如何解决如何在运行时解析IL代码的成员地址
我目前正在调查受保护的 .NET 恶意软件。
我正在处理使用相同类型保护的 PE 文件。 它在运行时解密其 IL 代码。 我知道一段真正的 IL 代码。
我能够在两个不同的时刻恢复一段相同的 IL 代码。 picture of the 3 versions of the IL code
第二行，在compileMethod之前
最后一行是我最终应该得到的。
我想了解逃避的工作原理。为什么可以使用 0x0A800005 而不是 0x0A00001D (Systems.Windows.Form.Label) 编译 IL 并且仍然有一个正在运行的程序。
有没有办法在运行时解析 0x0A800005 并理解它与 Systems.Windows.Form.Label 有某种关联？
提前致谢
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。