1625-5 王子昂 总结《2018年2月15日》 【连续第503天总结】
A. 专用加密软件(1)
B.
简介
壳是一种附加在原程序上通过Windows加载器载入内存后,先于原始程序执行,得到控制权,执行过程中对原始程序进行解密、还原,完成后再把控制权交还给原程序的程序
分类
不同的外壳所侧重的方面也不一样,有的侧重于压缩,有的则侧重于加密。
压缩壳
压缩壳的特点就是减小软件体积大小,加密保护不是其重点。
常见的有
- UPX
- ASPack
- PECompact
UPX
最常见的一种壳
程序包含自解压部分,使用-d参数即可将程序还原
不包含任何反调试或保护策略,仅仅是压缩了原程序
值得一提的是自解压前会检测一些标识,例如区段名UPX0、UPX1等,来确认程序为upx压缩
而有一些程序例如UPXPR、UPX-Scrambler可以修改这些标识,致使自解压失效,而不影响运行(运行的时候不会检测标识,解压器会直接自解压)
此时需要了解UPX的格式,恢复标识才能重新使用自解压;也有UPXFIX一类的程序进行对抗,自动还原标识
还可以手动脱壳,麻烦之处在于Dump出原程序以后需要还原重定向表,影响效率
C. 明日计划
专用加密软件