脱壳

基础概念

加壳

加壳的全称是可执行程序资源压缩。加壳过的程序可以直接运行，但是不能查看源代码。要经过脱壳才可以查看源代码。

解密过程完全隐蔽，都在内存中进行。它们附加在原程序上通过Windows加载器载入内存后，先于原始程序执行，得到控制权，执行过程中对原始程序进行解密、还原，还原完成后再把控制权交还给原始程序，执行原来的代码部分。加上外壳后，原始程序代码在磁盘文件中一般是以加密后的形式存在的，只在执行时在内存中还原。

壳的类型通常分为压缩壳和加密壳两类。压缩壳的特点是减小软件体积大小，加密保护不是重点。加密壳种类比较多，不同的壳侧重点不同，一些壳单纯保护程序，另一些壳提供额外的功能，如提供注册机制、使用次数、时间限制等。

特征

(Heur)Packer: Packer detected[Last section EP + "pushal" at EP]    //在程序入口点处检测到 pushal 指令将所有通用寄存器的值压入栈中。

OEP

OEP：程序入口点。软件加壳一般隐藏了程序真实的OEP(或者用了假的OEP)，我们需要寻找程序真正的OEP，才可以完成脱壳。

一般加壳程序在使用Ollydbg等动态调试工具时，会停在壳的预处理块。即处在对于程序原始代码块的解压或解密操作之前，在运行完程序自脱壳模块后，会停留在程序加壳之前的OEP位置，此时是dump程序的最佳时期。脱壳时在真实OEP处下int3断点，就可以捕捉到程序代码段完全恢复的状态。因此，寻找加壳程序的正确OEP，也成了手动脱壳时的第一要务。

IAT

IAT：(Import Address Table)，导入地址表。

由于导入函数就是被程序调用但其执行代码又不在程序中的函数，这些函数的代码位于一个或者多个DLL中。当PE文件被装入内存的时候，Windows装载器才将DLL 装入，并将调用导入函数的指令和函数实际所处的地址联系起来(动态连接)，这操作就需要导入表完成。其中导入地址表就指示函数实际地址。多数加壳软件在运行时会重建导入地址表，因此获取加壳程序正确的导入地址表也是手动脱壳操作中的一个关键问题。

dump

"dump 程序" 指的是将内存中运行的程序状态（特别是已被动态解密或脱壳的代码）提取并保存为可执行文件的过程。

断点

Int3断点：Int3 是一条汇编指令，其机器码为 0xCC，所以也常被称为 CC 指令。
断电原理：当被调试进程执行到 Int3 指令时，会产生一个异常（在 Linux 中会向进程发送信号 SIGTRAP）。调试器会捕捉这个异常，从而使程序停在断点处。

脱壳方法

单步跟踪法

通过Ollydbg的单步(F8)、单步进入(F7)和运行到(F4)功能，完整走过程序的自脱壳过程，跳过一些循环恢复代码的片段，并用单步进入确保程序不会略过OEP。这样可以在软件自动脱壳模块运行完毕后，到达OEP，并dump程序。

ESP定律

call命令:

1:向堆栈中压入下一行将要执行的代码地址
2:JMP到call子程序地址处(程序流程跳转过去)
例如

00401029 E8 DA240A00 call 004A3508
0040102E 5A          pop edx

在执行了00401029后,程序会将0040102E（下一条指令地址）压入堆栈，然后 JMP 到 004A3508 地址处
RETN命令

将当前ESP指的地址出栈,JMP到这个地址.

ESP定律的原理在于程序中堆栈平衡的合理利用。由于在程序自解密或者自解压过程中，不少壳会先将当前寄存器内容压栈，如使用pushad，在解压结束后，会将之前的寄存器值出栈，如使用popad。因此在寄存器出栈时，往往程序代码被自动恢复，此时硬件断点触发。然后在程序当前位置，只需要少许单步跟踪，就很容易到达正确的OEP位置。