防止核心代码泄露以及代码合并
每日辛辛苦苦码的代码被轻松破解？
机密核心模块被盗用？
数据库地址和语句暴露？
…… 这些都是由代码未混淆加密，从而进行泄露的
我们目前DLL文件存在的风险：
一、直接引用
二、反编译
三、反射
如果DLL一点措施都不做的话，上面任意一种都可以达到破解目的的。
如果通过反编译软件：ILSpy、Reflector，轻而易举，那相当于直接copy代码了。
那么要怎么样才能保护我们的代码呢?
今天带大家进入代码的另一个世界，代码混淆与DLL融合
目录：
01 混淆原理
反编译软件就是能让你看到代码，进行Copy使用，那怎么让它不能看，不能调呢。这个时候就需要说一说模糊处理。
模糊处理：意在引起混淆，实质上是将在代码中找到的标识符重命名为不可读的内容。它们可能使用哈希技术，或者对字符集进行算术偏移，将字符变为不可读字符或不可输出字符。这些技术虽然表面上很有效，但是它们都是可逆的，因此很难起到保护作用。
编译原理
模糊处理这一过程应用于已编译的 MSIL 代码而不是应用于源代码（源代码不会不会被读取和更改）， 经过模糊处理的在功能上等同于你的源代码，它在公共语言运行库 (CLR) 上执行并产生与原始 MSIL 代码相同的结果。（但是，它是不可逆的，即使通过反编译和原始的源代码相比，它在语义上也将有重大不同。）
Dotfuscator的定位
代码安全已经演变出许多加密、加壳的软件，如：PreEmptive ，它是得到Micorsoft和Sun公司的认可的以Java和.Net混淆器出名的公司，其中比较出名的软件： PreEmptive Protection Dotfuscator
Dotfuscator工具，它使用很多其他颇具独创性的 “ 引起混淆 ”的算法，使得代码几乎不能被反编译（还是存在一定机率可逆，但代价太大，得不偿失）。
Dotfuscator工具主要使用模糊处理这种技术能够对程序集中的符号、变量、字符串等进行无迹可寻的重命名，并提供很多其他手段，从而阻止进行反编译。
Dotfuscator安装
VS自带混淆软件：Dotfuscator，在VS2019前版本都会自动安装，2019版本就需要手动安装了，可搜索： Dotfuscator，预计安装10分钟，安装完成后，需要进行邮箱注册才可以使用，但非正式版限制太多。
介绍的是一款破解版：DotfuscatorPro 4.9
安装后使用时，它依赖.Net Framework 2.0和3.5，会进行第一次更新，需确认windows的自动更新服务是打开的
DotfuscatorPro 4.9
02 如何对代码加密
1、创建新的工程文件。INPUT 选项里 选择你需要混淆加密的 DLL、EXE文件：
2、进入Settings选项 –> 把 Disable String Encryption 设为 NO，即启用字符串加密；
检查 Disable Control flow、Dsiable Renaming 也为 NO，即保证控制流和混淆功能打开，其他默认。
3、进入Rename-> Options选项 勾选“use enhanced overload induction”（使用增强模式），
注意：不要勾选下方的“ Do not suppress on serializable types”，即序列化类型的变量不加密，否则编译后可能异常；
“Renaming Scheme” 选择“Unprintable”（不可打印字符，即乱码），也可以选择其他如小写字母、大写字符、数字的方式
4、进入String Encryption 选项 include里勾选需要字符串加密的工程文件EXE、DLL等
5、转入Output目录，点击Build，查看输出结果为 Build Finshed 即为成功。
操作步骤
提醒：编译过程中可能提示会代码框架为4.5及以上，需要手动配置编译环境的路径，在Settings ->Porjcet properties 设置编译环境地址，如下图：
反编译前后对比
Dotfuscator 可对代码中的变量值进行模糊处理，大大增加阅读难度，反编译出来的代码也如混淆后的代码
混淆前后对比
甚至连exe文件都能执行模糊处理
混淆前后对比
03 代码融合
有时系统中我们关联了太多第三方DLL，以及自身建了多个类库，等到系统发布时发现DLL文件有几十个，实在太夸张。万一丢掉一个未复制， 整个程序都无法运行。
微软推出一款ILMerge打包合并工具，它可以将程序集合并到一个目标程序集中。输入程序集列表中的第一个程序集是主程序集。当主程序集是可执行文件时，目标程序集将创建为具有与主程序集相同的入口点的可执行文件。此外，如果主程序集具有强名称，并且提供了.snk文件，则使用指定的键重新签名目标程序集，以使其具有强名称。
它是命令行形式运行：
1、打开cmd，转至安装目录（最好是以管理员权限运行）
2、ILMerge.exe /targetplatform:v4,“.NETFramework安装目录” /target:winexe /union /xmldocs /copyattrs /allowMultiple /internalize /closed /ndebug /out:“新文件” /log “dll1” “dll2” /log:“日志目录”
参数说明：
/targetplatform 输出文件的.net运行版本
/target 生成的文件，winexe应用程序，library DLL文件
/closed 排除引用文件相互引用
/log 需要合并的DLL或EXE，需要把所有的合并的EXE或DLL囊括进来
/ndebug 为非调试版本，即发布版本，如果去掉，将会生成.pdb拓展名的调试文件
/log 日志，可以不加提醒：要集成的程序最好是release过的，不然会出一些莫名其妙的问题。
图形界面
我们找到一款图形化界面，可以轻松合并
图形工具
合并后的反编译
图形界面使用： https://jingyan.baidu.com/article/59a015e3204d87f794886529.html
那看到这里，抛出2个问题，供大家讨论：
1、打包工具还能做什么呢？
2、混淆加密后真的安全？
上一篇：代码安全之文件上传漏洞 下一篇：代码安全之漏洞扫描