加壳和脱壳

1.加壳的目的是什么？

• 缩减程序的大小
• 阻碍对加壳程序的探测和分析

2.加壳的主要流程是什么？

• 将一个可执行文件转化成一个新的可执行文件
• 原来的可执行文件作为数据存储在一个新的文件中

最复杂的是解壳过程的代码

1.读取主模块的数据

2.解密，得到原来的PE文件，仅仅是一堆数据，暂时还不能运行

3.以挂起的形式创建进程：CreateProcess

4.获取外壳程序的context

5.卸载外壳程序

6.在指定的位置分配空间：

        为什么要在指定的位置分配呢？

        位置就是src(原始程序)的imagebase，大小就是src的sizeofimage

7.1.如果申请空间成功，将src的PE文件拉伸，复制到该空间中

7.2.如果申请空间失败，判断该src程序是否有重定位表

为什么要判断是否有重定位表？

7.2.1如果申请空间失败，并且有重定位表，则可在任意位置申请空间，大小还是 imagebase,然后将PE拉伸修复重定位表。

7.2.2.如果申请空间失败并且没有重定位表，则直接返回，失败。

8.修改外壳程序的Context:

将context的imagebase修改为Src的imagebase

将外壳程序的OEP 修改为Src的OEP

9.设置context,并恢复主线程

10.终止外壳程序，解壳过程结束。

3.图解程序加壳过程

可执行程序的入口点指向loader加载器,原始的程序存储在加壳程序的一个或多个附加的节中

pe文件加壳技术研究与实现 research and implementation of packing technology for pe files.pdf

4.具体的脱壳操作

• 将原始的文件脱壳到内存中
• 解析原始的可执行文件的所有的导入函数
• 将可执行程序转移到OEP

5.怎么判断一个程序是否是加壳程序？

• 导入函数很少，只有LoadLibrary和GetprocAddress
• IDA打开时只有少量代码被识别
• OD打开时有程序可能被加壳的警告
• 程序的节名中包含了某款加壳器的表示
• 程序有不正常的节大小
• 加壳探测工具

6.手动脱壳的方法都有哪些？

• 编写自动化脚本获取脱壳部分
• 在调试器中动态运行，在特殊的API函数处下断点，内存中跟踪找到dump的原始可执行文件

7.加密壳可以分为两类

（1）二进制壳

不改变指令（硬编码）的含义

将PE文件做一个变形，对关键部位进行加密

在内存中展开的时候一定是原来的模样（必须保证能够运行）

（2）源代码加密