1.加壳的目的是什么?
- 缩减程序的大小
- 阻碍对加壳程序的探测和分析
2.加壳的主要流程是什么?
- 将一个可执行文件转化成一个新的可执行文件
- 原来的可执行文件作为数据存储在一个新的文件中
最复杂的是解壳过程的代码
1.读取主模块的数据
2.解密,得到原来的PE文件,仅仅是一堆数据,暂时还不能运行
3.以挂起的形式创建进程:CreateProcess
4.获取外壳程序的context
5.卸载外壳程序
6.在指定的位置分配空间:
为什么要在指定的位置分配呢?
位置就是src(原始程序)的imagebase,大小就是src的sizeofimage
7.1.如果申请空间成功,将src的PE文件拉伸,复制到该空间中
7.2.如果申请空间失败,判断该src程序是否有重定位表
为什么要判断是否有重定位表?
7.2.1如果申请空间失败,并且有重定位表,则可在任意位置申请空间,大小还是 imagebase,然后将PE拉伸修复重定位表。
7.2.2.如果申请空间失败并且没有重定位表,则直接返回,失败。
8.修改外壳程序的Context:
将context的imagebase修改为Src的imagebase
将外壳程序的OEP 修改为Src的OEP
9.设置context,并恢复主线程
10.终止外壳程序,解壳过程结束。
3.图解程序加壳过程
可执行程序的入口点指向loader加载器,原始的程序存储在加壳程序的一个或多个附加的节中
pe文件加壳技术研究与实现 research and implementation of packing technology for pe files.pdf
4.具体的脱壳操作
- 将原始的文件脱壳到内存中
- 解析原始的可执行文件的所有的导入函数
- 将可执行程序转移到OEP
5.怎么判断一个程序是否是加壳程序?
- 导入函数很少,只有LoadLibrary和GetprocAddress
- IDA打开时只有少量代码被识别
- OD打开时有程序可能被加壳的警告
- 程序的节名中包含了某款加壳器的表示
- 程序有不正常的节大小
- 加壳探测工具
6.手动脱壳的方法都有哪些?
- 编写自动化脚本获取脱壳部分
- 在调试器中动态运行,在特殊的API函数处下断点,内存中跟踪找到dump的原始可执行文件
7.加密壳可以分为两类
(1)二进制壳
不改变指令(硬编码)的含义
将PE文件做一个变形,对关键部位进行加密
在内存中展开的时候一定是原来的模样(必须保证能够运行)
(2)源代码加密