逆向 Unity IL2CPP iOS/Android…

对 Unity IL2CPP 的 iOS/Android 构建进行逆向时，恢复原生函数地址与原始 C# 方法/类型映射，并生成 IDA/Ghidra 导入脚本。

适用场景

解决思路

1. 识别关键文件：iOS 原生二进制为 Frameworks/UnityFramework.framework/UnityFramework，Android 为 lib/{arch}/libil2cpp.so；元数据为 Data/Managed/Metadata/global-metadata.dat（Android 为 assets/bin/Data/Managed/Metadata/global-metadata.dat）。
2. 对 metadata v39+（Unity 6+）使用 roytu/Il2CppDumper 的 v39 fork；仓库为 https://github.com/roytu/Il2CppDumper，分支为 v39，支持 metadata v24–v39，并输出含函数地址的 script.json，可直接用于 IDA/Ghidra 导入。
3. 原始 Il2CppDumper（https://github.com/Perfare/Il2CppDumper）仅支持到 v29；遇到更高版本不要用原始版。
4. 需要 C# 源码重建而非 IDA 导入时，可用 Cpp2IL（https://github.com/SamboyCoding/Cpp2IL）；它支持 metadata v39，但 dummy DLL 缺少 [Address] 属性，不适合 IDA 导入。
5. 解包 iOS IPA：unzip -o app.ipa -d .。
6. 设置 iOS 二进制路径：BINARY="Payload/<AppName>.app/Frameworks/UnityFramework.framework/UnityFramework"。
7. 设置 iOS 元数据路径：METADATA="Payload/<AppName>.app/Data/Managed/Metadata/global-metadata.dat"。
8. 解包 Android APK：unzip -o app.apk -d .。
9. 选择目标架构并设置 Android 二进制路径：BINARY="lib/arm64-v8a/libil2cpp.so"。
10. 设置 Android 元数据路径：METADATA="assets/bin/Data/Managed/Metadata/global-metadata.dat"。
11. 检查 metadata 版本：xxd -l 8 "$METADATA"；前 8 字节为 magic(4)+version(4)，小端；af1b b1fa 2700 0000 表示 magic OK，version=0x27=39。
12. 按版本选工具：≤29（Unity 2021 及更早）用原始 Il2CppDumper；31（Unity 2022）用原始 Il2CppDumper（部分支持）；39（Unity 6 6000.x）用 roytu/Il2CppDumper v39 fork。
13. 克隆 v39 fork：git clone -b v39 https://github.com/roytu/Il2CppDumper.git。
14. 进入目录并构建：cd Il2CppDumper 后执行 DOTNET_ROLL_FORWARD=LatestMajor dotnet build -c Release。
15. 运行 dump：DOTNET_ROLL_FORWARD=LatestMajor dotnet run --project Il2CppDumper/Il2CppDumper.csproj -c Release --framework net8.0 -- "$BINARY" "$METADATA" output_dir。
16. 若 .NET 版本不匹配，设置 DOTNET_ROLL_FORWARD=LatestMajor，使项目在 .NET 9/10 上运行（项目目标为 .NET 6/8）。
17. 非交互模式下退出码 134 是正常的，由 Console.ReadKey() 导致，可忽略。
18. macOS 上若二进制被 SIGKILL，执行 codesign -s - <binary> 做 ad-hoc 签名。
19. 验证输出目录中的 script.json：典型 50–100 MB，包含函数地址、名称、签名，用于 IDA/Ghidra 导入。
20. 验证输出目录中的 dump.cs：典型 10–30 MB，包含带 RVA/VA 地址的 C# 类转储。
21. 验证输出目录中的 il2cpp.h：典型 50–100 MB，包含用于类型导入的 C 结构体定义。
22. 验证输出目录中的 ida_py3.py：约 2 KB，IDA Python 导入脚本。
23. 检查 script.json 格式：ScriptMethod 数组项含 Address（十进制）、Name（ClassName$$MethodName）、Signature、TypeSignature。
24. 检查 dump.cs 格式：包含 // RVA: 0x1A2B3C4 Offset: 0x1A2B3C4 VA: 0x1A2B3C4 注释以及 public void MethodName() { } 等形式的方法定义。
25. 导入 IDA：在 IDA 中打开原生二进制（UnityFramework / libil2cpp.so）。
26. 导入 IDA：将 script.json 和 ida_py3.py 放在同一目录。
27. 导入 IDA：File → Script file... → 选择 ida_py3.py。
28. 导入 IDA：脚本会读取 script.json 并自动重命名所有函数。
29. 导入 IDA（可选）：File → Load file → Parse C header file... → 选择 il2cpp.h 以导入结构体类型。
30. 导入 Ghidra：在 Ghidra 中打开二进制。
31. 导入 Ghidra：使用 Il2CppDumper 的 ghidra.py 或 ghidra_with_struct.py 脚本。
32. 导入 Ghidra：在 Window → Script Manager → Run 中运行，并让 script.json 位于同一目录。
33. 修复 not a supported version[39]：说明用了原始 Il2CppDumper，改用 roytu/Il2CppDumper v39 fork。
34. 修复 Exit code 137 (SIGKILL)：macOS 二进制未签名，执行 codesign -s - <binary>。
35. 修复 Cannot read keys (exit 134)：非交互控制台导致，忽略即可，dump 已完成。
36. 修复 DOTNET_ROLL_FORWARD 错误：.NET 版本不匹配，设置 DOTNET_ROLL_FORWARD=LatestMajor。
37. 修复空输出：二进制与 metadata 配对错误，确认两者来自同一次构建。
38. 使用 dump.cs 作为最快参考：搜索类/方法名及其 RVA 地址。
39. 将 script.json 的十进制 Address 转为十六进制以便在 IDA 中使用：hex(40865744) → 0x26F8FD0。
40. 利用 dump.cs 中字段偏移（如 // 0x20）：偏移相对于对象基址，可用于 Frida 内存检查。

适用边界 · 注意事项

• 目标不是 Unity IL2CPP 构建（没有 global-metadata.dat，或没有 libil2cpp.so/UnityFramework）时不适用。
• 只想还原 C# 源码而不是给 IDA/Ghidra 导入符号时，Cpp2IL 更合适（但其 dummy DLL 缺少 [Address] 属性）。
• 二进制与 global-metadata.dat 不来自同一构建时不要继续，输出会为空或错误。