<![CDATA[Latest posts for the topic "Các công cụ cần thiết cho quá trình Reverse Engineering .NET"]]> /hvaonline/posts/list/36.html JForum - http://www.jforum.net Các công cụ cần thiết cho quá trình Reverse Engineering .NET http://www.ntcore.com/exsuite.php Đây là 1 chương trình rất đa năng nằm trong bộ Explore Suite của NTCore phát triển. Mặc dù đây chỉ là dự án ngoài lề (Side-project) được viết bởi Daniel Pistelli, tuy nhiên các tính năng của nó được đánh giá rất cao và hữu ích. Chương trình là 1 PE Editor đúng nghĩa với các tính năng sau: Process Viewer Drivers Viewer Windows Viewer PE and Memory Dumper Full support for PE32/64 Special fields description and modification (.NET supported) PE Utilities PE Rebuilder (with Realigner, IT Binder, Reloc Remover, Strong Name Signature Remover, Image Base Changer) View and modification of .NET internal structures Resource Editor (full support for Windows Vista icons) Support in the Resource Editor for .NET resources (dumpable as well) Hex Editor Import Adder PE integrity checks Extension support Visual Studio Extensions Wizard Powerful scripting language Dependency Walker Quick Disassembler (x86, x64, MSIL) Name Unmangler Extension support File Scanner Directory Scanner Deep Scan method Recursive Scan method Multiple results Report generation Signatures Manager Signatures Updater Signatures Collisions Checker Signatures Retriever (Vì đây đa phần là các thuật ngữ chuyên môn nên khi dịch ra tiếng Việt có thể không sát nghĩa, cho nên tôi để nguyên tiếng Anh). Đây cũng là chương trình đầu tiên hỗ trợ việc xem và thay đổi cấu trúc, thông số của .NET PE file, có thể thực hiện ngay cả khi trong máy không cài .NET Framework. Ta cũng có thể mở rộng khả năng hoạt động của chương trình bằng cachs viết các script cho chương trình tự động chạy, đó cũng là điểm mạnh rất đáng giá. Vậy nên, nếu bạn muốn thực hiện Reverse Engineering .NET, đây là công cụ bạn cần phải có trong bộ “đồ nghề” của mình
CFF Explorer + Điểm cộng: Nhẹ, miễn phí, nhiều tính năng rất hữu ích, hỗ trợ hiệu quả .NET, khả năng mở rộng tốt + ĐIểm trừ: Không có 2. .NET Reflector Thông tin và Download: http://www.red-gate.com/products/dotnet-development/reflector/ Nhắc đến .NET Reflector thì không phải là cái tên quá xa lạ đối với những ai đang nghiên cứu về .NET. Đây là công cụ phổ biến nhất trong việc dịch ngược .NET. Có một decompile engine chất lượng, có nhiều plugin/addin hỗ trợ, tính năng hữu ích, giao diện trực quan dễ sử dụng, có thể tích hợp vào trong Visual Studio, kèm theo đó là 1 “ông trùm” chống lung phía sau là Red-Gate, không lạ lắm khi .NET Reflector càng ngày càng trở lên mạnh mẽ và phổ biến hơn. Tính năng dịch ngược của .NET Reflector theo quan điểm cá nhân của tôi là rất tốt, có thể đưa về 90-95% code gốc, và có thể browse code không khác lắm so với việc chúng ta đọc code trong Visual Studio. Tuy nhiên tôi vẫn thích các phiên bản cũ của .NET Reflector khi Lulz Roeiier còn phát triển độc lập. Lúc đó .NET Reflector chạy rất nhẹ nhàng và chính xác, mặc dù không có nhiều tính năng hay ho như .NET Reflector hiện hành, và quan trọng nhất là nó “miễn phí”. Red-Gate đã mua lại .NET Reflector và biến nó thành một công cụ độc quyền của hang, và bán với giá cao. Tất nhiên là cracker / reverser không thích điều này, và họ đã phát triển các công cụ thay thế khác với tính năng giống .NET Reflector và chạy nhẹ nhàng hơn rất nhiều (tôi sẽ giới thiệu một vài các công cụ nổi bật khác ở phần dưới).
.NET Reflector + Điểm cộng: Mạnh, phổ biến, dễ sử dụng, nhiều addin, khả năng tích hợp tốt với Visual Studio, nhiều tính năng hữu ích + Điểm trừ: Nặng, mất phí, thiếu các tính năng chuyên dụng và nâng cao 3. Simple Assembly Explorer Thông tin và download: https://sites.google.com/site/simpledotnet/simple-assembly-explorer Đây là công cụ mà độ phổ biến của nó cũng ngang tầm với .NET Reflector. Thường được gọi tắt là SAE, một dự án mã nguồn mở được viết bởi Wicky Hu. Chương trình cung cấp các tính năng sau: Assembler: call ilasm to assemble il file Disassembler: call ildasm to disassemble assembly Deobfuscator: de-obfuscate obfuscated assembly Strong Name: remove strong name, sign assembly, add/remove assembly to/from GAC PE Verify: call peverify to verify assemblies Class Editor: browse/view assembly classes, edit method instructions Run Method: run static methods Profiler: Trace function calls and parameters with SimpleProfiler Relector: plugin which call Reflector to browse selected assembly ILMerge: plugin which call ilmerge to merge selected assemblies Edit File: plugin which call your editor to view selected assembly Plugin Sample: plugin sample Copy Info: copy information of selected assemblies to clipboard Open Folder: open container folder Delete File: delete selected file(s) Đây là các tính năng rất mạnh và chuyên nghiệp mà hầu như không có trong .NET Reflector. Một điểm mạnh khác của chương trình là có hỗ trợ sử dụng decompiler Engine của .NET Reflector hay ILSpy để đưa ra code dịch ngược dưới dạng các ngôn ngữ bậc cao (C#,VB.NET….) bởi vì mặc định của chương trình là dịch ngược về mã IL. Nó cũng có thể dịch ngược rất nhiều những file .NET mà .NET Reflector bó tay (ví dụ điển hình là các .NET bị obfuscated/packed) Điểm yếu của chương trình là nó hơi khó sử dụng, và thích hợp với những người có nhiều kinh nghiệm hơn là những người mới bắt đầu. Tuy nhiên nếu bạn hiểu và nắm rõ cách sử dụng của chương trình, thì đây là một chương trình tuyệt vời nhất cho việc dịch ngược .NET
SAE + Điểm cộng: RẤT MẠNH, mã nguồn mở, nhẹ, miễn phí, nhiều tính năng chuyên nghiệp mà các công cụ khác không có, khả năng mở rộng và tích hợp các công cụ khác + Điểm trừ: Khó sử dụng, đòi hỏi có kinh nghiệm 4. Telerik JustDecompile Thông tin và download: http://www.telerik.com/products/decompiler.aspx JustDecomple của Telerik cũng là một công cụ chịu nhiều ảnh hưởng từ .NET Reflector, và được coi là sự thay thế tốt nhất cho .NET Reflector. Bao gồm các tính năng chính sau: 10 times faster than competitors. Open API for everyone to create extensions. Supports .NET 2, 3.5, 4, 4.5, 4.5.1, WinRT Metadata, C#5, APPX and WinMD. Code becomes easily searchable with JustDecompile. Create a Visual Studio project from a decompiled assembly. JustDecompile integrates with JustCode and JustTrace. Switch easily between different methods and assemblies in one JustDecompile instance. Decompile referenced assemblies in a Visual Studio project. Save resources from assemblies. Bookmark usages in loaded assemblies. Export code directly from the command prompt. Decompile an assembly after browsing to it in Windows Explorer. Đây là một công cụ khá tốt cho việc dịch ngược .NET, được một doanh nghiệp phát triển cho nên được đầu tư khá tốt. Nó bao gồm các tính năng cơ bản có trong .NET Reflector và có khả năng mở rộng tốt. Tuy nhiên vì mới được phát triển cho nên chưa có quá nhiều sự nổi bật và tính năng khác biệt nên vẫn phải đứng sau cái bóng quá lớn của .NET Reflector. Trong tương lai chắc chắn đây sẽ là một công cụ rất mạnh và hữu ích. Còn bây giờ, nó vẫn là một sự lựa chọn khá tốt cho việc thay thế .NET Reflector vì hai công cụ này tính năng có nhiều điểm tương đồng và rất dễ sử dụng. Một vài điểm khác đáng chú ý ở đây là hỗ trợ command line và khả năng export ra source code rất tuyệt. Về plugin thì lúc tôi sử dụng mới chỉ có 3 plugin.
JustDecompile + Điểm cộng: miễn phí, dễ sử dụng, nhiều tính năng hữu ích giống .NET Reflector, khả năng mở rộng tốt, khả năng decompile tốt, nhẹ, được phát triển khá tốt + ĐIểm trừ: ít plugin hỗ trợ, thiếu các tính năng chuyên dụng nâng cao (Còn tiếp) ]]>
/hvaonline/posts/list/45595.html#280433 /hvaonline/posts/list/45595.html#280433 GMT
Các công cụ cần thiết cho quá trình Reverse Engineering .NET
ILDASM + Điểm cộng: Nhẹ, có sắn (nếu như có cài Visual Studio và Windows SDK), hiện thị code tốt, export code khá tốt +Điểm trừ: Quá đơn điệu, thiếu nhiều tính năng cơ bản cũng như các tính năng mở rông, nâng cao 6. ILSpy Thông tin và download: http://ilspy.net/ ILSpy là trình decompiler/Disassembler mã nguồn mở, được tạo ra nhằm mục đích thay thế cho .NET Reflector sau khi Red-Gate mua lại .NET Reflector và biến nó thành phần mềm thương mại. ILSpy là 1 công cụ rất nhẹ, chỉ bao gồm các tính năng cơ bản đủ dùng, đã có thể thay thế một phần nào .NET Reflector. Cá nhân tôi thích nhất ở phần mềm này là sự nhanh và nhẹ của nó. Code sau khi dịch ngược khá chuẩn xác. Tính năng: • Assembly browsing • IL Disassembly • Support C# 5.0 "async" • Decompilation to C# o Supports lambdas and 'yield return' o Shows XML documentation • Decompilation to VB • Saving of resources • Save decompiled assembly as .csproj • Search for types/methods/properties (substring) • Hyperlink-based type/method/property navigation • Base/Derived types navigation • Navigation history • BAML to XAML decompiler • Save Assembly as C# Project • Find usage of field/method • Extensible via plugins (MEF) • Assembly Lists
ILSpy + Điểm cộng: RẤT NHẸ, nhanh, đầy đủ tính năng cơ bản, mã nguồn mở, miễn phí +Điểm trừ: Ít plugin, thiếu tính năng mở rộng nâng cao 7. Dotnet Resolver Thông tin và download: http://dotnetresolver.eu5.org/ Đây là 1 công cụ do cộng động Reverser thiết kế ra, nhằm mục đích thay thế cho .NET Reflector và các chương trình decompile khác, Vì được xây dựng bởi các Reverser có nhiều kinh nghiệm cho nên nó đáp ứng được khá đầy đủ các tính năng cần thiết, vừa có sự trực quan và dễ sử dụng như .NET Reflector, vừa nhẹ và nhanh như ILSpy, vừa nhẹ và nhanh hơn cả ILSpy, và cũng rất mạnh, gần như SAE. Cá nhân tôi đánh giá đây là 1 công cụ rất tốt, tuy nhiên công cụ này khá mới mẻ và vẫn còn đang trong giai đoạn phát triển, và chúng ta có thể hi vọng sẽ có thêm nhiều tính năng mới trong tương lai. Phiên bản hiện tại rất ổn định và đã sẵn sang để sử dụng. Tính năng: - Translate to C# and Visual Basic - Editing MSIL Instructions - Stable Assembly Reader - Member Analyser - Plug-in Support
DotNet Resolver +Điểm cộng: Nhanh, mạnh, khá đầy đủ tính năng, nhẹ, miễn phí, phát triển tốt, dễ sử dụng, khả năng mở rộng tốt +Điểm trừ: Ít plugin 8. IDA Thông tin và download: https://www.hex-rays.com/products/ida/ IDA thì quá nổi tiếng trong giới Reverser rồi. Đây là công cụ mạnh nhất trong việc dịch ngược và phân tích chương trình với rất nhiều plugin và các tính năng chuyên nghiệp. Thế nhưng nhà phát triển IDA tập trung chủ yêu vào việc phát triển công cụ này cho mục đích dịch ngược native PE file và các ứng dụng trên các nền tảng khác như iOS, ARM, Linux, Android,… Cho nên các tính năng cho việc dịch ngược .NET chỉ dừng lại ở mức vừa đủ, không thế so sánh với các chương trình dịch ngược tôi đã giới thiệu ở trên được. Và tôi cũng không sử dụng IDA quá nhiều cho việc dịch ngược các chương trình .NET, cho nên phần này chỉ viết cho mục đích để tham khảo là chính, không thể đánh giá cụ thể. Bởi vì chỉ dựa trên khả năng dịch ngược .NET của IDA mà đánh giá sức mạnh của chương trình này thì thật sự không chính xác chút nào.
IDA (còn tiếp)]]>
/hvaonline/posts/list/45595.html#280452 /hvaonline/posts/list/45595.html#280452 GMT
Các công cụ cần thiết cho quá trình Reverse Engineering .NET http://msdn.microsoft.com/en-us/windows/hardware/hh852365.aspx WinDbg là công cụ nằm trong bộ Debugging Tools của WDK (Windows Development Kit), do Microsoft tạo ra, Đây là 1 trình debugger rất mạnh, có thể debug các ứng dụng ở user-mode lẫn kernel-mode. Nó cũng có thể debug các chương trình .NET. Tuy nhiên để sử dụng được WinDbg đòi hỏi có nhiều kinh nghiệm về Reverse Engineering cũng như programming. Công cụ này cũng không được sử dụng quá phổ biến khi dịch ngược các chương trình .NET, tôi thường thấy nó được sử dụng trong việc phân tích hoạt động của các file .NET bị obfuscated cũng như tìm hiểu cơ chế hoạt động của các trình packer/protector cho .NET. Nếu bạn đã tiến đến mức guru/expert – nôm na là “lão làng” rồi thì đây là công cụ không thể thiếu của bạn. Tôi cũng chưa sử dụng WinDbg quá nhiều cho việc debug cho nên cũng chưa thể đưa ra những nhận định cá nhân, vì vậy phần này chỉ viết để tham khảo + giới thiệu.
WinDbg 10. Nhóm các công cụ tiện ích nhỏ (Utilities) Nhóm các công cụ tiện ích là tập hợp các chương trình nho nhỏ để giúp cho việc dịch ngược .NET trở nên dễ dàng hơn, chứ chúng không phải là các chương trình dịch ngược như các chương trình tôi đã giới thiệu ở trên. Số lượng các công cụ này (theo những gì tôi biết) không quá nhiều nhưng chúng thật sự rất hữu ích Chúng ta có thể kể đến: - MSIL Opcode Table: Đây là 1 chương trình rất nhỏ cho ta xem các thông tin cơ bản của các mã IL. Đây có thể coi như một dạng cheatsheet, vô cùng tiện lợi cho ta tra cứu. Có rất nhiều các mã IL, mỗi mã IL lại kèm theo những thông tin quan trọng cho nên việc ghi nhớ tất cả là rất khó. Cho nên chúng ta RẤT CẦN đến công cụ này:
MSIL Opcode Table - Dotnet Tracer: Một tiện ích nhỏ nhưng vô cùng đáng giá, theo tôi biết thì nó sẽ load chương trình .NET vào, sau đó hook Jit-compiler và sẽ đưa ra các thông tin vô cùng hữu ích, đại loại như: o Các module được load o Thông tin về các method sẽ được compile bởi jit o Các exception o Các thread sẽ được chạy o …. Đây gần như là 1 chương trình debug cho .NET, để cho ta biết được cớ chế hoạt động của chương trình cần phân tích. Để sử dụng hiệu quả công cụ này, bạn cần phải có kinh nghiệm nhất định về .NET và cơ chế hoạt động của .NET framework cũng như jit compiler
Dotnet Tracer - .NET Method Parser Đây là một công cụ nhỏ gọn giúp liệt kê, phân tích và đưa ra các thông tin về các method trong một chương trình .NET (offset, name, type, flag, size,….).
NET Methods Parser Ngoài ra còn một công cụ khá tốt mà tôi muốn giới thiệu với các bạn, đó là 1 IDE mã nguồn mở và miễn phí tên là SharpDevelop (Thông tin và download: http://www.icsharpcode.net/opensource/sd/). Cá nhân tôi cảm thấy khó chịu khi sử dụng bộ Visual Studio của Microsoft vì nó quá nặng (so với cái máy già cỗi của tôi) và thêm nữa là các vấn đề liên quan đến bản quyền (dĩ nhiên là vẫn có bản Express miễn phí nhưng cũng vẫn nặng và thiếu nhiều tính năng so với các bản professional hay Ultimate mà M$ tạo ra). Vì vậy tôi chọn SharpDevelop để tạo các ứng dụng .NET, vừa nhanh lại vừa nhẹ., giao diện của chương trình cũng khá tiện lợi và trực quan. Bộ setup của nó chỉ vỏn vẹn có ~15mb nhưng khi cài đặt xong có thể code trong nhiều ngôn ngữ: C#,VB.NET, F# IronPython,…. Vì vậy tôi đánh giá rất cao IDE này,, rất tiện lợi khi cần code các công cụ, các tool nho nhỏ và các app demo.
(còn tiếp)]]>
/hvaonline/posts/list/45595.html#280468 /hvaonline/posts/list/45595.html#280468 GMT