彻底解决Unity逆向难题：Il2CppDumper与Ghidra函数识别全指南-CSDN博客

彻底解决Unity逆向难题：Il2CppDumper与Ghidra函数识别全指南

【免费下载链接】Il2CppDumper Unity il2cpp reverse engineer 项目地址: https://gitcode.com/gh_mirrors/il/Il2CppDumper

引言：Unity逆向工程的痛点与解决方案

在Unity游戏开发中，IL2CPP（中间语言到C++）编译技术被广泛应用，它将C#代码转换为C++代码，再编译为原生机器码，以提高性能和保护代码。然而，这也为逆向工程带来了巨大挑战。逆向工程师面对的不再是可读性较高的C# IL代码，而是经过优化和混淆的原生汇编代码，函数名被替换为无意义的符号，类型信息丢失，极大地增加了分析难度。

你是否曾经在逆向Unity游戏时遇到以下问题？

面对大量无意义的函数名（如sub_123456），无法快速定位关键逻辑
缺乏类型信息，难以理解数据结构和函数参数
手动分析效率低下，耗费大量时间却进展缓慢

本文将详细介绍如何利用Il2CppDumper和Ghidra这两款强大的工具，实现Unity游戏的自动化函数识别和类型恢复，大幅提升逆向分析效率。通过本文，你将学习到：

Il2CppDumper的工作原理和使用方法
Ghidra插件的安装与配置
自动化函数识别和类型恢复的完整流程
高级技巧与实战案例分析

技术背景：IL2CPP编译流程与元数据

IL2CPP编译流程

IL2CPP编译过程主要分为以下几个步骤：

mermaid

IL2CPP在转换过程中会生成两种关键文件：

编译后的原生可执行文件（如libil2cpp.so）
元数据文件（Global-Metadata.dat），包含类型、方法、字段等信息

元数据结构

元数据文件包含了大量关键信息，如类型定义、方法定义、字段定义等。Metadata类负责解析这些信息：

public sealed class Metadata : BinaryStream
{
    public Il2CppGlobalMetadataHeader header;
    public Il2CppImageDefinition[] imageDefs;
    public Il2CppAssemblyDefinition[] assemblyDefs;
    public Il2CppTypeDefinition[] typeDefs;
    public Il2CppMethodDefinition[] methodDefs;
    public Il2CppParameterDefinition[] parameterDefs;
    public Il2CppFieldDefinition[] fieldDefs;
    // 其他元数据结构...
}

这些元数据是Il2CppDumper能够恢复函数和类型信息的基础。

Il2CppDumper工作原理

核心功能

Il2CppDumper是一款专门用于解析IL2CPP生成的可执行文件和元数据的工具，其核心功能包括：

从元数据中提取类型、方法、字段等信息
解析可执行文件，定位函数地址
生成结构体定义、函数签名等关键信息
输出可供逆向工具（如Ghidra）使用的脚本

工作流程

Il2CppDumper的工作流程如下：

mermaid

StructGenerator类是生成结构体和函数签名的核心：

public class StructGenerator
{
    private readonly Il2CppExecutor executor;
    private readonly Metadata metadata;
    private readonly Il2Cpp il2Cpp;
    
    public void WriteScript(string outputDir)
    {
        // 生成唯一名称
        // 处理函数
        // 处理MetadataUsage
        // 写入文件
    }
}

Ghidra插件使用指南

插件介绍

Il2CppDumper提供了多个Ghidra插件脚本，用于自动化函数识别和类型恢复：

脚本名称	功能描述
ghidra.py	基础版插件，主要用于函数命名
ghidra_with_struct.py	增强版插件，支持结构体和函数签名
ghidra_wasm.py	针对WebAssembly平台的插件

安装与配置

下载Il2CppDumper源码：git clone https://github.com/Perfare/Il2CppDumper
编译项目生成可执行文件
使用Il2CppDumper处理目标文件，生成script.json和il2cpp.h
将Ghidra脚本复制到Ghidra的脚本目录

使用步骤

以ghidra_with_struct.py为例，使用步骤如下：

在Ghidra中打开目标可执行文件
运行File -> Parse C Source，导入生成的il2cpp.h
打开Script Manager，找到ghidra_with_struct.py并运行
选择生成的script.json文件
等待脚本执行完成

脚本执行过程中会完成以下工作：

函数命名
函数参数和返回值类型恢复
结构体定义应用
字符串识别和标注

函数识别实战

基本函数识别

ghidra.py脚本实现了基本的函数识别功能，核心代码如下：

def set_name(addr, name):
    name = name.replace(' ', '-')
    createLabel(addr, name, True, USER_DEFINED)

def make_function(start):
    func = getFunctionAt(start)
    if func is None:
        createFunction(start, None)

# 处理ScriptMethod
if "ScriptMethod" in data and "ScriptMethod" in processFields:
    scriptMethods = data["ScriptMethod"]
    monitor.initialize(len(scriptMethods))
    monitor.setMessage("Methods")
    for scriptMethod in scriptMethods:
        addr = get_addr(scriptMethod["Address"])
        name = scriptMethod["Name"].encode("utf-8")
        set_name(addr, name)
        monitor.incrementProgress(1)

这段代码遍历script.json中的ScriptMethod数组，为每个函数地址创建标签，实现函数重命名。

高级结构体和签名恢复

ghidra_with_struct.py在基础版的基础上增加了结构体和函数签名的恢复功能：

def set_sig(addr, name, sig):
    try: 
        typeSig = CParserUtils.parseSignature(None, currentProgram, sig, False)
    except ghidra.app.util.cparser.C.ParseException:
        # 处理解析错误...
        return
    if typeSig is not None:
        try:
            typeSig.setName(name)
            ApplyFunctionSignatureCmd(addr, typeSig, USER_DEFINED, False, True).applyTo(currentProgram)
        except:
            print("Warning: unable to set Signature. ApplyFunctionSignatureCmd() Failed.")

set_sig函数使用CParserUtils解析函数签名，并应用到对应的函数上，大幅提升了反汇编代码的可读性。

实战案例：分析Unity游戏关键函数

准备工作

获取目标游戏的libil2cpp.so和Global-Metadata.dat文件
使用Il2CppDumper处理这两个文件：

Il2CppDumper libil2cpp.so Global-Metadata.dat output

在output目录中会生成script.json和il2cpp.h等文件

函数识别过程

在Ghidra中打开libil2cpp.so
导入il2cpp.h头文件
运行ghidra_with_struct.py脚本，选择生成的script.json
脚本执行完成后，Ghidra中的函数名将被恢复为有意义的名称

分析关键函数

以一个游戏中的角色移动函数为例，未使用Il2CppDumper前，函数可能显示为：

sub_123456:
    push    {r4, r5, lr}
    mov     r4, r0
    ldr     r0, [r4, #0x20]
    ...

使用Il2CppDumper和Ghidra插件后，函数可能被识别为：

PlayerController$$Move:
    push    {r4, r5, lr}
    mov     r4, r0 ; this
    ldr     r0, [r4, #0x20] ; this->position
    ...

函数名、参数和结构体成员都被正确识别，极大降低了分析难度。

高级技巧与优化

处理泛型类型和方法

Il2CppDumper能够处理复杂的泛型类型和方法，StructGenerator中包含专门的处理逻辑：

foreach (var il2CppType in il2Cpp.types.Where(x => x.type == Il2CppTypeEnum.IL2CPP_TYPE_GENERICINST))
{
    var genericClass = il2Cpp.MapVATR<Il2CppGenericClass>(il2CppType.data.generic_class);
    var typeDef = executor.GetGenericClassTypeDefinition(genericClass);
    if (typeDef == null)
    {
        continue;
    }
    var typeBaseName = structNameDic[typeDef];
    var typeToReplaceName = FixName(executor.GetTypeDefName(typeDef, true, true));
    var typeReplaceName = FixName(executor.GetTypeName(il2CppType, true, false));
    var typeStructName = typeBaseName.Replace(typeToReplaceName, typeReplaceName);
    nameGenericClassDic[typeStructName] = il2CppType;
    genericClassStructNameDic[il2CppType.data.generic_class] = typeStructName;
}

这段代码处理泛型实例，为其生成唯一的结构体名称。

处理WebAssembly平台

针对WebAssembly平台，Il2CppDumper提供了专门的ghidra_wasm.py脚本：

from wasm import WasmLoader
from wasm.analysis import WasmAnalysis

monitor = ConsoleTaskMonitor()
WasmLoader.loadElementsToTable(currentProgram, WasmAnalysis.getState(currentProgram).module, 0, 0, 0, monitor)

runScript("analyze_dyncalls.py")

这段代码加载WebAssembly模块，并运行动态调用分析脚本，为后续的函数识别做准备。

性能优化

对于大型游戏，函数和类型数量可能非常庞大，处理起来会比较耗时。可以通过以下方式优化：

只处理感兴趣的模块：修改processFields数组，只保留需要的字段
分阶段处理：先处理关键函数，再处理其他函数
增加进度显示：monitor.incrementProgress(1)确保可以看到处理进度

processFields = [
    "ScriptMethod",
    "ScriptString",
    "ScriptMetadata",
    "ScriptMetadataMethod",
    "Addresses",
]

通过调整processFields，可以控制脚本处理哪些类型的信息。

常见问题与解决方案

问题1：函数名未被正确恢复

可能原因：

元数据不完整或损坏
可执行文件被加壳或混淆
Il2CppDumper版本与目标IL2CPP版本不匹配

解决方案：

确保使用最新版本的Il2CppDumper
验证元数据和可执行文件的完整性
尝试使用不同版本的Il2CppDumper（特别是针对特定IL2CPP版本的修改版）

问题2：Ghidra导入结构体时报错

可能原因：

il2cpp.h文件格式不正确
Ghidra的C解析器不支持某些C语法
结构体定义中存在错误

解决方案：

检查il2cpp.h文件是否完整
手动修复il2cpp.h中的语法错误
使用Ghidra的"Parse C Source"功能时，勾选"Loose C Parser"选项

问题3：脚本执行时间过长

可能原因：

目标文件过大，函数数量众多
Ghidra运行环境性能不足
脚本处理了过多不必要的信息

解决方案：

优化processFields，只保留必要的处理字段
增加内存和CPU资源
将脚本拆分为多个部分，分阶段执行

总结与展望

主要成果

本文详细介绍了如何使用Il2CppDumper和Ghidra插件来提升Unity游戏逆向分析的效率，主要成果包括：

理解IL2CPP编译流程和元数据结构
掌握Il2CppDumper的工作原理和使用方法
学会使用Ghidra插件自动化函数识别和类型恢复
解决实际分析过程中遇到的常见问题

通过这些工具和方法，原本难以理解的原生机器码可以被恢复为具有有意义函数名和类型信息的代码，大幅降低了Unity游戏逆向分析的难度。

未来展望

IL2CPP技术在不断发展，新的保护和混淆技术也在不断出现。未来的工作可以包括：

支持最新版本的IL2CPP元数据格式
提高对混淆代码的处理能力
增加对其他逆向工具（如其他逆向工具、Binary Ninja）的支持
开发更智能的函数和类型识别算法

随着这些技术的不断进步，Unity游戏的逆向分析将变得更加高效和准确。

参考资料

Il2CppDumper源代码：https://github.com/Perfare/Il2CppDumper
IL2CPP官方文档：https://docs.unity3d.com/Manual/IL2CPP.html
Ghidra官方文档：https://ghidra-sre.org/docs/
IL2CPP逆向工程相关研究论文和博客

【免费下载链接】Il2CppDumper Unity il2cpp reverse engineer 项目地址: https://gitcode.com/gh_mirrors/il/Il2CppDumper

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考