破解基础知识之认识壳与程序的特征

对于新手来说,程序是什么语言编写的?程序到底有没有加壳?程序加了什么壳?一直在他们心中充满了疑惑,本文我将根据一些实例解答一下这些问题,并实例提供下载方便大家分析理解,文章有不足之处欢迎大家跟帖指出。

正文目录就按上面的问题逐步展开,一个程序从编译出来的时候一般都是没有壳的,不同编译器编译出的无壳程序也是不相同的,认识了不同编译器编译出来的无壳的程序,再去看无壳程序被加壳程序加壳后的样子就轻松很多,经过对比从而了解不同语言无壳程序和加壳后程序的特征是什么,特征主要从“入口点代码”、“程序区段”和“加载模块”等信息来确定。

作为一名关注windows程序加密解密行业的老兵有必要给新同学传递一些信息,近两年从行业看已经很少有新的windows加壳软件出现了,大部分开发者都转战移动平台,由于windows加密商业需求逐渐降低,所以加壳程序的增长也是有限了,并不会增加太多,我会在这篇文章中把绝大多数目前还在流行使用的windows加壳和对应例子提供一下,供大家学习参考。

以下文中提到的工具在爱盘中都可以免费下载到最新版本: http://down.52pojie.cn/Tools/

一:程序是什么语言编译的
从目前国内接触到程序看,比较流行的编译器有:VC系列、易语言、.NET、Delphi,一些曾经用的很多但渐渐少了有:VB、ASM、BC++,还有一些用的比较少的有:AutoIt、PB、QT等,下面提供一些由论坛同学编译出来的试炼品,结合实例来看看“入口点代码”、“程序区段”和“加载模块”等特征。

1、VC6编译无壳程序 

OllyDbg 查看入口点代码如下:
 
PEID 查看区段如下:
 

VC6特点:入口点代码是固定的代码,入口调用的API也是相同的,其中有的push地址不同程序可能不同;区段有四个也是固定的.text、.rdata、.data和.rsrc。

VS2008和VS2013编译无壳程序 
OllyDbg查看入口点代码如下:
 

 

PEID查看区段如下:
 

VS特点:入口点只有两行代码,一个CALL后直接JMP,第一个CALL进去后调用的API也是相同的;区段相对于VC6多了一个.reloc。

2、易语言编译无壳程序(独立编译和非独立编译) (由于易语言独立编译是调用VC的链接程序编译的,所以从区段和入口代码特征和VC相同,下图为非独立编译带运行库)
OllyDbg查看入口点代码如下:
 

查看模块:
 

查看核心代码:
 

易语言特点:可以从程序里找一些call的调用最终都会走到上面核心代码图位置(文字不太好表达),这个方法可以区分和VC的区别,非独立编译比较容易识别,入口特征和模块特征都有krnln.fnr。

3、Delhpi编译无壳程序 

二:如何识别加壳

1、通过 PEiD Exeinfo PE 查壳工具 内置各种壳的十六进制特征码进行对比查壳,说下优缺点吧。

PEiD、FFI、FastScanner、RDG Packer Detector这类程序都是通过目录下的userdb.txt(查壳程序不同可能数据库名有出入)数据库进行加壳程序特征对比的,由于userdb.txt文件都是好多年前的了,全球基本都在用fly在09年发布的 UpKPEiDSign ,即使有新的也都基于他制作的版本之上进行更新的,而且更新都没有太好效果,由于原理都是通过加壳程序的特征进行对应,而这些加壳特征都是个人总结而来,对加壳程序的模糊搜索对比造成可靠性不高,特别是对于VMProtect这类加密壳程序,经常被识别成一些算七八糟都没见过的加壳内容,特别是显示UPolyX,基本都是误报,对新手的误导很严重,但对于传统的一些压缩壳的识别效果还是很好的,当然了,有利有弊,正是由于它的开放性特征库,也方便给大家提供自己编写特征的方法,来识别一些新的壳,期待大家能做出自己的加壳特征来。

 


Exeinfo PE 属于新一代查壳工具,作者目前还在更新,它和PEiD的区别可能就在于它的特征库是作者自己维护,不支持外部修改,新版好像也开始支持外部特征库了,这款查壳工具的加壳特征库比较准确而且范围很广,如Them IDA 、WinLicense、VMProtect、ZProtect、 Shielden 都可以轻松识别出来,但对于具体加壳程序的版本都是模糊的,其实个人认为加壳版本真的不重要,这个后面再具体说道, Exeinfo PE 可以说是目前可以说最好的查壳工具了,推荐大家使用。

 

2、通过入口特征和区段特征来识别

现在很多新手发贴询问一个程序是什么壳,就给出一个PEiD的封面截图,这么少的内容让大牛们看着都揪心不知如何回答你的问题,到底哪些地方是和壳的特征息息相关的,我暂时看来有程序的区段信息和程序的入口特征信息。

区段信息 可以通过PEiD的EP处点击获取到,比如下图的区段信息中可以轻松看出,这是一款Themida或者WinLicense的加壳程序。

 

入口特征 可以通过 OllyDBG 载入获得,载入后可以按一下“Ctrl+A”,让OD分析一下代码,就可以把入口点一些特征字符串分析出来,从下图的入口信息可以轻松看出,这是一款Safengine加壳的程序,对于Shielden、Safengine、VProtect这类加壳程序都可以使用这种方法判断出来。

 

 

三:程序加的是什么壳

目前在我看来windows程序状态大体可以分为以下几种类型:未加壳、压缩壳、传统加密壳、代码虚拟化保护、.Net程序加密,对于传统的加壳方式只是对
评论 2
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值