dotnet framework程序玩了5份样本，2份dotnet的，2份native的和1份pcode的。
-
dotnet的相对会简单，只需要使用dnspy工具打开目标程序，找到逻辑点后，点编辑函数，然后去掉校验逻辑。随后保存到程序集即可。
-
遇到加了混淆以后对外显示原始方法名称，但是点进去以后发现所有方法全都是直接返回null的。
-
通过[DotNet Id_1.0.0.3](https://pan.baidu.com/s/1K5tQuynpYTS83gydNopKcg?pwd=tmnl) 提取码：tmnl 查壳发现其是`maxtocode`混淆的
-
这种可通过de4dot_.NET_Reactor_v6.x_Modded 提取码：csz9。这种脱壳以后不会有乱码，注意后续Reactor产品可能也会继续升级，对应的反混淆工具也需要相应跟着一起升级。
-
-
VB Decompiler
-
基础的伪代码获取工具，可能会提示“file is packed”即使文件没有被加过壳
-
-
VBRezQ
-
VB的窗体和虚拟指令获取，但是如果对象是pcode编译，则只能获取到方法名，获取不到内容
-
-
VBDec
-
同样也是获取窗体和虚拟指令的，但是可能会报错导致获取不全而中断
-
-
WKTVBDebugger
-
动态调试pcode编译，并且以虚拟指令的方式显示，通过修改BranchE(1C)/T(1D)来变更目标程序的逻辑
-
以上几个工具下载 提取码：123t
脱壳-
通常常用的壳如UPX、ASPack等，可以使用吾爱破解上面的工具箱里面的脱壳工具
-
其他的一些比较难的如VMProtect等壳，可以是通过esp原理使用动调的方式手动去掉
-
壳往往都是通过对外界表现出黑匣子效应，对程序本身表现出透明效应。所以壳会在程序初始化的时候将堆栈保存下来，在解密完成后恢复堆栈。故往往会有pushad这样的指令，此时只要监控该栈位置，以发现在popad的位置，该位置离程序真正的main函数或者入口函数会非常接近。
-
