱壳反混淆的de4Dot插件。

文本的示例程序:

特意用c#写了一个checkMe程序，用来展示说明以下各个工具的功能。程序很简单，一个登陆框，输入对的密码即可显示主窗体，显示一个“今日头条很伟大”的字样.

checkMe

1、ILSpy:

ILSpy是一个开源免费的.Net反编译软件，基于MIT许可证发布。作者在工作中使用最频繁的就是它。,ILSpy 是为了完全替代收费的Reflector而生，它是由 iCSharpCode 团队出品，这个团队开发了著名的 SharpDevelop 。ILSpy的使用和上面的Reflector完全类似，可以直接把dll、exe拖放到左侧，然后在右侧查看反编译以后的代码。

ilSpy

另外ILSpy支持插件，比如使用 Debugger插件可以进行调试，使用reflexil插件可以直接修改程序集。支持类、函数、变量、字符串等多种搜索。

以上的示例程序，使用ILSpy查找登陆密码如下：

ilSpy

2、dnSpy

dnSpy是近几年的新秀，功能远比ILSpy强大，甩Reflector几条街。被汉化、破解、逆向方面的人才奉为神器。软件自带调试和修改程序集的功能

dnSpy

dnsyp功能菜单

dnspy可直接调试修改程序集。可添加修改类、方法、变量等。可操作合并程序集、禁用内存映射。可在16进制编辑器中直接定位方法体、字段。也可以16进制编辑器中直接修改方法和字段。更多强大的功能亲们自己下载dnspy摸索体验一下

下面我们使用dnspy来调试一下我们刚刚的checkMe程序。选择checkme，点击转到入口点。

打一个断点:

然后点击启动，F10、F11可单步跟入

再测试下将主窗体显示的“今日头条很伟大”改成“dnspy很强大”。首先定位到相关代码，并点击编辑方法：

点击编译，然后保存模块

看下效果

3、JetBrains dotPeek

JetBrains是捷克的一家软件开发公司，出品了大量著名的开发工具，包括：IntelliJ IDEA、PHPStorm、ReSharper、TeamCity、YouTrack等等，每一款产品都如雷贯耳。dotPeek 是 JetBrains 开发的一款.Net反编译工具，是.Net工具套件中的一个相比于前面几款工具来说，dotPeek算比较小众的一款，它生成的代码质量很高，它还会尝试到源代码服务器上抓取代码。DotPeek的导航功能和快捷键非常便捷。它还能精确查找符号的使用，同时支持插件。DotPeek不能与Visual Studio集成。个人感觉它最大的特色就是Visual Studio风格，这对于那些长期在Visual Studio下进行开发的人来说应该更亲切一点。

JetBrains dotPeek

4、Telerik JustDecompile

Telerik JustDecompile是一个免费的.NET反编译器，但是有商业化支持，和抢到的抓包软件Fiddler是一家公司的产品。它生成的代码质量也很高。它可以为反编译程序集得到的代码创建一个项目。JustDecompile提供了健壮的查找功能，能够支持全文查找和符号使用查找。它和ILSpy一样还有一个插件系统，目前在Telerik的网站上有两个可用的扩展。JustDecompile不能与Visual Studio集成。

Telerik JustDecompile

5、de4Dot和reflexil插件

de4dot是一款.net脱壳反混淆的软件，可独立运行，也可作为插件集成到ILSpy和JustDecompile中。支持以下混淆器种类：

• Agile.NET (aka CliSecure)
• Babel.NET
• CodeFort
• CodeVeil
• CodeWall
• CryptoObfuscator
• DeepSea Obfuscator
• Dotfuscator
• .NET Reactor
• Eazfuscator.NET
• Goliath.NET
• ILProtector
• MaxtoCode
• MPRESS
• Rummage
• Skater.NET
• SmartAssembly
• Spices.Net
• Xenocode

由于我的checkMe没有进行混淆，这里无法直观演示这个功能，只上一个图吧

JustDecompile的de4dot插件

reflexil是一款修改程序集的插件，支持修改IL代码和编辑函数。它同样可以集成到ILSpy和JustDecompile中。