壳的介绍以及是常用脱壳方法
(完整版)常见几种脱壳方法
----------------<小A分>----------------一、概论壳出于程序作者想对程序资源压缩、注册保护的目的，把壳分为压缩壳和加密壳(强壳)两种"UPX" "ASPCAK" "TELOCK" "PELITE" "NSPACK(北斗)" ... "ARMADILLO" "ASPROTECT" "ACPROTECT" "EPE(王)" "SVKP" ...顾名思义，压缩壳只是为了减小程序体积对资源进行压缩，加密壳是程序输入表等等进行加密保护。
当然加密壳的保护能力要强得多！-----------<小A分割线>-------------二、工具的认识OllyDBG ring3 shell层级别的动态编译工具、PEid、ImportREC、LordPE、softIce ring0级别调试工具-------------<小A分割>-------------------三、常见手动脱壳方法预备知识1.PUSHAD （入栈/压栈）代表程序的入口点,2.POPAD （弹栈/出栈）代表程序的出口点，与PUSHAD想对应，一般找到这个OEP就在附近3.OEP：程序的入口点，软件加壳就是隐藏了OEP（或者用了假的OEP/FOEP），只要我们找到程序真正的OEP，就可以立刻脱壳。
------------<小A分割线>--------------------方法一：单步跟踪法1.用OD载入，点“不分析代码！”2.单步向下跟踪F8，实现向下的跳。
也就是说向上的跳不让其实现！（通过F4）3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）4.绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现！5.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易跑飞，这样很快就能到程序的OEP6.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入7.一般有很大的跳转（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN 的一般很快就会到程序的OEP。
脱壳名词解释
脱壳名词解释一、什么是脱壳？脱壳，又称解壳，指的是去除软件或程序的保护机制，使其可以被逆向分析、修改或运行的过程。
脱壳是逆向工程领域中的一个重要技术，常用于软件破解、恶意代码分析等领域。
二、脱壳的原因和意义1. 加密与保护机制软件开发者为了保护自己的知识产权和软件安全，通常会对程序进行加密和保护。
这些保护机制可以包括如下措施： - 程序代码的加密，使其难以被阅读和修改；- 阻止程序在非授权环境下运行的授权机制； - 检测到程序被篡改后自动停止运行的完整性检查等。
2. 逆向工程然而，逆向工程者通过脱壳可以破解这些软件保护机制，恢复原始的程序代码，甚至修改其功能。
脱壳技术的应用广泛，包括以下几个方面的内容：•软件破解：通过脱壳可以去除软件的加密和授权机制，使得盗版发布和使用成为可能。
这对于某些无法购买正版软件或者有特定需求的用户来说可能是一种选择。
•恶意代码分析：恶意软件通常会采用各种保护机制来避免被分析和检测，并隐藏其真正的目的和行为。
通过脱壳恢复出原始的恶意代码，可以帮助安全研究人员分析其行为和制定相应的防护措施。
•安全评估：软件开发者或者安全顾问可能会使用脱壳技术来评估一个软件的安全性，以发现其中的潜在漏洞或者授权机制的薄弱点，为后续的加固工作提供依据。
三、脱壳技术的分类1. 静态脱壳静态脱壳是指在不执行被保护程序的情况下，通过静态分析技术将程序的保护解除。
常见的静态脱壳技术有如下几种：•反汇编与分析：逆向工程者使用反汇编工具将程序的机器码转换为汇编代码，然后通过分析汇编代码来恢复源代码。
这一过程可以帮助理解程序的结构和算法，从而有助于脱壳。
•调试与跟踪：逆向工程者通过调试器来运行程序，并对其进行跟踪和观察。
通过检查程序的内存、寄存器和栈等状态变化，可以帮助分析和理解程序的执行过程。
•代码修复与修改：通过修改保护机制相关的代码，或者修复被加密或者损坏的代码，来达到解除保护的目的。
2. 动态脱壳与静态脱壳不同，动态脱壳是在程序运行过程中实时脱去保护机制。
压缩壳和低强度加密壳的脱壳小结及简易脱壳法
三、OEP内存断点万能脱壳法简化变形的OD脚本
OEP内存断点万能脱壳法经过简化变形后其操作变得非常简单机械，我们可以用一个很简单的ollydbg脚本来使其自动执行脱壳，脚本如下：
/*
//////////////////////////////////////////////////
All Compress packer Unpacking script
Dasm : 6A 00 E8 C5
BC++ : EB 10
7、取消内存断点，反汇编窗口Ctrl+G填入PEiD侦测到OEP，在OEP处下断，F9运行，到达OEP
8、Dump it 运行，出错的话用ImportREC修复即可，一般都可修复的。
二、OEP内存断点万能脱壳法脱壳机理
我们知道的，壳如果要把原来加密或压缩的代码运行起来的话就必须要解压和解密原来的代码,这一个过程我们可以将他看做是代码的内存写入当我们用ollydbg载入目标程序，数据窗口Ctrl+G转到OEP地址时往往看到的数据全部是0，这说明OEP处的代码被压缩或加密了。（有些时候可以看到有代码，但这些代码不是6种常见语言的入口特征代码，这说明OEP处肯定是被加密了，被壳的加密代码替换了。）基于这样的理解我们可以在数据窗口OEP处设置内存访问断点，F9运行，观察内存数据窗口OEP处数据变化，内存数据变化说明OEP处代码在被解密，当我
Author: sxssl
Email : sxssl@
OS : WinXP sp2,Ollydbg 1.1,OllyScript v0.92
Date : 2008-1-20
Config: Ignore all exceptions
脱壳或去皮的方法
脱壳或去皮的方法一、脱壳常用的脱壳有碾搓法、撞击法、剪切法及挤压法外，剥壳方法还有摩擦法。
值得注意的是，任何剥壳机往往是一种剥壳方法为主而几种剥壳方法为辅的综合作用的结果。
摩擦法：利用摩擦形成的剪切力使皮壳沿其断裂而产生撕裂破坏，除下的皮壳整齐，便于选除，适用于韧性皮壳。
前述的脱壳法都是利用机械对农作物籽粒产生机械力的作用而实现脱壳的，以下是非机械式的脱壳方法。
能量法：利用籽粒在一个特殊环境中经受一定时间的高温高压作用，使得大量热量或气体聚集于籽粒壳内，并使籽粒内外达到气压平衡，然后让籽粒瞬间脱离高温高压环境，此时，聚集在籽粒壳与仁间的压力瞬时爆破，从而实现脱壳目的。
真空法：利用壳内外产生的压力差进行脱壳。
它与能量法脱壳的不同之处在于它不是使气体进入籽粒壳内，而是在一定的范围内，在真空泵的抽吸作用下使壳外压力降低，壳内部处于相对较高压力状态，当压力差达到一定数值时，使外壳爆裂。
一般采用单真空源与多个装料爆壳室相结合的配置。
微波爆壳法：利用电磁场的作用力对籽粒进行破壳。
当微波作用于需脱壳的籽粒时，籽仁内水分子在交变电磁场的作用下将电磁能转化为热能。
这种转变使籽仁在短时间内具有很高的能量，并迅速向外扩散，水分也沿着能量传递的方向迅速外迁，籽仁组织内部的部分结合水分转变为自由水分汽化逸出，导致籽仁失水而收缩。
汽化逸出的自由水分以一定的压力作用于外壳，破坏了籽仁与外壳的贴合。
同时，外壳在微波的作用下,组织内结合水分减少使纤维组织韧性下降、强度降低。
由于籽仁与外壳在微波作用下的变形不一致，导致籽仁与外壳的分离，使脱壳成为可能。
二、去皮用于去除果蔬表皮的去皮机，按去皮对象可分为：1.块状根茎类原料去皮机；2.果蔬去皮机。
除常用的机械去皮和化学去皮还有一些其他方法。
蒸汽加热去皮法：用于马铃薯、胡萝卜等块状茎类作物去皮前表面爆裂处理作业，特别适合外形凹凸不平且不规则的物料去皮。
辐射去皮：利用辐射波被物料表皮的水分吸收、蒸发、使入射的辐射波被物料表皮的水分吸收、蒸发、使入射的辐射波刚进入受热体浅表层即引起强烈的共振。
脱壳方法总结
脱壳方法总结1. 引言在软件开发和逆向分析领域，脱壳（Unpacking）是指将一个已经被加密或保护的可执行文件还原到其原始状态的过程。
通过脱壳，分析人员可以获取被加密或保护的文件的源代码、算法、关键函数等信息，从而进行后续的逆向工程分析。
本文将总结几种常见的脱壳方法，并介绍它们的原理和使用场景。
2. 静态脱壳方法静态脱壳方法是指在不运行程序的情况下，通过对加密或保护的文件进行静态分析，还原出原始的可执行文件。
2.1. 字节码分析字节码分析是通过对加密或保护的文件进行二进制分析，识别出不同的加密算法或保护机制，从而还原出原始文件。
常见的字节码分析工具有IDA Pro、Radare2等。
2.1.1. IDA ProIDA Pro是一款功能强大的反汇编工具，可以用于对二进制文件进行逆向分析。
通过加载被加密或保护的文件，IDA Pro可以在图形界面下显示程序的反汇编代码。
通过对代码进行分析，可以识别出不同的加密算法或保护机制，从而编写相应的解密脚本。
2.1.2. Radare2Radare2是另一款强大的反汇编工具，它以命令行形式提供了一系列功能，可以对二进制文件进行静态分析。
通过使用Radare2的命令，可以查看程序的反汇编代码，识别出加密或保护机制，并编写相应的解密脚本。
2.2. 调试器调试器是一种用于运行和调试程序的工具，通过对加密或保护的文件进行动态分析，可以观察程序的行为，从而还原出原始文件。
常见的调试器有OllyDbg、GDB等。
2.2.1. OllyDbgOllyDbg是一款运行在Windows平台上的调试器，它可以用于对可执行文件进行动态分析。
通过加载被加密或保护的文件，OllyDbg可以以汇编代码的形式显示程序的执行过程。
通过逐步执行程序，并观察寄存器、堆栈等信息的变化，可以找到解密过程中使用的关键函数和算法。
2.2.2. GDBGDB是一款开源的调试器，可以运行在多种平台上，如Linux、macOS等。
普通壳的脱壳方法和脱壳技巧
普通壳的脱壳方法和脱壳技巧脱壳是指将普通壳（通常指硬壳类）从内部原材料中取出的过程。
这个过程既需要一定的方法，也需要一些技巧。
下面我将详细介绍普通壳的脱壳方法和技巧。
脱壳主要分为以下几个步骤：准备工作、撬开壳体、去除壳体和整理内部原材料。
首先，准备工作是非常重要的。
需要准备好必要的工具，例如锤子、螺丝刀、剪刀、塑料袋等，以及切割和清洁壳体的材料，如剪刀、刀片、洗涤剂等。
接下来，需要撬开壳体。
首先，要检查壳体是否有任何阻挡物，如胶水、胶带或其他附着物。
如果有，需要小心地切除或剥离它们。
然后，可以用螺丝刀或剪刀等工具轻轻撬开壳体的缝隙，逐渐将缝隙扩大，直到可以插入手指或其他工具。
使用锤子轻轻敲击壳体，有时会使壳体裂开，从而更容易打开。
脱壳之后，要去除壳体。
根据壳体的类型和材料，不同的方法和技巧可以选择。
例如，对于较薄的塑料壳体，可以用手指轻松地撕裂或剥离。
对于较厚的金属壳体，可能需要使用剪刀或刀片进行切割。
切割时要小心不要损坏内部的原材料，以及不要让手指受伤。
最后，需要整理内部原材料。
脱壳后，可能会有一些残留的胶水、胶带或其他附着物，需要用洗涤剂和水或其他清洁剂擦拭清除。
同时，还要注意保持内部原材料的完整和安全。
如果壳体中还有其他零部件或线路，要小心保护它们，以免损坏。
在脱壳的过程中，还有一些技巧可以使用。
首先，要注意避免使用过大的力量，以免损坏壳体或内部原材料。
其次，可以选择从壳体的较薄、较弱的部位开始撬开，比如角落或接缝处，这样更容易开启壳体。
另外，使用锤子时，要轻轻敲击，以避免壳体破裂或内部原材料受损。
最后，选择适当的工具非常重要。
根据壳体的类型和特性，选择合适的工具可以更有效地完成脱壳过程。
总的来说，普通壳的脱壳方法和技巧在于准备工作的细致、撬开壳体的谨慎、去除壳体的适当、整理内部原材料的细致和使用合适的工具等。
希望以上的介绍对您有所帮助！。
普通壳的脱壳方法和脱壳技巧
普通壳的脱壳方法和脱壳技巧脱壳是指将一个已经打包的可执行文件（通常是二进制文件）恢复为原始的、可以读取和修改的形式。
这在软件逆向工程、安全审计和病毒分析等领域都是非常常见的操作。
下面我将为你介绍普通壳的脱壳方法和脱壳技巧。
一、普通壳的脱壳方法1.静态脱壳静态脱壳是指对目标文件进行分析，找到壳的解密和载入代码，然后将其解密出来，恢复原始的可执行文件。
- 调试器脱壳：使用调试器（如OllyDbg、IDA Pro等）来单步执行目标程序，找到壳的解密代码，并通过调试器的内存分析功能来寻找待解密的数据。
一旦找到解密的算法和密钥，就可以将目标文件完全解密出来。
- 静态分析脱壳：通过静态分析工具（如IDA Pro、Hopper等）来逆向目标文件，找到壳的解密算法和密钥，然后将其解密出来。
2.动态脱壳动态脱壳是指在目标程序运行时，通过对程序的运行过程进行监控和分析，找到壳的解密和载入代码，并将其解密出来，恢复原始的可执行文件。
-API钩取脱壳：通过使用一个DLL注入到目标程序的地址空间中，然后使用API钩子来监控API函数的调用，找到壳解密代码的入口点。
一旦找到壳解密代码的起始地址，就可以通过调试器执行目标程序，并在合适的时机将解密出来的代码或数据导出。
- 内存转储脱壳：通过在目标程序的执行过程中，使用内存转储工具（如winhex、ollydump等）将目标程序的内存转储出来，然后使用静态脱壳的方法对内存转储文件进行分析。
二、普通壳的脱壳技巧1.加载器分析在进行脱壳之前，首先要分析目标文件中的加载器。
加载器是壳程序的一部分，用于解压和载入真正的可执行文件。
通过分析加载器，可以确定载入代码和解密算法的位置，并推导出解密算法的密钥。
2.寻找壳代码的入口点在进行脱壳时，需要找到壳代码的入口点，即壳程序开始执行的位置。
可以通过调试器或者静态分析工具来寻找入口点，并标记下来以备后续使用。
3.内存和断点设置通过内存和断点设置，在目标程序运行过程中定位到关键的内存位置。
常见几种软件脱壳方法
常见⼏种软件脱壳⽅法⼀、概论壳出于程序作者想对程序资源压缩、注册保护的⽬的，把壳分为压缩壳和加密壳(强壳)两种"UPX" "ASPCAK" "TELOCK" "PELITE" "NSPACK(北⽃)" ..."ARMADILLO" "ASPROTECT" "ACPROTECT" "EPE(王)" "SVKP" ...顾名思义，压缩壳只是为了减⼩程序体积对资源进⾏压缩，加密壳是程序输⼊表等等进⾏加密保护。
当然加密壳的保护能⼒要强得多！⼆、⼯具的认识OllyDBG ring3 shell层级别的动态编译⼯具、PEid、ImportREC、LordPE、softIce ring0级别调试⼯具三、常见⼿动脱壳⽅法预备知识1.PUSHAD （⼊栈/压栈）代表程序的⼊⼝点,2.POPAD （弹栈/出栈）代表程序的出⼝点，与PUSHAD想对应，⼀般找到这个OEP就在附近3.OEP：程序的⼊⼝点，软件加壳就是隐藏了OEP（或者⽤了假的OEP/FOEP），只要我们找到程序真正的OEP，就可以⽴刻脱壳。
⽅法⼀：单步跟踪法1.⽤OD载⼊，点“不分析代码！”2.单步向下跟踪F8，实现向下的跳。
也就是说向上的跳不让其实现！（通过F4）3.遇到程序往回跳的（包括循环），我们在下⼀句代码处按F4（或者右健单击代码，选择断点——>运⾏到所选）4.绿⾊线条表⽰跳转没实现，不⽤理会，红⾊线条表⽰跳转已经实现！5.如果刚载⼊程序，在附近就有⼀个CALL的，我们就F7跟进去，不然程序很容易跑飞，这样很快就能到程序的OEP6.在跟踪的时候，如果运⾏到某个CALL程序就运⾏的，就在这个CALL中F7进⼊7.⼀般有很⼤的跳转（⼤跨段），⽐如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的⼀般很快就会到程序的OEP。
壳加壳脱壳介绍壳的一些基本常识
壳加壳脱壳介绍壳的一些基本常识壳（Shell）是计算机操作系统的一种用户接口，它提供了用户与操作系统内核之间的交互方式。
它是用户与操作系统之间的纽带，使用户能够通过命令、脚本等方式与操作系统进行交互。
加壳（Packaging）指的是给软件程序添加额外的代码，以便增加安全性、保护程序免受非法分析和篡改。
加壳技术可以对软件进行加密，防止逆向工程和盗版，同时还可以实现防病毒和反调试的功能。
脱壳（Unpacking）是指将被加壳的软件程序恢复为原始的可执行文件。
通常情况下，脱壳是为了分析软件的结构和行为，或者绕过加壳的保护机制进行非法操作。
下面是一些基本的壳常识：1. 壳的种类：常见的壳包括命令行壳和图形用户界面壳。
命令行壳（例如Bash、PowerShell等）提供了一个命令行界面，用户可以通过输入命令来与操作系统进行交互。
图形用户界面壳（例如Windows的资源管理器、macOS的Finder等）提供了可视化的界面，用户可以通过鼠标点击和拖放来进行操作。
2.壳的功能：壳作为用户接口，提供了很多功能，例如操作文件和文件夹、运行程序、管理系统设置等。
它还可以提供脚本语言的支持，使用户可以通过编写脚本来自动化任务和定制操作。
3.壳的配置和定制：壳通常可以进行配置和定制，用户可以根据自己的需求设置壳的外观和行为。
例如，可以更改壳的主题、布局和颜色，添加自定义菜单和工具栏，设置快捷键等。
4. 壳脚本：壳脚本是一种用于定制壳行为的脚本语言。
例如，在Bash中，用户可以编写Shell脚本来自动执行一系列命令和操作。
壳脚本可以用于自动化任务、批处理、系统管理等方面。
5.加壳的原因和目的：加壳可以增加软件的安全性，保护知识产权和商业机密。
它可以防止软件被逆向工程，避免黑客和破解者篡改程序逻辑或者盗版软件。
加壳还可以实现软件的防病毒功能，使病毒难以对软件进行分析和感染。
6.加壳的原理和技术：加壳通常通过改变软件的结构和代码来实现。
加壳与脱壳
壳
1.什么是壳？ 2.加壳与脱壳 3.加壳的加载过程 4.脱壳的实现过程
什么是壳？
在一些计算机软件里也有一段专门负 责保护软件不被非法修改或反编译的程序。 它们一般都是先于程序运行，拿到控制权， 然后完成它们保护软件的任务。由于这段 程序和自然界的壳在功能上有很多相同的 地方，基于命名的规则，就把这样的程序 称为“壳”了。
壳的加载过程
3.重定位 文件执行时将被映像到指定内存地址 中，这个初始内存地址成为基地址。 对于EXE的程序文件来说，Windows 系统会尽量满足，所以加壳软件把源程序 文件中用于保存重定位信息的区块干脆也 删除了。
壳的加载过程
4.HOOK-API 程序文件中的输入表的作用是让 Windows系统在程序运行时提供API的实际 地址给程序使用。在程序的第一行代码执 行之前，Windows系统就完成了这个工作。 壳一般都修改了原程序文件的输入表， 然后自己模仿Windows系统的工作来填充 输入表中相关的数据。
什么是壳？
壳的加载过程
1.获取壳自己所需要使用的API地址 如果用PE编辑工具查看加壳后的文件，会发 现未加壳的文件和加壳后的文件的输入表不一样， 加壳后的输入表一般所引入的DLL和API函数很少， 甚至只有Kernel32.dll以及GetProcAddress这个 API函数。 壳实际上还需要其他的API函数来完成它的 工作，为了隐藏这些API，它一般只在壳的代码 中用显式链接方式动态加载这些API函数
脱壳
一般的压缩壳，都有专用的脱壳机，或者 用万能脱壳机也可以，如：procdump。而 加密壳一般很少有脱壳机，必须手动脱 壳手动脱壳----三步 1.查找程序的真正入口点（OEP） 2.抓取内存映像文件 3.输入表重建
脱壳教程_精品文档
脱壳教程标题：脱壳教程引言：脱壳是指将软件或应用程序的包装层（也称为保护壳或加密层）移除，以便对其进行更深入的分析、修改或逆向工程。
脱壳过程可以帮助软件开发人员或安全研究人员理解程序的内部运行机制，发现其中的漏洞或者进行优化改进。
本文将介绍脱壳过程的基本原理和几种常见的脱壳工具以及其使用方法。
一、脱壳的基本原理脱壳的基本原理是通过破解或绕过软件的保护机制来移除保护壳。
保护机制通常包括各种检测和防御技术，如代码混淆、加壳、逆向工程等。
常见的保护壳有UPX、ASProtect、Enigma等。
脱壳的过程涉及对程序进行调试、分析和修改。
二、脱壳工具介绍及使用方法1. OllyDbgOllyDbg是一款著名的逆向工程和调试工具，也是脱壳过程中经常使用的工具之一。
它具有强大的调试和反汇编功能，可以帮助分析程序的执行流程、内存变化等。
使用OllyDbg进行脱壳时，首先需要加载待脱壳的程序，然后设置断点，跟踪程序执行，找到关键的保护机制的位置，最终移除保护壳。
2. IDA ProIDA Pro是一款功能强大的反汇编和逆向工程工具。
它可以将程序转换为易读的汇编代码，并提供强大的导航和分析功能。
脱壳时可以使用IDA Pro来分析和修改程序的内存和代码。
它可以帮助找到程序的入口点、解密过程等，从而移除保护壳。
3. x64dbgx64dbg是一款开源的调试器工具，适用于32位和64位的Windows系统。
它具有用户友好的界面和丰富的调试功能，并支持脱壳过程中的动态调试和反调试技术。
使用x64dbg进行脱壳时，可以跟踪程序的执行流程、查看内存变化，找到关键代码并进行修改。
三、脱壳过程示例以某款加壳的软件为例，介绍基本的脱壳过程。
1. 加载待脱壳的程序到脱壳工具中，并设置断点。
2. 运行程序，在断点处停下来，观察程序的状态和执行流程。
3. 跟踪程序的执行，查找关键的保护机制位置，例如解密函数、保护壳的入口等。
4. 分析并修改程序的内存和代码，移除保护壳。
去壳的步骤 六
去壳的步骤六如何将EXE安装文件脱壳和破解--之解决办法步骤1 检测壳壳的概念：所谓“壳”就是专门压缩的工具。
这里的压缩并不是我们平时使用的RAR、ZIP这些工具的压缩，壳的压缩指的是针对exe、com、和dll等程序文件进行压缩，在程序中加入一段如同保护层的代码，使原程序文件代码失去本来面目，从而保护程序不被非法修改和反编译，这段如同保护层的代码，与自然界动植物的壳在功能上有很多相似的地方，所以我们就形象地称之为程序的壳。
壳的作用：1.保护程序不被非法修改和反编译。
2.对程序专门进行压缩，以减小文件大小，方便传播和储存。
壳和压缩软件的压缩的区别是压缩软件只能够压缩程序而经过壳压缩后的exe、com和dll等程序文件可以跟正常的程序一样运行下面来介绍一个检测壳的软件PEID v0.92这个软件可以检测出450种壳新版中增加病毒扫描功能，是目前各类查壳工具中，性能最强的。
另外还可识别出EXE文件是用什么语言编写的VC++、Delphi、VB或Delphi 等。
支持文件夹批量扫描我们用PEID对easymail.exe进行扫描找到壳的类型了UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo说明是UPX的壳下面进行步骤2 脱壳对一个加了壳的程序，去除其中无关的干扰信息和保护限制，把他的壳脱去，解除伪装，还原软件本来的面目。
这个过程就叫做脱壳。
脱壳成功的标志脱壳后的文件正常运行，功能没有损耗。
还有一般脱壳后的文件长度都会大于原文件的长度。
即使同一个文件，采用不同的脱壳软件进行脱壳，由于脱壳软件的机理不通，脱出来的文件大小也不尽相同。
关于脱壳有手动脱壳和自动脱壳自动脱壳就是用专门的脱壳机脱很简单按几下就OK了手动脱壳相对自动脱壳需要的技术含量微高这里不多说了UPX是一种很老而且强大的壳不过它的脱壳机随处就能找到UPX本身程序就可以通过UPX 文件名－d来解压缩不过这些需要的命令符中输入优点方便快捷缺点DOS界面为了让大家省去麻烦的操作就产生了一种叫UPX SHELL的外壳软件UPX SHELL v3.09UPX 外壳程序！目的让UPX的脱壳加壳傻瓜化注：如果程序没有加壳那么我们就可以省去第二步的脱壳了，直接对软件进行分析了。
壳是什么
壳是什么？脱壳又是什么？这是很多经常感到迷惑和经常提出的问题，其实这个问题一点也不幼稚。
当你想听说脱壳这个名词并试着去了解的时候，说明你已经在各个安全站点很有了一段日子了。
下面，我们进入“壳”的世界吧。
一、金蝉脱壳的故事我先想讲个故事吧。
那就是金蝉脱壳。
金蝉脱壳属于三十六计中的混战计。
金蝉脱壳的本意是：寒蝉在蜕变时，本体脱离皮壳而走，只留下蝉蜕还挂在枝头。
此计用于军事，是指通过伪装摆脱敌人，撤退或转移，以实现我方的战略目标的谋略。
稳住对方，撤退或转移，决不是惊慌失措，消极逃跑，而是保留形式，抽走内容，稳住对方，使自己脱离险境达到己方战略目标，己方常常可用巧妙分兵转移的机会出击另一部分敌人。
三国时期，诸葛亮六出祁山，北伐中原，但一直未能成功，终于在第六次北伐时，积劳成疾，在五丈原病死于军中。
维遵照诸葛亮的吩咐，在诸葛亮死后，秘不发丧，对外严密封锁消息。
他带着灵柩，秘密率部撤退。
司马懿派部队跟踪追击蜀军。
姜维命工匠仿诸葛亮摸样，雕了一个木人，羽扇纶巾，稳坐车中。
并派杨仪率领部分人马大张旗鼓，向魏军发动进攻。
魏军远望蜀军，军容整齐，旗鼓大张，又见诸葛亮稳坐车中，指挥若定，不知蜀军又耍什么花招，不敢轻举妄动。
司马懿一向知道诸葛亮“诡计多端”，又怀疑此次退兵乃是诱敌之计，于是命令部队后撤，观察蜀军动向。
姜维趁司马懿退兵的大好时机，马上指挥主力部队，迅速安全转移，撤回汉中。
等司马懿得知诸葛亮已死，再进兵追击，为时已晚。
相信这个故事，大家在大型连续剧《三国演义》里已经看过了。
呵呵，只是没有理解得这么深入罢了！而在黑客入侵技术中，金蝉脱壳则是指：删除系统运行日志攻击者攻破系统后，常删除系统运行日志，隐藏自己的痕迹...呵呵二、壳，脱壳，加壳在自然界中，我想大家对壳这东西应该都不会陌生了，由上述故事，我们也可见一斑。
自然界中植物用它来保护种子，动物用它来保护身体等等。
同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。
壳,加壳,脱壳,介绍壳的一些基本常识
壳,加壳,脱壳,介绍壳的一些基本常识免杀入门 2009-08-06 16:58 阅读7 评论0 字号：大大中中小小在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。
它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。
就像动植物的壳一般都是在身体外面一样理所当然（但后来也出现了所谓的“壳中带籽”的壳）。
由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，大家就把这样的程序称为“壳”了。
就像计算机病毒和自然界的病毒一样，其实都是命名上的方法罢了。
从功能上抽象，软件的壳和自然界中的壳相差无几。
无非是保护、隐蔽壳内的东西。
而从技术的角度出发，壳是一段执行于原始程序前的代码。
原始程序的代码在加壳的过程中可能被压缩、加密……。
当加壳后的文件执行时，壳－这段代码先于原始程序运行，他把压缩、加密后的代码还原成原始程序代码，然后再把执行权交还给原始代码。
软件的壳分为加密壳、压缩壳、伪装壳、多层壳等类，目的都是为了隐藏程序真正的OEP（入口点，防止被破解）。
关于“壳”以及相关软件的发展历史请参阅吴先生的《一切从“壳”开始》。
（一）壳的概念作者编好软件后，编译成exe可执行文件。
1.有一些版权信息需要保护起来，不想让别人随便改动，如作者的姓名，即为了保护软件不被破解，通常都是采用加壳来进行保护。
2.需要把程序搞的小一点，从而方便使用。
于是，需要用到一些软件，它们能将exe可执行文件压缩，3.在黑客界给木马等软件加壳脱壳以躲避杀毒软件。
实现上述功能，这些软件称为加壳软件。
（二）加壳软件最常见的加壳软件ASPACK ，UPX，PEcompact 不常用的加壳软件WWPACK32；PE-PACK ；PETITE NEOLITE （三）侦测壳和软件所用编写语言的软件因为脱壳之前要查他的壳的类型。
1.侦测壳的软件fileinfo.exe 简称fi.exe（侦测壳的能力极强）。
2.侦测壳和软件所用编写语言的软件language.exe（两个功能合为一体，很棒），推荐language2000中文版（专门检测加壳类型）。
壳的工作原理及手动脱壳的方法
壳的工作原理及手动脱壳的方法)1)Entry Point(入口点)PE格式的可执行文件的执行时的入口点，即是PE格式中的Entry Point。
用PEditor或者LordPE之类的PE查看工具看看NotePad.exe，你就会看到Entry Point的值。
也就是说NotePad.exe在执行时的第一行代码的地址应该就是这个值。
（当然应该加上基地址）2)Section(节区)PE格式文件是按节区进行规划组织的，不同的节区一般保存的数据的作用也不相同。
通常使用缺省方式编译的程序文件，有CODE/DATA/TLS/.text/.data/.tls/.rsrc/.rdata/.edata/.reloc等不同的名称，有的用于保存程序代码，如CODE和.text节区，有的用于保存程序中的变量的，如DATA/.data节区，有的保存重定位信息，如.reloc，有的用于保存资源数据，如.rsrc。
等等等等，当然这是缺省情况下编译器产生的结构。
而节区名称和节区中的数据其实没有必然的联系，节区中保存的数据也没有什么硬性的限制。
所以你可以在编译时用开关参数改变这些情况。
3)ImageBase(基地址)不仅程序文件按节区规划，而且程序文件在运行时Windows系统也是按节区加载的。
那么每一块的节区的顺序如何？起始的地址是什么呢？这就由基地址决定。
在程序的文件头部保存了每个节区的描述信息，比如有前面提到的节区名称，还有节区的大小，以及节区的相对虚拟地址(RVA)。
如果我们把节区的相对虚拟地址(RVA)加上基地址(ImageBase)就可以知道节区在内存中的虚拟地址(VA)了。
Windows系统就是按照这个要求来加载各个节区的。
这样Windows系统依次把各个节区放到了它相应的虚拟地址空间。
所以如果我们把相对虚拟地址（RVA)看成是坐标的偏移量的话，那么ImageBase就是原点了。
有了这个原点，一切都简单了。
好了有了简要的介绍，我们来看看壳的加载过程吧。
脱壳入门
脱壳教程第1-4篇（转载）脱壳教程1：认识脱壳一切从“壳”开始首先大家应该先明白“壳”的概念。
在自然界中，大家对壳这东西应该都不会陌生了，植物用它来保护种子，动物用它来保护身体等等。
同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。
它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。
就像动植物的壳一般都是在身体外面一样理所当然（但后来也出现了所谓的“壳中带籽”的壳）。
由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，大家就把这样的程序称为“壳”了。
就像计算机病毒和自然界的病毒一样，其实都是命名上的方法罢了。
最早提出“壳”这个概念的，据我所知，应该是当年推出脱壳软件RCOPY 3 的作者熊焰先生。
在几年前的DOS 时代，“壳”一般都是指磁盘加密软件的段加密程序，可能是那时侯的加密软件还刚起步不久吧，所以大多数的加密软件（加壳软件）所生成的“成品”在“壳”和需要加密的程序之间总有一条比较明显的“分界线”。
有经验的人可以在跟踪软件的运行以后找出这条分界线来，至于这样有什么用这个问题，就不用我多说了。
但毕竟在当时，甚至现在这样的人也不是很多，所以当RCOPY3 这个可以很容易就找出“分界线”，并可以方便的去掉“壳”的软件推出以后，立即就受到了很多人的注意。
老实说，这个我当年在《电脑》杂志看到广告，在广州电脑城看到标着999元的软件，在当时来说，的确是有很多全新的构思，单内存生成EXE 可执行文件这项，就应该是世界首创了。
但它的思路在程序的表现上我认为还有很多可以改进的地方（虽然后来出现了可以加强其功力的RO97），这个想法也在后来和作者的面谈中得到了证实。
在这以后，同类型的软件想雨后春笋一般冒出来，记得住名字的就有：UNKEY、MSCOPY、UNALL .... 等等，但很多的软件都把磁盘解密当成了主攻方向，忽略了其它方面，当然这也为以后的“密界克星”“解密机器”等软件打下了基础，这另外的分支就不多祥谈了，相信机龄大一点的朋友都应该看过当时的广告了。
脱壳知识——精选推荐
脱壳知识什么是壳因为许多软件为了保护⾃⼰的软件不被和修改，通常会加壳，代码加密，增加破解的难度，从⽽达到保护软件的⽬的。
⾸先⼤家应该先明⽩“壳”的概念。
在⾃然界中，我想⼤家对壳这东西应该都不会陌⽣了，植物⽤它来保护种⼦，动物⽤它来保护⾝体等等。
同样，在⼀些计算机软件⾥也有⼀段专门负责保护软件不被⾮法修改或反编译的程序。
它们⼀般都是先于程序运⾏，拿到控制权，然后完成它们保护软件的任务。
举个例⼦，核桃⼤家都知道吧，想要吃到⾥⾯的⾁，就必须得先打开核桃外⾯那⼀层坚硬的壳，同样，外⾯想要看到⼀个程序的内部逻辑代码，就要脱掉外⾯的⼀层壳。
程序作者在编好软件后，编译成exe可执⾏⽂件。
有⼀些版权信息需要保护起来，不想让别⼈随便改动，如作者的姓名，即为了保护软件不被破解，通常都是采⽤加壳来进⾏保护。
需要把程序搞的⼩⼀点，缩⼩程序的体积，减少内存容量，从⽽⽅便使⽤。
于是，需要⽤到⼀些软件，它们能将exe可执⾏⽂件压缩，在⿊客界给⽊马等软件加壳以躲避杀毒软件。
实现上述功能，这些称为加壳。
⾃然有加壳就会有脱壳。
为什么要脱壳脱壳是为了能够学习⼀个软件的程序设计逻辑，达到我们想要的⽬的。
如果不脱壳，我们就不能够了解软件的逻辑，也就⽆法得到源代码，也就⽆法破解⼀个软件，也就不会有这篇⽂章了。
我们拿到⼀个软件想要了解它的编程逻辑，那么我们就需要对它进⾏反汇编，当然有壳，也必须先脱壳（有些软件也可以不脱壳破解）。
如果我们需要对⼀个病毒或者⽊马进⾏分析，也是需要脱壳的，如果病毒⽊马不加壳，早被杀毒软件杀掉了。
⼀些常见的壳1、aspack壳2.caspr2、upx壳3、PEcompact壳等等...我们要脱壳，就需要⽤到⼀些汇编的指令，这是必须的，如果不懂汇编指令的话，那么就⽆法进⾏软件的脱壳了。
下⾯我就来介绍破解需要的⼀些主要的汇编指令⼀、数据传输指令───────────────────────────────────────它们在存贮器和寄存器、寄存器和输⼊输出端⼝之间传送数据.1. 通⽤数据传送指令.MOV 传送字或字节.MOVSX 先符号扩展,再传送.MOVZX 先零扩展,再传送.PUSH 把字压⼊堆栈.POP 把字弹出堆栈.PUSHA 把AX,CX,DX,BX,SP,BP,SI,DI依次压⼊堆栈.POPA 把DI,SI,BP,SP,BX,DX,CX,AX依次弹出堆栈.PUSHAD 把EAX,ECX,EDX,EBX,ESP,EBP,ESI,EDI依次压⼊堆栈.POPAD 把EDI,ESI,EBP,ESP,EBX,EDX,ECX,EAX依次弹出堆栈.BSWAP 交换32位寄存器⾥字节的顺序XCHG 交换字或字节.( ⾄少有⼀个操作数为寄存器,段寄存器不可作为操作数)CMPXCHG ⽐较并交换操作数.( 第⼆个操作数必须为累加器AL/AX/EAX )XADD 先交换再累加.( 结果在第⼀个操作数⾥ )XLAT 字节查表转换.── BX 指向⼀张 256 字节的表的起点, AL 为表的索引值 (0-255,即0-FFH); 返回 AL 为查表结果. ( [BX+AL]->AL )2. 输⼊输出端⼝传送指令.IN I/O端⼝输⼊. ( 语法: IN 累加器, {端⼝号│DX} )OUT I/O端⼝输出. ( 语法: OUT {端⼝号│DX},累加器 )输⼊输出端⼝由⽴即⽅式指定时, 其范围是 0-255; 由寄存器 DX 指定时,其范围是 0-65535.3. ⽬的地址传送指令.LEA 装⼊有效地址.例: LEA DX,string ;把偏移地址存到DX.LDS 传送⽬标指针,把指针内容装⼊DS.例: LDS SI,string ;把段地址:偏移地址存到DS:SI.LES 传送⽬标指针,把指针内容装⼊ES.例: LES DI,string ;把段地址:偏移地址存到ES:DI.LFS 传送⽬标指针,把指针内容装⼊FS.例: LFS DI,string ;把段地址:偏移地址存到FS:DI.LGS 传送⽬标指针,把指针内容装⼊GS.例: LGS DI,string ;把段地址:偏移地址存到GS:DI.LSS 传送⽬标指针,把指针内容装⼊SS.例: LSS DI,string ;把段地址:偏移地址存到SS:DI.4. 标志传送指令.LAHF 标志寄存器传送,把标志装⼊AH.SAHF 标志寄存器传送,把AH内容装⼊标志寄存器.PUSHF 标志⼊栈.POPF 标志出栈.PUSHD 32位标志⼊栈.POPD 32位标志出栈.⼆、算术运算指令───────────────────────────────────────ADD 加法.ADC 带进位加法.INC 加 1.AAA 加法的ASCII码调整.DAA 加法的⼗进制调整.SUB 减法.SBB 带借位减法.DEC 减 1.NEC 求反(以 0 减之).CMP ⽐较.(两操作数作减法,仅修改标志位,不回送结果).AAS 减法的ASCII码调整.DAS 减法的⼗进制调整.MUL ⽆符号乘法.IMUL 整数乘法.以上两条,结果回送AH和AL(字节运算),或DX和AX(字运算),AAM 乘法的ASCII码调整.DIV ⽆符号除法.IDIV 整数除法.以上两条,结果回送:商回送AL,余数回送AH, (字节运算);或商回送AX,余数回送DX, (字运算).AAD 除法的ASCII码调整.CBW 字节转换为字. (把AL中字节的符号扩展到AH中去)CWD 字转换为双字. (把AX中的字的符号扩展到DX中去)CWDE 字转换为双字. (把AX中的字符号扩展到EAX中去)CDQ 双字扩展. (把EAX中的字的符号扩展到EDX中去)三、逻辑运算指令───────────────────────────────────────AND 与运算.OR 或运算.XOR 异或运算.NOT 取反.TEST 测试.(两操作数作与运算,仅修改标志位,不回送结果).SHL 逻辑左移.SAL 算术左移.(=SHL)SHR 逻辑右移.SAR 算术右移.(=SHR)ROL 循环左移.ROR 循环右移.RCL 通过进位的循环左移.RCR 通过进位的循环右移.以上⼋种移位指令,其移位次数可达255次.移位⼀次时, 可直接⽤操作码. 如 SHL AX,1.移位>1次时, 则由寄存器CL给出移位次数.如 MOV CL,04SHL AX,CL四、串指令─────────────────────────────────────── DS:SI 源串段寄存器 :源串变址.ES:DI ⽬标串段寄存器:⽬标串变址.CX 重复次数计数器.AL/AX 扫描值.D标志 0表⽰重复操作中SI和DI应⾃动增量; 1表⽰应⾃动减量. Z标志⽤来控制扫描或⽐较操作的结束.MOVS 串传送.( MOVSB 传送字符. MOVSW 传送字. MOVSD 传送双字. ) CMPS 串⽐较.( CMPSB ⽐较字符. CMPSW ⽐较字. )SCAS 串扫描.把AL或AX的内容与⽬标串作⽐较,⽐较结果反映在标志位.LODS 装⼊串.把源串中的元素(字或字节)逐⼀装⼊AL或AX中.( LODSB 传送字符. LODSW 传送字. LODSD 传送双字. )STOS 保存串.是LODS的逆过程.REP 当CX/ECX<>0时重复.REPE/REPZ 当ZF=1或⽐较结果相等,且CX/ECX<>0时重复.REPNE/REPNZ 当ZF=0或⽐较结果不相等,且CX/ECX<>0时重复.REPC 当CF=1且CX/ECX<>0时重复.REPNC 当CF=0且CX/ECX<>0时重复.五、程序转移指令─────────────────────────────────────── 1>⽆条件转移指令 (长转移)JMP ⽆条件转移指令CALL 过程调⽤RET/RETF过程返回.2>条件转移指令 (短转移,-128到+127的距离内)( 当且仅当(SF XOR OF)=1时,OP1<OP2 )JA/JNBE 不⼩于或不等于时转移.JAE/JNB ⼤于或等于转移.JB/JNAE ⼩于转移.JBE/JNA ⼩于或等于转移.以上四条,测试⽆符号整数运算的结果(标志C和Z).JG/JNLE ⼤于转移.JGE/JNL ⼤于或等于转移.JL/JNGE ⼩于转移.JLE/JNG ⼩于或等于转移.以上四条,测试带符号整数运算的结果(标志S,O和Z).JE/JZ 等于转移.JNE/JNZ 不等于时转移.JC 有进位时转移.JNC ⽆进位时转移.JNO 不溢出时转移.JNP/JPO 奇偶性为奇数时转移.JNS 符号位为 "0" 时转移.JO 溢出转移.JP/JPE 奇偶性为偶数时转移.JS 符号位为 "1" 时转移.3>循环控制指令(短转移)LOOP CX不为零时循环.LOOPE/LOOPZ CX不为零且标志Z=1时循环.LOOPNE/LOOPNZ CX不为零且标志Z=0时循环.JCXZ CX为零时转移.JECXZ ECX为零时转移.4>中断指令INT 中断指令INTO 溢出中断IRET 中断返回5>处理器控制指令HLT 处理器暂停, 直到出现中断或复位信号才继续.WAIT 当芯⽚引线TEST为⾼电平时使CPU进⼊等待状态.ESC 转换到外处理器.LOCK 封锁总线.NOP 空操作.STC 置进位标志位.CLC 清进位标志位.CMC 进位标志取反.STD 置⽅向标志位.CLD 清⽅向标志位.STI 置中断允许位.CLI 清中断允许位.其实上⾯我们⽤到的也就主要有⼀些赋值指令和⼀些跳转指令⽽已，⼤部分我们⽬前是⽤不到的。
病毒加壳和脱壳技术详解
（ ） Ｐ ｏｅｔ ａ ａｋ 次 之 ， 外 的 ２ ＡＳ ｒｔｃ＋ ｓ ｃ ： ｐ 国 软 件 多 用 它 加 壳 ，脱 壳 时 需 要 用 到 ｓ Ｔ ｃ Ｉ Ｅ ｕＭ Ｐ ０Ｆ Ｉ Ｅ＋ ｃ Ｄ ，需 要 一 定 的 专 业 知识 ， 最新版现在暂 时没有办法。 但 （） ｘ ３ Ｕｐ ：可 以 用 ＵＰ 本 身 来 脱 Ｘ 壳 ， 要 注 意 版 本 是 否 一 致 ， 一 参 但 用 Ｄ 数。 （ ）＿ ｄｌ 可 以 用 Ｓ Ｔ Ｃ ４ Ａ ｍａ ｉ ： ｒ ｌ ＯＦ Ｉ Ｅ＋ ＩＥ Ｃ ＤＵＭＰ脱 壳 ， 比较 烦 。 （） ｐ ：国 内 比 较 好 的 加 密软 ５ Ｄｂ ｅ 件 ， 版 本 暂 时 不 能 脱 ， 可 以破 解 。 新 但 （ ） ｏ ｉ ： 以 用 自己 来 脱 壳 。 ６ Ｎｅ Ｌｔ 可 ｅ
（ ＰｒＶ１１一 ． 有 效 ） Ｒａ （只 对 ＡＳ ． Ｖ１２ ， ｄ
时 ， 一这 段 代 码 先 于 原 始 程 序 运 行 ， 壳 他 把 压 缩 、加 密 后 的 代 码 还 原 成 原 始
程 序 代 码 ，然 后 再 把 执 行 权 交 还 给 原 始 代 码 。 软 件 的 壳 分 为 加 密 壳 、 缩 压
安 全 咖 啡 屋
ｎ 翻 嘲 嘲 踊 硼 嘲 啦 翘 礤 鼹 计 鼻 Ｌ 向 蓍 睁 训 蒜ｆ 生 『 酒
／
瘸霉赫蠢 稳麟藏技 详 解
１什 么 是 壳 ： 数学运算 ， 可执行程 序文件或动态链 将 文件 分析 工具 （ 测 壳 的 类 型 ） 侦 ：
计 算 机 软 件 里 有 一 段 专 门 负 责 保 护 软 件 不 被 非 法 修 改 或 反 编 译 的 程 序 。 们 一 般 都 是 先 于 程 序 运 行 。 到 它 拿 控 制 权 ，然 后 完 成 它 们 保 护 软 件 的 任
(完整版)常见几种脱壳方法(可编辑修改word版)
----------------<小 A 分>----------------一、概论壳出于程序作者想对程序资源压缩、注册保护的目的，把壳分为压缩壳和加密壳(强壳)两种"UPX" "ASPCAK" "TELOCK" "PELITE" "NSPACK(北斗)" ... "ARMADILLO" "ASPROTECT" "ACPROTECT" "EPE(王)" "SVKP" ...顾名思义，压缩壳只是为了减小程序体积对资源进行压缩，加密壳是程序输入表等等进行加密保护。
当然加密壳的保护能力要强得多！-----------<小 A 分割线>-------------二、工具的认识OllyDBG ring3 shell 层级别的动态编译工具、PEid、ImportREC、LordPE、softIce ring0 级别调试工具-------------<小 A 分割>-------------------三、常见手动脱壳方法预备知识1.P USHAD （入栈/压栈）代表程序的入口点,2.P OPAD （弹栈/出栈）代表程序的出口点，与 PUSHAD 想对应，一般找到这个OEP 就在附近3.O EP：程序的入口点，软件加壳就是隐藏了 OEP（或者用了假的 OEP/FOEP），只要我们找到程序真正的 OEP，就可以立刻脱壳。
------------<小 A 分割线>--------------------方法一：单步跟踪法1.用OD 载入，点“不分析代码！”2.单步向下跟踪 F8，实现向下的跳。
也就是说向上的跳不让其实现！（通过F4）3.遇到程序往回跳的（包括循环），我们在下一句代码处按 F4（或者右健单击代码，选择断点——>运行到所选）4.绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现！5.如果刚载入程序，在附近就有一个 CALL 的，我们就 F7 跟进去，不然程序很容易跑飞，这样很快就能到程序的 OEP6.在跟踪的时候，如果运行到某个 CALL 程序就运行的，就在这个 CALL 中F7 进入7.一般有很大的跳转（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN 的一般很快就会到程序的 OEP。
壳加壳脱壳介绍壳的一些基本常识
壳加壳脱壳介绍壳的一些基本常识壳是计算机领域中的一个术语，它指的是对可执行文件进行封装或保护的一种技术方法。
壳通过在可执行文件中添加一些额外的功能，或者对文件进行加密和混淆，来防止程序被破解、修改或复制。
壳可以分为加壳和脱壳两个方面。
加壳是指在可执行文件的外部包裹一层壳，壳可以是自己编写的程序代码，也可以是现有的壳程序。
加壳的目的是增强程序的安全性，使破解者难以通过逆向工程的方式分析、修改或复制可执行文件。
加壳壳通常会在执行可执行文件时先将文件解压缩或解密成原始的可执行文件，然后再执行该文件。
加壳壳中还可以添加一些功能，如代码调试、反调试、防止内存修改等。
加壳壳还可以选择将部分或全部的代码进行混淆，使得反汇编或逆向分析更加困难。
脱壳是指将加壳的可执行文件恢复成原始的可执行文件。
脱壳是反加壳的过程，可以通过逆向工程等方法来进行。
脱壳可以用于研究加壳技术、分析壳的实现方式以及绕过壳进行破解。
脱壳既可以是为了学习和研究的目的，也可以是为了绕过软件的保护措施进行非法操作。
因此，在一些情况下，脱壳也可能构成侵权行为。
壳技术在软件保护和安全领域有着广泛的应用。
它可以保护软件版权，防止软件被未授权的用户使用和复制。
壳还可以加固软件的安全性，防止软件被破解、修改和滥用。
壳也可以实现程序的试用期限制、授权验证和网络授权等功能。
壳技术的发展与软件逆向工程的发展和对抗密切相关。
随着逆向工程技术的不断成熟和发展，对壳的破解和绕过也变得越来越容易。
因此，壳厂商也会不断改进和更新壳的技术，以适应逆向工程的挑战。
现如今，一些高级的壳技术已经能够有效地抵御逆向工程和破解行为。
总的来说，壳是一种对可执行文件进行封装和保护的技术方法，可以增强软件的安全性和防止软件的破解、修改和复制。
加壳是指在可执行文件中添加一层外壳，脱壳是将加壳的文件恢复成原始的可执行文件。
壳技术在软件保护和安全领域有着重要的应用，但也面临着逆向工程的挑战。
壳技术的发展与逆向工程技术的发展密切相关，双方在不断的博弈和对抗中推动着彼此的进步。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、概论
壳出于程序作者想对程序资源压缩、注册保护的目的，把壳分为压缩壳和加密壳两种
UPX ASPCAK TELOCK PELITE NSPACK ...
ARMADILLO ASPROTECT ACPROTECT EPE SVKP ...
顾名思义，压缩壳只是为了减小程序体积对资源进行压缩，加密壳是程序输入表等等进行加密保护。
当然加密壳的保护能力要强得多！
二、常见脱壳方法
预备知识
1.PUSHAD （压栈）代表程序的入口点,
2.POPAD （出栈）代表程序的出口点，与PUSHAD想对应，一般找到这个OEP就在附近
3.OEP：程序的入口点，软件加壳就是隐藏了OEP（或者用了假的OEP/FOEP），只要我们找到程序真正的OEP，就可以立刻脱壳。
方法一：单步跟踪法
1.用OD载入，点“不分析代码！”
2.单步向下跟踪F8，实现向下的跳。
也就是说向上的跳不让其实现！（通过F4）
3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）
4.绿色线条表示跳转没实现，不用理会，红色线条表示跳转已经实现！
5.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易跑飞，这样很快就能到程序的OEP
6.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入
7.一般有很大的跳转（大跨段），比如jmp XXXXXX 或者JE XXXXXX 或者有RETN的一般很快就会到程序的OEP。
在有些壳无法向下跟踪的时候，我们可以在附近找到没有实现的大跳转，右键-->“跟随”,然后F2下断，Shift+F9运行停在“跟随”的位置，再取消断点，继续F8单步跟踪。
一般情况下可以轻松到达OEP！
方法二：ESP定律法
ESP定理脱壳（ESP在OD的寄存器中，我们只要在命令行下ESP的硬件访问断点，就会一下来到程序的OEP了！）
1.开始就点F8，注意观察OD右上角的寄存器中ESP有没突现（变成红色）。
（这只是一般情况下，更确切的说我们选择的ESP值是关键句之后的第一个ESP值）
2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)，按回车！
3.选中下断的地址，断点--->硬件访--->WORD断点。
4.按一下F9运行程序，直接来到了跳转处，按下F8，到达程序OEP。
方法三：内存镜像法
1：用OD打开软件！
2：点击选项——调试选项——异常，把里面的忽略全部√上！CTRL+F2重载下程序！3：按ALT+M,打开内存镜象，找到程序的第一个.rsrc.按F2下断点，然后按SHIFT+F9运行到断点，接着再按ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE（也就是00401000处），按F2下断点！然后按SHIFT+F9（或者是在没异常情况下按F9），直接到达程序OEP！
方法四：“SFX”法
1：设置OD，忽略所有异常，也就是说异常选项卡里面都打上勾
2：切换到SFX选项卡，选择“字节模式跟踪实际入口（速度非常慢）”，确定。
3：重载程序（如果跳出是否“压缩代码？”选择“否”，OD直接到达OEP）
技术总结：
1，要掌握壳的概念。
理解加密壳和压缩壳的区别
2，熟悉我给大家介绍的几种脱壳方法
3，多练习多实践！。