加密与解密（二）-- 脱壳_1

问题

1. 脱壳的流程？

查壳软件

1. FileInfo
2. Peid

脱壳

脱壳的基本原则就是单步跟踪，只能往前，不能往后。
脱壳的一般流程：

1. 查壳
2. 寻找OEP
3. Dump
4. 修复

脱壳软件

• aspack壳 脱壳可用unaspack或casper unaspack
• caspr
• upx壳 脱壳用upx
• PECompact壳 脱壳用unpecompact
• procdump 万能脱壳但不精，一般不要用

手工脱壳一般要有的步骤：

1. 查找程序的真正入口点（OEP）
2. 抓取内存映像文件
3. 输入表重建

OEP：

OEP（Original Entry Point），程序加壳前的真正的入口点

寻找OEP的几种方法：

1. 单步跟踪
2. ESP定律法
   利用编程过程中要遵循的堆栈平衡原理，在壳的两端同样适用，所以在壳的初始位置关键句后的eip也同样会是壳的出口位置的eip值。所以，在该处设置硬件断点，然后忽略所有异常直接运行到该eip处，往往单步即可到达程序的OEP处。
3. 内存镜像法
4. 一步到达OEP法
5. 最后一次异常法
6. 模拟跟踪法
7. “SFX”法