反混淆ConfuserEX的compressor

查看 122|回复 9
作者:FatPigs   
今天遇到个.net程序,混淆了,直接拖de4dot解不出来,用die查出是ConfuserEX混淆的,于是到论坛搜寻反混淆ConfuserEX的方法。
找到了ConfuserEx脱壳工具打包 - 『逆向资源区』 - 吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn这个帖子,下载里面的工具后第一步就出问题了。
跳过第一步又是各种报错。心想这条路肯定是走不通了。
于是去外网碰碰运气,在苦苦搜寻下,找到了个视频教程[Unpacking: ConfuserEx - Compressor - YouTube],里面混淆后的代码后这个很相似。
心想遇到宝了,按照视频里面的方法,果然就反混淆成功了。
但是dump出来的程序无法运行,这个其实只要去dnspy调试运行一下就能发现问题出在哪里。dump出来的程序入口点没有指定,在dnspy里重新指定一下入口点就好了。
具体方法如下:
1:用Dnspy加载程序,转到入口点,搜索.free的语句并下断点,调试运行到断点,在下面的[模块]窗体内把koi保存为exe文件,这个就是去除混淆后的程序了。
2:用Dnspy加载koi,右键编辑模块,入口点选择托管,然后选择程序的主方法。确定保存即可。
但是,如果程序有配套的dll就仍然无法运行或功能缺失。
如果这个dll是开源类库的话按照报错去网上找,如果是作者自己写的就只能按照调用的方法逆向还原了。
混淆的程序的资源内有一个乱码文件,可能跟dll有关。

程序, 入口

smarzh   

不知道你这个程序是不是修改版的confuser修改的,我有个程序KOI入口点是能找到也修复了,配套的dll不好生成。程序在第二部call变nop后还能运行,就是功能已经有出错了。还没找打这个混淆比较好的步骤。
lifz888   

支持原创,支持分享
不苦小和尚   

感谢分享经验
zhanglei1371   

LZ有没有.net Reactor6的去混淆工具?分享下
km7687547   

感谢分享
ps122   


smarzh 发表于 2021-2-17 09:09
不知道你这个程序是不是修改版的confuser修改的,我有个程序KOI入口点是能找到也修复了,配套的dll不好生成 ...

程序能运行相关的dll也能导出来吧
yujian1991   

So Easy  
lifz888   

非常好的学习资料,支持分享
xqw826   

下载学习一下
您需要登录后才可以回帖 登录 | 立即注册

返回顶部