Průzkumník paměti pro .NET

Abstract

Cílem práce bylo navrhnout a implementovat počítačový program, který umožní reverzně analyzovat paměť procesu využívající technologii .NET a umožní vyhledávat a upravovat objekty v paměti tohoto procesu. Práce obsahuje popis technologie .NET i její běžně dostupné implementace. V práci jsou popsány existující nástroje pro výpis objektů v paměti procesů .NET a je zde popsáno chování Garbage Collectoru, který se v prostředí .NET používá pro správu paměti. Obsahem práce je i popis dostupných obfuskátorů určených pro aplikace v .NET včetně vyhodnocení jejich dopadu na obfuskovaný program. Práce obsahuje možné metody analýzy obsahu paměti procesů v .NET a detailně popisuje metodu pomocí rozhraní Event Pipe, která byla vybrána k implementaci nástroje, který vznikl jako součást této práce. Na závěr práce obsahuje popis dosažených výsledků při použití vyvinutého nástroje při analyzování paměti testovacího program, běžně používaných aplikací i obfuskovaných aplikací.

This thesis aims to design and implement a computer program that allows reverse engineering of the memory of a process running on .NET technology and locating and manipulating objects in the memory of a process. The thesis describes the .NET technology and its generally available implementations. In the thesis, existing tools for listing objects in the .NET process memory are described. The thesis describes behaviour of the Garbage Collector, which is used to manage memory in the .NET environment. The thesis contains a description of obfuscators available for obfuscating .NET programs and an evaluation of their impact on the obfuscated program. The thesis includes a description of possible approaches to analyze .NET process memory. It contains a detailed description of the Event Pipe approach, which was used in the tool developed as a part of this thesis. Finally, the thesis evaluates achieved results when the tool was used to analyze the memory of testing programs, commonly used programs, and obfuscated programs.