逆向：UPX脱壳

2020/05/18 -

引言

本身对加壳这种东西只是知道，只知道可以使用软件进行自动化脱壳，没有具体了解过原理。然后，最近部署的蜜罐经常下载UPX加壳的样本。这次就来分析一下。

学习到的东西

1. 利用vim修改十六进制内容
2. upx脱壳

样本

首先，蜜罐中经常下载的一个文件名称为i。

i样本

文件已经stripped，然后通过 string命令查看，大部分字符串没有什么意义，但可以看到有UPX的标记。

strings

在virustotal上检测，可以发现被标记为恶意软件。

virustotal

脱壳过程

在网上搜索关于elf的脱壳，没有找到很多。然后安装了upx命令，yum install upx，并进行脱壳，upx -d i，显示结果如下。

upx失败

显示p_info部分被破坏了。
然后按照提示信息搜索了这个内容。找到了一下两个内容[1][2]，一开始看到了[2]文章后，感觉不明所以，不知道他具体是什么意思（后记：在经过脱壳成功后，感觉[2]是从原理上更具体的描述。）
那么就主要看文章[1]来学习，不过感觉这个文章有些跳跃性，有些地方有些不是很理解，虽然成功了。

---

首先，本身在linux下分析，使用vim来进行二进制显示，vim i，进入后使用命令%!xxd来显示十六进制如下，在文件头部位置。

二进制显示

可以看到的确如文中所说，这个地方被置0了。
那么按照文中的思路，找到p_info真正的存储位置，拖到最后。

p_info位置

然后对上述位置进行修改。

修改后

然后要注意，这个时候直接保存退出vim将文件保存为这种16进制的文本文件，需要重新转换为原始文件，在vim中执行%!xxd -r。
然后保存退出vim。
执行命令upx -d i，可以看到文件成功脱壳。

脱壳成功

再次使用strings来查看。

mozi

更多字符

可以看到很多mozi的字符，然后联想到文章[2]就是分析的这个僵尸网络的样本，同时搜索了相关的内容，发现的确存在这个mozi病毒。再次上传这个病毒到virustotal上，

结果

的确显示mozi.m的标识，但是下面引擎的标记并没有显示mozi。

总结

本次只是凑巧找到了找到了相应的解决方案，简单了解了脱壳的过程，但是具体原理也不清楚。
存在如下几个问题：

1. 为什么修改了这些地方的内容没有影响软件的运行？
2. 软件加壳的原理又是什么？

参考

[1]某IOT蠕虫病毒分析之UPX脱壳实战
[2]upx-packed-elf-binaries-of-the-peer-to-peer-botnet-family-mozi/