逆向的upx脱壳以及简单的魔改壳

本来有正常的UPX壳

放kali里输入upx -d 托文件进来

成功脱壳

.txt说明已经变成了无壳状态了

拖进ida，进行逆向分析

对于如何魔改一下upx壳呢（使upx -d失效）

在010editor中更改UPX0，UPX1等东西为RPX0或者gas0什么乱七八糟的都可以（原来没有改动前他们都是U）

对于4.01.UPX！这一部分叫UPX标识区

为了避免被一键脱壳我们可以进行的操作是

1.将UPX！（这个叫魔数）修改成无意义的字符如：ABC！这样工具无法识别这个是UPX壳

2.将版本号4.01修改成没有的版本号9.99

3.在UPX！后插入一段无意义的干扰如FF EE AA BB

4.在UPX！后插入一个跳转指令很有意思EB 05 90 90 90（三个90四个90都可以）（EB 05的意思是跳过接下来5个字节，所以说90只是用来填充的，EB 05本来占了两个字节所以后面填3个90可以，但是填4个90不影响跳转逻辑）