Cadenas protegidas y su efecto en la lectura

Las herramientas que protegen un ensamblado suelen hacer dos cosas visibles en la salida. Renombran las clases, métodos y campos propios con nombres sin sentido, y sustituyen las cadenas literales por una llamada a un método que recibe un número y devuelve el texto en tiempo de ejecución. El resultado: el montón de cadenas de usuario se queda casi vacío y el código se llena de llamadas iguales con números distintos.

Hay algo que no pueden renombrar: los tipos y métodos del entorno que el programa usa, porque viven en otros ensamblados y el entorno los busca por su nombre. Un cliente HTTP, un temporizador o una consulta del nombre del equipo siguen apareciendo con su nombre real, y por eso la capacidad suele seguir leyéndose aunque el detalle no.

Antes de leer conviene medir. Comparar los metadatos de las dos versiones dice si es el mismo programa con otra cara o un programa distinto: si el número de clases y de referencias al entorno no cambia, la estructura es la misma y lo que se aprendió de M-4611 sirve para guiar la lectura de M-4614.

cat conteos.txt

Cuando todos los textos pasan por un único método, ese método se vuelve el centro de la lectura: cada llamada con un número es un texto que el programa necesita en ese punto. Contar sus llamadas da una idea de cuánto texto escondido hay, aunque no diga cuál.

En la clase c no queda ni una dirección legible, pero la capacidad sigue a la vista: el programa crea un objeto del entorno para hacer peticiones HTTP y lo usa para enviar por POST. Ese nombre no lo pudo cambiar la protección.

cat decompilado/c.cs

No hace falta reproducir el método de las cadenas para saber qué devuelve. El entorno aislado puede anotar qué número pidió el programa y qué texto obtuvo durante su corrida. Esa lista se cruza con las llamadas del decompilado y devuelve el sentido a cada línea. Su límite: solo contiene los textos que se pidieron en esa corrida.

cat entorno-aislado/cadenas-en-memoria.txt