解析 .NET 可执行程序 —— dnfile

吉沃运营专员

工具源码：https://github.com/malwarefrank/dnfile

特性

• 尽可能多地解析，即使文件部分格式错误；
• 便于使用，开发时考虑了 IDE 自动完成功能；
  

快速开始

1. pip install dnfile

复制代码

然后创建一个简单的程序来加载 .NET 二进制文件、解析它并显示有关流和元数据表的信息。

1. import sys
   
2. import dnfile
   
3. 
   
4. filepath = sys.argv[1]
   
5. 
   
6. pe = dnfile.dnPE(filepath)
   
7. pe.print_info()

复制代码

一切都是对象，原始结构值存储在对象的 "struct" 属性中，可以从 dnPE 对象的 "net" 属性访问 CLR 目录条目对象。

1. import dnfile
   
2. import hashlib
   
3. 
   
4. pe = dnfile.dnPE(FILEPATH)
   
5. 
   
6. # access the directory entry raw structure values
   
7. pe.net.struct
   
8. 
   
9. # access the metadata raw structure values
   
10. pe.net.metadata.struct
    
11. 
    
12. # access the streams
    
13. for s in pe.net.metadata.streams_list:
    
14.     if isinstance(s, dnfile.stream.MetaDataTables):
    
15.         # how many Metadata tables are defined in the binary?
    
16.         num_of_tables = len(s.tables_list)
    
17. 
    
18. # the last Metadata tables stream can also be accessed by a shortcut
    
19. num_of_tables = len(pe.net.mdtables.tables_list)
    
20. 
    
21. # create a set to hold the hashes of all resources
    
22. res_hash = set()
    
23. # access the resources
    
24. for r in pe.net.resources:
    
25.     # if resource data is a simple byte stream
    
26.     if isinstance(r.data, bytes):
    
27.         # hash it and add the hash to the set
    
28.         res_hash.add(hashlib.sha256(r.data).hexdigest())
    
29.     # if resource data is a ResourceSet, a dotnet-specific datatype
    
30.     elif isinstance(r.data, dnfile.resource.ResourceSet):
    
31.         # if there are no entries
    
32.         if not r.data.entries:
    
33.             # skip it
    
34.             continue
    
35.         # for each entry in the ResourceSet
    
36.         for entry in r.data.entries:
    
37.             # if it has data
    
38.             if entry.data:
    
39.                 # hash it and add the hash to the set
    
40.                 res_hash.add(hashlib.sha256(entry.data).hexdigest())

复制代码