upx手动脱壳学习笔记

使用文件：[moectf]UPX!

拖入ida看看

IDA分析失败，可能是加了壳保护。用ep查壳。

显示程序有upx壳，需要脱壳。

这里有两种脱壳方式：工具脱壳和手动脱壳。这里展示手动脱壳。

前置知识：

1. ep：entry point。程序的入口点的简称。

    oep：orignal entry point：未加壳的程序的真正的入口点，是手动脱壳的目标。

2. 加壳的程序在开始时，需要对寄存器进行push操作，在加密程序结束后（可以将壳看作一个加密程序） pop回寄存器的值。（任何的壳都有一个目的，让程序认为操作系统的环境是透明的，没有受到壳的阻挡。因此需要将原先寄存器中操作系统提供给程序的值在解密执行后pop回程序，此时即可方便的找到程序的oep处。）

3. 在单步调试时，遇到向上跳转的语句，在语句下方设置断点（f2）后按f9跳过循环（经验之谈）

让我们开始调试吧！

 64位文件，用x64dbg打开