如何通过命令行工具检查DLL是否使用P/Invoke(DllImport)

首先先明确基本前提：P/Invoke（即通过[DllImport]特性实现的非托管函数调用）是.NET托管程序集独有的机制，非托管原生DLL（比如纯C/C++编译生成、不带CLR运行时头的DLL）不存在P/Invoke的概念，检测前可以先确认目标DLL是否为.NET托管程序集。
不要尝试通过PE导入表判断P/Invoke——P/Invoke加载非托管DLL的逻辑是运行时由CLR动态执行的，托管DLL本身的静态导入表只会包含.NET运行时相关的入口，不会直接列出P/Invoke调用的目标非托管库，这种检测方法结果完全不准。

方法1：用.NET自带ildasm工具检测（结果100%准确，无第三方依赖） #

只要本机安装过任意版本的.NET Framework或者.NET SDK，系统中就会自带命令行版的ildasm（IL反汇编工具），不需要额外安装任何软件：

• 打开命令提示符或者PowerShell，切换到目标DLL所在目录
• 执行以下命令直接扫描元数据：

  ildasm /text /noil 目标DLL文件路径.dll | findstr "pinvokeimpl"
  

• 结果判定规则：
  • 命令有输出：每一行输出对应一个通过[DllImport]声明的P/Invoke函数，说明该DLL确实使用了P/Invoke技术
  • 命令无任何输出：说明该DLL没有使用P/Invoke

检测原理：所有.NET语言编译时，标记了[DllImport]的方法会在程序集IL元数据中添加pinvokeimpl专属标记，这个标记是编译阶段由编译器直接写入的，常规混淆手段也很难完全抹除，检测结果不存在误报。

如果是.NET 5+版本找不到ildasm，可以先执行dotnet tool install --global ilspycmd安装ILSpy的命令行版本，之后用以下命令替代：

ilspycmd 目标DLL文件路径.dll | findstr "pinvokeimpl"

判定规则和上面完全一致。

方法2：用strings命令快速筛查（适合无.NET SDK环境的快速排查） #

如果本机没有安装.NET SDK，可以用strings工具（Windows下可以用Sysinternals的strings，或者直接用WSL里自带的strings命令）扫描DLL的静态字符串做快速筛查：

• 执行以下命令：

  strings -n 6 目标DLL文件路径.dll | findstr /i "pinvokeimpl DllImport"
  

• 结果判定规则：
  • 输出中包含pinvokeimpl字符串：可以直接判定存在P/Invoke
  • 仅搜到DllImport相关字符串：存在误报可能，比如程序内部自定义了同名类、或者引用资源里包含这个字符串，需要用方法1做二次确认

内容的提问来源于stack exchange，提问作者Evgeniy Berezovsky