ARTICLE · 1344328

客户把源码弄丢了,只剩一个 exe,我靠 NSA 开源的这个工具救回来了

发布时间：2026-11-11 15:08:52 最近访问：2026-11-11 15:08:53

客户把源码弄丢了，只剩一个 exe，我靠 NSA 开源的这个工具救回来了

上个月，做仓库管理系统的老周找到我，声音都是虚的：他们 2019 年找外包做的老系统要加一个导出功能，结果对接的外包公司倒闭了，源码没交付全，服务器上就剩一套跑着的程序。

老板只丢下一句话："加个导出，一周内。"

老周是做运营的，压根不懂程序。他问我："能不能把那个 exe 拆开看看？"

我说能，但得用对工具。这周我把这几个折腾过的开源反编译工具盘一遍，你要是哪天也接到这种"没源码但必须改"的活，直接照着抄。

很多人一上来就下载工具瞎拆，拆了半天全是乱码。反编译第一步不是拆，是看这个东西是用什么写的：

文件夹里一堆 .dll，主程序是 .exe——大概率是 .NET（C#）
有 classes.dex，或者后缀是 .apk——Android（Java/Kotlin）
一个孤零零的 exe，拖进文本编辑器看到 "This program cannot be run in DOS mode"——原生程序（C/C++），这才是硬骨头

三种类别，对应三套工具。

.NET 程序集反编译，我首选 ILSpy，开源，Windows 下装完就能用。把 exe 拖进去，C# 源码直接以树状展开，类名、方法体都能看到，跟我自己写的代码差不太多。

老周那个系统就是 .NET 的。我用 ILSpy 打开，十几分钟就找到了导出按钮的逻辑，三天改完交付。他老板到现在都以为我们"找回了源码"——其实是从反编译代码里还原的。

要说缺点：ILSpy 只能看不能调。如果你想边跑边看变量，社区还有个 dnSpyEx（老牌的 dnSpy 原作者已停更，这是社区接的续作），能像调试器一样下断点，但这类工具传播的截图太容易让人往歪处想，你自己心里要有数。

看 APK，我用 Jadx。开源，带图形界面，把 APK 文件一拖，整个 App 的 Java 源码就出来了，还能直接导出成 Gradle 工程用 Android Studio 打开。

我去年帮一个做智能家居的客户分析过他们采购的第三方模组 App——想确认它到底往服务器传了什么数据（隐私合规审查，这属于正当用途），Jadx 半小时就定位到了上报接口。

坑也有：加固过的 APK，Jadx 基本无能为力，打开全是一堆壳代码；即便没加固，只要作者用了混淆工具，所有变量名都是 a、b、c，可读性约等于天书。这是常态，不是工具不行。

最难的是原生 exe。这里就必须提 Ghidra——美国国家安全局（NSA）内部用了二十多年的逆向分析框架，2019 年正式开源，Java 写的，支持 x86、ARM 等几十种处理器架构，能把没有符号的二进制反编译成近似 C 的伪代码。

第一次装它我折腾了一晚上：它对 Java 版本有要求，配置文件也在奇怪的位置。装完打开，界面像航天飞机的驾驶舱，密密麻麻全是面板。但熬过前两个小时，你会明白为什么全世界的安全研究员都用它。

我的建议是别在实体机上拿 Ghidra 分析来路不明的程序——虚拟机里操作，分析完直接回滚快照。这是行规，也是自保。