.NETアプリケーションのデコンパイラ dnSpyを使ってみる

はじめに

• マルウェアを分析するにあたり，.NETアプリケーションの場合はdnSpyを使うことでデコンパイル，つまり実行形式・ライブラリ形式のバイナリになったファイルから，ソースコードに戻す作業が簡単にできるというので，使ってみた．
• 今回は適当な解析対象がなかったので，dnSpy自身を読み込ませてみる．

入手

• dnSpyはGithubにあるので，以下のURLにアクセス．

https://github.com/0xd4d/dnSpy

• 入手だけならSignUpは不要．

• BinariesのLastest releaseをクリック．

• 現在はV6.1らしい．dnSpy-net472.zipをダウンロード．

• ダウンロードした状態．

• ZIPファイルなので，ファイルを解凍する．

• こんな感じで展開される．

dnSpyを使ってみる

• インストール作業は不要．このdnSpy.exeを実行する．

• 解析対象のEXEやDLLファイルを画面の左ペインにドラッグすると登録完了．
• 今回は，dnSpy自身を解析してみる．

• 解析対象のファイル名の左にある三角をクリックして展開する．

• これでソースコードを確認することができる．

• .NETアプリじゃない場合は，バイナリが表示される．（視認性が悪いのですぐわかる）