| 线索 | 类名、方法名、命名空间、资源段字符串 |
|---|---|
| 工具 | strings 初步 + 反编译工具精读 |
提取 UTF-16 字符串
提取 UTF-16 字符串
strings.exe -n 8 -el sample.dll | Select-String -Pattern 'http|powershell|cmd|Aes|Key' | Select-Object -First 20托管样本的加密密钥常以 Base64 字符串出现，看到长 Base64 串先记录下来。
托管样本的静态线索
可疑的 .NET 可执行文件可用字符串与反编译工具看类型与方法名，托管代码保留元数据，排查入口函数更快。
易错点
- -el 只提取 UTF-16，摘要信息要用 -e 再看 ASCII
- 混淆后的字符串可能延迟解码，需要动态确认
数据来源与参考
- Sysinternals strings 文档（-el 选项）
- SANS 托管样本分析资料