-
-
[原创]一个c#写的.net程序！
-
发表于: 2019-6-18 16:21
-
文件查看信息如上图：
MicroSOFT Visual C# / Basic.NET / MS Visual Basic 2005/2008 [ Obfus/Crypted ] - EP Token : 060000DA
-> Explore, browse, and analyze .NET assemblies with .NET Reflector v8.0 - f36K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4u0W2k6q4)9J5k6r3N6S2N6r3g2Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0V1N6h3y4@1M7#2)9J5c8Y4u0W2k6X3I4W2j5%4c8G2M7R3`.`.
- IF file is packed try .NET Generic unpacker from : 05bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4q4#2k6i4q4#2k6i4u0G2i4K6u0W2L8%4u0Y4i4K6u0r3f1r3q4U0K9#2)9#2k6W2g2F1M7r3q4U0K9H3`.`.
section信息如下图：
不知道这个程序有么有加壳？用.net Reflactor查看，如下图，反汇编出来的内容基本上没有参考价值。。。
同时用OD调试，也进入不了程序的主体，获取不到有用的信息，没法调试跟进。。。
请高手指点。附件为该程序。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
他有一部分是托管代码，比如这个在module里（反编译后的），剩余部分是C++的本地代码，你用ida就可以看到，当然loader别选错了，选pe，不要选.net，这是一个混合程序集 |
|
|
感谢，用IDA导入，好像看到的内容也比较有限，会是什么原因？比如左边窗口中的过程或函数名称不够直观（反倒是.netReflector下看到的要明确些）。谢了。。。感谢！
 |
|
|
|
|
|
好的，还是非常感谢。我在研究下。。。 |
|
|
调试过程中，地址从主程序0041xxxx跳转到debug086:xxxxxx地址，这表示啥意思？如下图：
 在OD中调试的时候，也是会从0041xxxx地址跳转到002Dxxxx地址，这是什么情况？
|
|
|
|
