[СТАТЬЯ]Введение в Реверс-Инжиниринг. .NET 1 часть.

Введение в Реверс-Инжиниринг .NET – часть 1​

Вступление​

Инструменты​

• 
  dnSpy –https://github.com/dnSpy/dnSpy
  (отладчик и редактор сборок .NET; позволяет редактировать и отлаживать сборки без исходного кода)
  JetBrains DotPeek – https://www.jetbrains.com/decompiler (декомпилятор)

Различие .NET и нативных x86 приложений​

• 
  Исходный код (C/C++ и другие) проходит через препроцессор, компилятор и компоновщик.
  В результате получаем исполняемый файл с инструкциями, специфичными для архитектуры и ОС.
• Код выполняется напрямую процессором без промежуточных виртуальных машин.

• 
  Код на C# компилируется в IL (Intermediate Language).
  IL выполняется в управляемой среде CLR (Common Language Runtime) или её аналогах (JVM для Java).

Практика: сборка и реверс без Native AOT​

PasswordCheckerLIMB

    private static void Main()
    {
        Console.WriteLine(Watermark);
        bool loopLIMB = true;
        while (loopLIMB)
        {
            Console.Write("Enter password: ");
            string inputLIMB = Console.ReadLine();
            loopLIMB = CheckPasswordLIMB(inputLIMB);
            Console.WriteLine(Watermark);
        }
    }

    private static bool CheckPasswordLIMB(string pwdLIMB)
    {
        if (string.IsNullOrEmpty(pwdLIMB))
        {
            Console.WriteLine("Password cannot be empty");
            return true;
        }

        if (pwdLIMB == CorrectPasswordLIMB)
        {
            Console.WriteLine("Access granted");
            return false;
        }

        Console.WriteLine("Access denied");
        return true;
    }
}

• 
  Перетащить DLL из папки
  
  C:\Users<имя ПК>\source\repos<проэкт>\bin\Release\net8.0​
  в папку с EXE и запустить.
  Собрать самодостаточный EXE без внешних DLL (Native AOT).

Исследование сборок в dnSpy​

1. Открываем EXE в DetectItEasy – это пустой файл с .NET-лоадером.
2. Загружаем EXE в dnSpy – видим только структуру PE файла.
3. Загружаем саму DLL в dnSpy и нажимаем правой кнопкой мыши по файлу и нажимаем на  Go To Entry Point – попадаем в наш код, видим константу пароля и метод CheckPasswordLIMB.

Native AOT​

Защита приложения​

• 
  В окне Main Assembly перетаскиваете скомпилированную DLL.
  Выбираете функции защиты и жмёте PROTECT.
• В папке появится _Secure с защищёнными файлами – переносите туда EXE и запускаете.

Практика: анализ чужой  ВРЕДОНОСНОЙ сборки​

• Результат: SheetRat – вредоносный RAT на C# с C2 https://pastebin.com/raw/ASKidwEn