托管代码逆向（.NET / Java / 脚本）

完整工作流

1. 识别运行时（不先判型就反编译是最大浪费）：
   • PE 文件：file 输出含 "Mono/.Net assembly"、PE 可选头数据目录第 15 项（COM Descriptor / CLI header）非零、导入 mscoree.dll → .NET 程序集 → [[re-dotnet]]（能力：bytecode-parser）
   • jar/war/class：unzip -p app.jar META-INF/MANIFEST.MF 见 Main-Class、class 文件魔数 CAFEBABE → Java 字节码 → [[re-java]]（能力：bytecode-parser）
   • 脚本/宏：shebang（#!/usr/bin/pwsh）、-EncodedCommand / IEX（PowerShell）、OLE 文档（file 显示 "Composite Document"）内嵌 VBA、eval( / fromCharCode（JavaScript）→ [[re-script-deob]]（能力：deobfuscation）
   • 拿不准先 [[re-triage]]（能力：triage） 初勘（file/hash/熵/strings），不要凭扩展名猜
2. 反编译：按识别结果走 [[re-dotnet]]（能力：bytecode-parser） / [[re-java]]（能力：bytecode-parser） / [[re-script-deob]]（能力：deobfuscation），先把目标逻辑还原成可读代码
3. 去混淆：各原子技能内含对应方案——de4dot（ConfuserEx/SmartAssembly）、混淆识别 + 字符串解密（ProGuard/Allatori）、逐层解码（脚本/宏）；混杂原生组件（native stub / JNI）的反混淆转 [[re-deobfuscate]]（能力：deobfuscation）
4. 恶意场景（钓鱼宏、下载器脚本、恶意 .NET/Java 样本）：转 [[re-malware]]（能力：malware-behavior、document-malware、evasion-analysis、key-extraction、threat-intel） 网关——默认沙箱 → 行为分析 → C2/协议 → IOC/报告；反编译还原结果作为静态证据回传给 [[re-malware]]（能力：malware-behavior、document-malware、evasion-analysis、key-extraction、threat-intel） 使用

何时用哪个原子技能（选择树）

按运行时分支：

• PE 且确认 .NET 元数据（CLI header / mscoree） → [[re-dotnet]]（能力：bytecode-parser；dnSpy/ILSpy 反编译、de4dot 去混淆）
• jar / war / class（Java 字节码） → [[re-java]]（能力：bytecode-parser；CFR/JD-GUI、javap、加固脱壳）
• .ps1 / .docm / .xlsm / .js / .jse / .hta（脚本或宏） → [[re-script-deob]]（能力：deobfuscation；逐层解码，动态执行默认沙箱）
• Python 打包样本（.exe 含 PyInstaller/PyArmor 特征 / .pyc / python 打包） → [[re-python]]（能力：bytecode-parser；pyinstxtractor 解包、PyArmor-Unpacker、pyc 反编译；纯脚本混淆转 [[re-script-deob]]（能力：deobfuscation））
• .wasm / WebAssembly 模块（网页/Node 侧载荷） → [[re-wasm]]（能力：web-assembly；WABT 解析 section、wasm-decompile 反编译、DevTools/wasmtime 动态）
• AI 模型相关 → [[re-ai-triage]]（能力：triage） 分流：模型文件（.onnx/.safetensors/.pt）→ [[re-ai-model]]（能力：ai-model-analysis；格式识别、权重提取、文件级水印；未知 pkl 默认隔离）；仅 API → [[re-ai-attack]]（能力：ai-model-analysis；行为层评估，guard 授权前置）
• EVM 合约字节码（.bin / hex） → [[re-blockchain]]（能力：blockchain-analysis；ABI 恢复、panoramix 反编译、漏洞分析）
• 浏览器扩展（crx/xpi/zip 扩展文件） → [[re-browser-ext]]（能力：browser-extension；权限审计/恶意行为/混淆还原）
• Electron 打包应用（resources/app.asar） → [[re-electron]]（能力：electron-analysis；asar 解包、V8 字节码边界、CDP 动态调试）
• Java Card / SIM（CAP 文件） → [[re-javacard]]（能力：bytecode-parser；12 组件解析、process(APDU) 分派还原）
• Android DEX → 不是本网关——转 [[re-mobile]]（能力：dex-parser、jni-analysis、frida-instrumentation、mobile-forensics；[[re-apk]]（能力：dex-parser）），其中含 Java 原生逻辑再回 [[re-java]]（能力：bytecode-parser）
• 仅脚本调用 native 下载的 PE → 动态侧跟 [[re-malware]]（能力：malware-behavior、document-malware、evasion-analysis、key-extraction、threat-intel），静态侧回 [[re-binary-core]]（能力：decompilation、debugging、memory-dump、elf-parser、pe-parser、macho-parser）

跨域联合

• .NET/Java 恶意样本：[[re-malware]] → 本网关（dotnet / java 反编译还原）→ 回 [[re-malware]]（行为验证 + IOC）
• 恶意脚本/宏：[[re-malware]] → [[re-sandbox]]（动态）→ [[re-script-deob]]（静态还原载荷）
• 底座 [[re-binary-core]]：初勘（[[re-triage]]）、混合程序原生部分（格式解析 / [[re-ghidra]] 反编译）、混淆深层还原（[[re-deobfuscate]]）
• 本网关被 [[re-analyze]] 的 triage「.NET/Java/脚本样本」路径调用
• "代码在数据里"分支：AI 模型（[[re-ai-triage]] → [[re-ai-model]] 文件层 / [[re-ai-attack]] 行为层；内嵌代码转 [[re-binary-core]]）、EVM 合约字节码（[[re-blockchain]]，漏洞侧衔接 [[re-vuln]]）

常见坑与陷阱

• 凭扩展名/导入猜运行时：PE 导入 mscoree.dll 未必是纯托管（混合模式 / 混淆器伪装），Jar 可能内嵌 native 库——先按工作流第 1 步确认（CLI header / manifest / 魔数）再选技能
• .NET 自包含单文件 / Java fat jar 不解包直接分析：单文件把 IL + 运行库捆进 native host，fat jar 的类在 BOOT-INF/lib——先解包（[[re-dotnet]] / [[re-java]] 有对应步骤），否则反编译产物空/乱
• 混淆层数估计不足：还原一层发现还有一层是常态——逐层验证，每层存档，别试图一步到位
• 动态执行不上沙箱：脚本/宏/VBA 可能下载器、可能持久化——一切动态执行默认沙箱（[[re-analyze/platform-tips]] 最高原则），静态解码可免
• 加固与混淆混淆：Java 加固（Virbox 等）是"壳"，de4dot 管不了——先判"壳还是混淆"，壳走 [[re-anti-analysis]] 思路（先脱后反）
• Bytenode 字节码绑定 ABI：现象——宿主 Node 加载 JSC 失败；原因——Bytenode 字节码绑定特定 V8/Node ABI；对策——用样本自带 Electron 的 RunAsNode 模式（ELECTRON_RUN_AS_NODE=1）执行，不启动业务 GUI
• 注册面 ≠ 执行面：现象——枚举 handler 无法证明数据流；原因——注册存在不等于路径执行；对策——先枚举 IPC/preload 注册面，再对高风险 handler 用 mock fixture 调用并捕获副作用（URL 接收/下载/解压/spawn 参数），形成证据闭环
• 更新链五元组取证：现象——更新流程证据不全；原因——链路节点分散；对策——按 source URL → downloader → archive path → extractor → executable 每个节点保存哈希与时间戳
• 签名状态分四态：现象——双签名 DLL 判断含糊；原因——各签名状态可能不同；对策——signtool verify /pa /all /v 逐签名检查（存在性/有效期/时间戳/信任验证分开报告）
• 静态能力 ≠ 已执行：现象——native 字符串/导入显示高权限能力；原因——导入是线索不是证据；对策——能力描述结合 xref/调用链，报告分栏「条件性能力」与「已观察行为」 （来源：reverse-skill field-journal，MIT）