bobby_analog
2013-07-08 21:29:19 UTC
Kde jsou v sestavě CIL uloženy prostředky?
Snažím se zpětně analyzovat ukázku, která vypadá, že je chráněna kryptérem .NET.
Sestava CIL pro vzorek provede dešifrování SHA256 na objektu blob, který se načte pomocí System.Resources.ResourceManager :: GetObject, ale nejsem si jistý, kde v binárním souboru jsou tyto zdroje. Načetl jsem binární soubor do Resource Hacker, ale vše, co vidí, je něco, co se nazývá Verze Info, která má metadata o binárním souboru v něm. Předpokládám, že existuje nějaký druh segmentu nebo něco, co není skutečným segmentem PE, ale je to segment CLI?
Pro referenci je to na malwr.com, MD5: 891905810486c6dee6d246f9845fb5cd
Jakákoli pomoc je vítána.
Vyzkoušejte CFF Explorer, který ví o formátu souboru .NET.
Pro kohokoli zvědavého napsal autor CFF Explorer několik příspěvků na blogu o codeproject o .NET a formátu souboru .resource: http://www.codeproject.com/Articles/12585/The-NET-File-Format http://www.codeproject.com/Articles/12096/NET-Manifest-Resources