有加壳技术就有脱壳技术,脱壳技术就是针对加壳技术产生的
基础知识
壳的加载过程
- 保存入口参数
- 获取壳本身需要使用的API地址
- 解密原程序各个区块的数据
- IAT的初始化
- 重定位项的处理
- Hook API
- 跳转到程序入口点
脱壳机
将加壳的程序恢复到原来的状态的程序就是脱壳机
手动脱壳
手动脱壳分为三步,查找真正的程序入口点,抓取内存映像文件,重建PE文件。
寻找OEP
OEP:原程序入口点
- 根据跨段指令寻找OEP
- 用内存访问断点寻找OEP
- 根据栈平衡原理寻找OEP
- 根据编译语言特点寻找OEP
抓取内存映像(Dump)
将内存地址的映像文件读出,用文件等形式将其保存下来的过程。
一般情况在OEP处Dump最合理,在外壳处理过程中选择合适的位置进行Dump也可以。
Dump原理
通过od、LoadPE、PETools等工具进行Dump。
重建输入表
将IAT还原为正常输入表。
DLL文件脱壳
压缩壳
UPX外壳有一些外壳保护工具,如UPXPR、UPX-Scrambler,使通过命令脱壳失效。
UPXPR修改了UPX加壳标志,只要将标志还原就能脱壳。
或者可以手动脱壳。