2026-06-23 06:00:29 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： dnSpyMCPExtension是一款将.NET逆向分析与AI结合的插件，通过ModelContextProtocol将23种逆向工具（包括字符串搜索、交叉引用追踪、IL代码编辑等）暴露给Claude等AI助手，实现自然语言驱动的逆向分析。该工具支持从查询分析到代码修改保存的完整闭环，显著降低Unity游戏等.NET程序逆向门槛，并提供了开箱即用的安装体验。 综合评分： 87 文章分类： 逆向分析,安全工具,红队,二进制安全,.NET

cover_image

dnSpy MCP Extension：当 .NET 逆向遇上大模型，一句”找出所有存档逻辑”就够了

原创

利刃信安利刃信安

利刃信安

2026年6月22日 02:30 北京

在小说阅读器读本章

去阅读

dnSpy MCP Extension：当 .NET 逆向遇上大模型，一句”找出所有存档逻辑”就够了

摘要：如果说 IDA Pro MCP 打通了原生逆向与 AI 的任督二脉，那么 dnSpy MCP Extension 则让 .NET 逆向真正进入了”动口不动手”的时代。这款由 KernelErr 开发的 dnSpy 插件，通过 Model Context Protocol（MCP）将 23 种逆向分析工具暴露给 Claude 等 AI 助手——从字符串搜索、交叉引用追踪到 IL 代码编辑与补丁保存，全部可以用自然语言驱动。

一、从”点点点”到”问一句”

如果你做过 .NET 逆向——尤其是 Unity 游戏的分析——你一定熟悉这个流程：

1. 打开 dnSpy，加载 Assembly-CSharp.dll；
2. 按下 Ctrl+Shift+K，搜索某个可疑字符串（比如 "SAVEFILE"）；
3. 找到引用它的方法，跳转过去；
4. 分析调用链，追溯逻辑路径；
5. 反复重复”搜索 → 跳转 → 查引用 → 反编译”的循环。

这个过程本身并不复杂，但当目标程序集有成百上千个混淆后的类型时，手工操作就变成了体力活。dnSpy MCP Extension 的价值，正在于把这种”点点点”的体力活，转化为对 AI 的一句自然语言指令。

举个例子：你只需要对 Claude 说——

“在 Assembly-CSharp 里找出所有用到字符串 SAVEFILE 的方法，然后把反编译后的 SaveGame 方法给我看。”

Claude 会自动调用 search_string_literals → find_references → decompile_method 这一连串工具，完成从字符串定位到代码反编译的全流程。你唯一需要做的，就是把这个自然语言指令打出来。

二、不止是”查询”：23 个工具构成的逆向武器库

dnSpy MCP Extension 远不止是一个”搜索助手”。它暴露了23 个 MCP 工具，覆盖了逆向分析的完整链路：

分析层：从宏观到微观

• list_assemblies / get_assembly_info：快速浏览已加载的所有程序集，在几百个 Unity 框架模块中精准定位目标；
• search_types / search_members：按通配符搜索类型和成员（方法/字段/属性/事件），相当于 dnSpy 内置搜索的程序化版本；
• get_type_info / list_types：按命名空间展开类型树，支持按基类过滤（例如 base_type='MonoBehaviour'）；
• decompile_method / decompile_by_token：将方法反编译为 C#，支持通过方法名、参数类型甚至 MDToken 精确定位——对 async/iterator 状态机还有自动兜底处理。

交叉引用层：追踪调用链

• find_callers：跨程序集查找”谁调用了某方法”；
• find_callees：反向追踪某方法”用了谁”；
• find_references：查找任意方法/字段/类型/字符串的所有 IL 引用位置；
• find_overrides：虚方法/接口方法的多态分析——告诉你 callvirt 到底会分发到哪些具体实现。

字符串层：逆向的”破局点”

在 Unity 游戏逆向中，字符串往往是逻辑串联的命脉。PlayerPrefs 键名、场景名称、存档令牌——这些字符串几乎就是代码逻辑的”导航地图”。search_string_literals 可以跨所有程序集反查”哪个方法发出了这个字符串”，每条命中都附带方法签名、MDToken 和 IL 偏移量，让 AI 可以直接用结果驱动下一步分析。

编辑层：从”看”到”改”

这是 dnSpy MCP Extension 最独特的功能：IL 编辑与保存。AI 不仅可以读取 IL 指令，还可以通过 patch_method_il 执行替换、插入、删除操作，并通过 save_assembly 将修改写回磁盘（自动生成带时间戳的备份）。每个方法在首次被补丁时自动建立快照，随时可以用 revert_method_il 回滚到补丁前的状态。

这意味着，你可以让 AI 完成”分析 → 定位 → 修改 → 保存”的完整闭环。比如，找到伤害计算公式，把 ldc.i4.1 改成 ldc.i4.100，一键保存——全程不需要手动操作 dnSpy 的”编辑方法实体”对话框。

生成层：BepInEx 插件模板

generate_bepinex_plugin 可以自动生成带 Harmony 钩子的 BepInEx 插件模板。配合 6 个内嵌的离线文档资源（Harmony 补丁指南、IL2CPP 开发指南、Mono vs IL2CPP 迁移等），AI 在生成代码时能直接参考这些领域知识，输出的插件模板质量更高。

三、开箱即用的体验

安装体验可以说是”零门槛”。Releases 页面提供了三种一体化压缩包：

下载解压，双击 dnSpy.exe，在视图 → 选项 → MCP Server 中勾选 Enable Server，就完成了服务端配置。然后一条命令接入 Claude Code：

claude mcp add --transport http dnspy http://localhost:3000

整个过程不超过三分钟。如果你已经装了 dnSpy，也只需下载一个 DLL 放到 Extensions 目录下——Readme 里甚至贴心画出了精确的目录结构图，告诉你”缺少 .x 后缀或子文件夹名不匹配会导致 dnSpy 静默忽略”。

四、当逆向工程遇见 AI

dnSpy MCP Extension 的出现，揭示了一个正在发生的趋势：逆向工程工具的”去 GUI 化”与”AI 可编程化”。

传统上，类似 dnSpy 这样的工具是给人用的——GUI 界面、鼠标点击、手动操作。而 MCP 协议的本质，是让工具变成 AI 可以调用的”函数”。当 dnSpy 的分析能力被拆解成 23 个语义明确的工具后，AI 就能像人类逆向工程师一样，按照”搜索线索 → 追踪引用 → 反编译 → 分析逻辑 → 修改代码”的思维链，自主完成复杂的逆向任务。

这并不会取代逆向工程师，但它会大幅降低逆向分析的门槛。一个熟悉 C# 但不懂 IL 的开发者，现在可以通过自然语言让 AI 完成 IL 级别的修改；一个需要分析大量 Unity 游戏的安全研究员，现在可以把重复性的搜索和追踪工作交给 AI，自己专注于逻辑理解和决策。

五、写在最后

dnSpy MCP Extension 不是一个孤立的项目。它和 IDA Pro MCP、Ghidra MCP 等工具一起，构成了一个正在崛起的新品类：”AI 增强型逆向分析平台”。这个品类的核心思路出奇地一致——把传统逆向工具的能力，通过标准化的 MCP 协议暴露给大模型，让 AI 成为逆向工程师的”副驾驶”。

KernelErr 的这项工作，在 .NET 生态里填补了关键空白。23 个工具的设计清晰地划分了”分析”、”交叉引用”、”编辑”、”生成”四个层次，功能覆盖全面，而一体化压缩包和细致的文档又让上手门槛极低。如果你在做 .NET 逆向，尤其是 Unity 游戏分析，这款工具值得放进你的工具箱。

项目地址：github.com/KernelErr/dnSpy.Extension.MCP[1]

引用链接

[1] github.com/KernelErr/dnSpy.Extension.MCP: https://github.com/KernelErr/dnSpy.Extension.MCP

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：利刃信安利刃信安利刃信安《dnSpy MCP Extension：当 .NET 逆向遇上大模型，一句”找出所有存档逻辑”就够了》