加密与解密：脱壳

有加壳技术就有脱壳技术，脱壳技术就是针对加壳技术产生的

基础知识

壳的加载过程

1. 保存入口参数
2. 获取壳本身需要使用的API地址
3. 解密原程序各个区块的数据
4. IAT的初始化
5. 重定位项的处理
6. Hook API
7. 跳转到程序入口点

脱壳机

将加壳的程序恢复到原来的状态的程序就是脱壳机

手动脱壳

手动脱壳分为三步，查找真正的程序入口点，抓取内存映像文件，重建PE文件。

寻找OEP

OEP:原程序入口点

1. 根据跨段指令寻找OEP
2. 用内存访问断点寻找OEP
3. 根据栈平衡原理寻找OEP
4. 根据编译语言特点寻找OEP

抓取内存映像(Dump)

将内存地址的映像文件读出，用文件等形式将其保存下来的过程。

一般情况在OEP处Dump最合理，在外壳处理过程中选择合适的位置进行Dump也可以。

Dump原理

通过od、LoadPE、PETools等工具进行Dump。

重建输入表

将IAT还原为正常输入表。

DLL文件脱壳

压缩壳

UPX外壳有一些外壳保护工具，如UPXPR、UPX-Scrambler，使通过命令脱壳失效。

UPXPR修改了UPX加壳标志，只要将标志还原就能脱壳。

或者可以手动脱壳。