180220 逆向-脱壳技术（3）

1625-5 王子昂 总结《2018年2月20日》 【连续第507天总结】
A. 脱壳技术（3）抓取内存映像
B.

抓取内存映像

又叫转存、Dump
就是把内存中的指定数据保存为文件，写入磁盘中

脱壳时，如果将解密后的原程序dump出来，就得到了原程序的核心部分，只要修复IAT等部分就基本还原了

而在何时dump文件是有一定技巧的。
一般在OEP处dump。
如果运行以后dump，那么一些存储在内存中的变量的值已经发生了变化，则跟原程序就具有了一些区别了

Dump工具有LordPE、ProcDump、PETools等
原理一般是通过CreateToolhelp32Snapshot函数获得快照，Module32Next可以逐个访问进程链表，取得进程的信息

选择想要dump的进程后调用ReadProcessMemory来读取进程内的数据，读取成功以后通过不同的方式来添加文件头

• ProcDump读取IMAGE_DOS_SIGNATURE和IMAGE_NT_SIGNATURE是否完整，如果完整就直接保存，不完整则会根据xzExePath字段打开进程的原始文件来读取文件头并保存
• LordPE更简单，直接读取原始文件的文件头

Anti-Dump

反转存技术，就是壳对Dump的对抗

1. 修改SizeOfImage
   Dump文件时，一些关键参数是通过MODULEENTRY32结构快照获得的，因此可以在modBaseSize和modBaseAddr字段中填入错误的值，让Dump软件无法正确读取进程的数据
   相应的，LordPE也加入了反制的功能：correct ImageSize功能可以自动修正modBaseSize的值
2. 修改内存属性
   当PE文件被加载到内存中时，所有区段的属性都是可读的，因此才会被ReadProcessMemory读取出
   因此可以修改一些程序不需要访问的内存，例如文件头，的属性为不可读，将会使得Dump软件无法读取内存
   对抗方法是同样修改内存属性，通过注入程序来设置也可以，OD之类的调试器也可以，之后再用Dump读取就可以了

C. 明日计划
脱壳技术（4）