4.6 x64dbg 内存扫描与查壳实现

LyScript 插件中默认提供了多种内存特征扫描函数，每一种扫描函数用法各不相同，在使用扫描函数时应首先搞清楚不同函数之间的差异，本章内容将分别详细介绍每一种内存扫描函数是如何灵活运用，并实现一种内存查壳脚本，可快速定位目标程序加了什么壳以及寻找被加壳程序的入口点。

计算机中的壳定义

加壳通常指对可执行文件或者动态链接库等二进制文件进行加密或压缩等处理，以使得这些文件难以被反汇编或破解。通常情况下，加壳会增加二进制文件的大小，并在程序运行时增加一定的开销。加壳技术通常被用于保护软件的知识产权和防止软件被盗版。通过加壳，软件开发者可以使得软件更难被破解和复制，从而保护自己的商业利益。

计算机中查壳的原理

软件查壳的实现原理可以分为静态分析和动态分析两种方式。静态分析是指在不运行被加壳程序的情况下，通过对程序的二进制代码进行解析，识别出程序是否被加壳，以及加壳的种类和方法。动态分析是指通过运行被加壳程序，并观察程序运行时的行为，识别程序是否被加壳，以及加壳的种类和方法。

静态分析的实现原理通常包括以下几个步骤：

• 提取被分析程序的二进制代码；
• 识别程序的文件格式，并解析文件头等元数据信息；
• 根据文件格式，从程序代码中提取节区、导入表、导出表等重要信息；
• 分析程序的代码段，并检查代码中是否存在加壳相关的特征，如代码的执行流程、加密算法等；
• 根据分析结果，判断程序是否被加壳，以及加壳的种类和方法。

静态分析的优点是分析速度快，不需要运行程序，可以有效地识别出程序中的加壳。但是它也有一些缺点，例如无法识别动态加载的加壳、易受代码混淆和反调试等技术的影响。

动态分析的实现原理通常包括以下几个步骤：

• 启动被分析程序，并在程序运行期间捕捉程序的行为；
• 跟踪程序的执行流程，并分析程序的内存、寄存器、堆栈等状态信息；
• 检查程序的内存中是否存在加壳相关的特征，如解密函数、加壳程序等；
• 根据分析结果，判断程序是否被加壳，以及加壳的种类和方法。

动态分析的优点是可以识别动态加载的加壳，并且可以有效地避免代码混淆和反调试等技术的影响。但是它也有一些缺点，例如需要运行被分析程序，因此可能会影响程序的性能和稳定性，并且可能会被加壳程序的反调试技术所绕过。

本例中将采用scan_memory_all()函数对特定内存进行动态扫描，该函数用来扫描当前进程内EIP所指向位置处整个内