详谈PC端软件 - 加壳与脱壳

加壳一般是指保护程序资源的方法，在二进制的程序中植入一段代码，在运行的时候优先取得程序的控制权，属于软件加密。

脱壳一般是指除掉程序的保护,用来修改程序资源。

 

壳的概念

软件的壳分为加密壳、压缩壳、伪装壳、多层壳等类，目的都是为了隐藏程序真正的OEP（入口点，防止被破解）

作者编好软件后，编译成*.exe，apk等可执行文件

1.有一些版权信息需要保护起来，不想让别人随便改动，即为了保护软件不被破解，通常都是采用加壳来进行保护;

2.需要把程序搞的小一点，从而方便使用。于是，需要用到一些软件，它们能将exe可执行文件压缩;

3.在黑客界给木马等软件加壳脱壳以躲避杀毒软件。

实现上述功能，这些软件称为加壳软件

 

加壳软件最常见的加壳软件

ASPACK ，UPX，PEcompact 不常用的加壳软件WWPACK32；PE-PACK ；PETITE NEOLITE

 

侦测壳和软件所用编写语言的软件 

因为脱壳之前要查他的壳的类型。 
1.侦测壳的软件fileinfo.exe 简称fi.exe（侦测壳的能力极强）

2.侦测壳和软件所用编写语言的软件language.exe，推荐language2000中文版（专门检测加壳类型）

3.软件常用编写语言Delphi，Visual Basic（VB）---最难破，Visual C（VC）

 

脱壳软件 

软件脱壳有手动脱 和 自动脱壳之分。

自动脱壳 ： 就是用别人专门写好的脱壳工具来脱                             好处是简单，缺点是版本更新了就没用了

脱壳就是用专门的脱壳工具来对付，最流行的是PROCDUMP v1.62 ，可对付目前各种压缩软件的压缩档

自动脱壳 ：就是用TRW2000、TR、SOFTICE等调试工具对付，对脱壳者有一定水平要求，涉及到很多汇编语言和软件调试方面的知识。

 

脱壳的基本原则就是单步跟踪，只能往前，不能往后。

脱壳的一般流程是：查壳->寻找OEP->Dump->修复

找OEP的一般思路如下：先看壳是加密壳还是压缩壳，压缩壳相对来说容易些，一般是没有异常，找到对应的popad后就能到入口， 我们知道文件被一些压缩加壳软件加密，下一步我们就要分析加密软件的名称、版本。因为不同软件甚至不同版本加的壳，脱壳处理的方法都不相同。 

常用脱壳工具： 
1、文件分析工具（侦测壳的类型）：Fi，GetTyp，peid，pe-scan， 
2、OEP入口查找工具：SoftICE，TRW，ollydbg，loader，peid 
3、dump工具：IceDump，TRW，PEditor，ProcDump32，LordPE 
4、PE文件编辑工具PEditor，ProcDump32，LordPE 
5、重建Import Table工具：ImportREC，ReVirgin 
6、ASProtect脱壳专用工具：Caspr（ASPr V1.1-V1.2有效），Rad（只对ASPr V1.1有效），loader，peid 

（1）Aspack： 用的最多，但只要用UNASPACK或PEDUMP32脱壳就行了 
（2）ASProtect+aspack：次之，国外的软件多用它加壳，脱壳时需要用到SOFTICE+ICEDUMP，需要一定的专业知识，但最新版现在暂时没有办法。 
（3）Upx： 可以用UPX本身来脱壳，但要注意版本是否一致，用-D 参数 
（4）Armadill： 可以用SOFTICE+ICEDUMP脱壳，比较烦 
（5）Dbpe： 国内比较好的加密软件，新版本暂时不能脱，但可以破解 
（6）NeoLite： 可以用自己来脱壳 
（7）Pcguard： 可以用SOFTICE+ICEDUMP+FROGICE来脱壳 
（8）Pecompat： 用SOFTICE配合PEDUMP32来脱壳，但不要专业知识 
（9）Petite： 有一部分的老版本可以用PEDUMP32直接脱壳，新版本脱壳时需要用到SOFTICE+ICEDUMP，需要一定的专业知识 
（10）WWpack32： 和PECOMPACT一样其实有一部分的老版本可以用PEDUMP32直接脱壳，不过有时候资源无法修改，也就无法汉化，所以最好还是用SOFTICE配合 PEDUMP32脱壳 

 

常见的壳脱法： 
（一）aspack壳 脱壳可用unaspack或caspr

1.unaspack ，使用方法类似lanuage，傻瓜式软件，运行后选取待脱壳的软件即可. 缺点：只能脱aspack早些时候版本的壳，不能脱高版本的壳

2.caspr第一种：待脱壳的软件（如aa.exe）和caspr.exe位于同一目录下，执行windows起始菜单的运行，键入 caspr aa.exe脱壳后的文件为aa.ex_，删掉原来的aa.exe，将aa.ex_改名为aa.exe即可。使用方法类似fi 优点：可以脱aspack任何版本的壳，脱壳能力极强缺点：Dos界面。第二种：将aa.exe的图标拖到caspr.exe的图标上***若已侦测出是aspack壳，用unaspack脱壳出错，说明是aspack高版本的壳，用caspr脱即可。 

（二）upx壳 脱壳可用upx待脱壳的软件（如aa.exe）和upx.exe位于同一目录下，执行windows起始菜单的运行，键入upx -d aa.exe。 
（三）PEcompact壳 脱壳用unpecompact 使用方法类似lanuage傻瓜式软件，运行后选取待脱壳的软件即可。 

（四）procdump 万能脱壳但不精，一般不要用 使用方法：运行后，先指定壳的名称，再选定欲脱壳软件，确定即可脱壳后的文件大于原文件由于脱壳软件很成熟，手动脱壳一般用不到。