加入收藏 | 设为首页 | 会员中心 | 我要投稿 | 在线留言 | RSS
成网科技业务包括域名空间企业网站制作
 
国际域名com/net/org仅售80元/年
1G独立空间(PHP+MYSQL)仅售600元/年
您当前的位置:首页 > 技术交流 > 网络安全 > 加密解密

破解入门(三)-----脱壳的常用方法介绍

时间:2013-05-22 10:22:55  来源:互联网  作者:代码人生  点击:

什么是壳 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
大家应该先明白“壳”的概念。在自然界中,我想大家对"壳"这东西应该都不会陌生了,植物用它来保护种子,动物用它来保护身体等等。同样,在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行,拿到控制权,然后完成它们保护软件的任务。就像动植物的壳一般都是在身体外面一样理所当然(当然后来也出现了所谓的“壳中带籽”的壳)。由于这段程序和自然界的壳在功能上有很多相同的地方,基于命名的规则,大家就把这样的程序称为“壳”了。就像计算机病毒和自然界的病毒一样,其实都是命名上的方法罢了。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
壳的作用 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
1 写好一个程序后,不想让别人随便更改其中的版权信息,我们可以加壳对其进行保护防止被修改。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
2 可以利用压缩壳减少程序容量,方便程序传播。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
3 帮助木马病毒进行免杀,我们可以直接加壳免杀,也可以脱壳对其代码进行修改从而躲过杀毒软件的查杀。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
脱壳的基础知识 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
1壳是怎么装载的? tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
壳自从加到程序上以后就连在一起了,即对程序进行保护,防止被修改,也就是壳把程序给包裹起来了,而且原程序的数据也被压缩了。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
装载的时候通常是先执行壳后再跳到真正的原程序OEP(程序入口点),这时开始运行原先没加壳的程序。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
运行顺序:执行带壳文件——执行壳——执行到程序入口点——运行未加壳的程序。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
2 壳的分类 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
壳出于程序作者想对程序资源压缩、注册保护的目的,壳一般分为压缩壳和加密壳两类。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
压缩壳:一般只对文件进行压缩处理,既压缩区段和一些资源压缩,以减少文件体积为目的 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
如:ASPack、UPX、PECompact等 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
加密壳:跟压缩壳正好相反,一般是牺牲减少体积为代价,对文件进行加密处理,用上各种反跟踪技术保护程序不被调试、脱壳, tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
如:ASProtect、Armadillo、EXECryptor等 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
但随着加壳技术的发展,这两类壳之间的界限越来越模糊,很多加壳软件既有压缩功能也有保护性能,而且现在很多加密壳达到壳中带肉,肉中带壳的地步了。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
3 OEP (程序入口点) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
OEP:Original Entry Point ,程序加壳前真正的入口点。 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
4 脱壳的基本步骤 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
查壳(PEID、FI、PE-SCAN)--->寻找OEP(OD)--->脱壳/Dump(LordPE、PeDumper、OD自带的脱壳插件、PETools)--->修复(Import REConstructor) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
常用脱壳方法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
1 单步跟踪法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)用OD载入,点“不分析代码” tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2).单步向下跟踪F8,实现向下的跳。也就是说向上的跳不让其实现(通过F4) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选 择断点——>运行到所选) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(4)绿色线条表示跳转没实现,不用理会,红色线条表示跳转已经实现 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(5)如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易跑 飞,这样很快就能到程序的OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(6)在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(7)一般有很大的跳转(大跨段),比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN 的一般很快就会到程序的OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
注:在有些壳无法向下跟踪的时候,我们可以在附近找到没有实现的大跳转,右键-->“跟随”,然后F2下断,Shift+F9运行停在“跟随”的位置,再取消断点,继续F8单步跟踪。一般情况下可以轻松到达OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
2 ESP定律法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
ESP定理脱壳(ESP在OD的寄存器中,我们只要在命令行下ESP的硬件访问断点,就会一下来到程序的OEP了!) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)开始就点F8,注意观察OD右上角的寄存器中ESP有没突现(变成红色)(这只是一 般情况下,更确切的说我们选择的ESP值是关键句之后的第一个ESP值) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者是hr XXXXXXXX), 按回车 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)选中下断的地址,断点--->硬件访--->WORD断点 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(4)按一下F9运行程序,直接来到了跳转处,按下F8,到达程序OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
3内存镜像法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)用OD打开软件 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)点击选项——调试选项——异常,把里面的忽略全部√上。CTRL+F2重载下程序 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)按ALT+M,打开内存镜象,找到程序的第一个.rsrc.按F2下断点,然后按SHIFT+F9运 行到断点,接着再按ALT+M,打开内存镜象,找到程序的第一个.rsrc.上面的.CODE(也 就是00401000处),按F2下断点。然后按SHIFT+F9(或者是在没异常情况下按F9), 直接到达程序OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
4 一步到达OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)开始按Ctrl+F,输入:popad(只适合少数壳,包括UPX,ASPACK壳),然后按下F2, F9运行到此处 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)来到大跳转处,点下F8,到达OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
5 最后一次异常法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)用OD打开软件 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)点击选项——调试选项——异常,把里面的√全部去掉!CTRL+F2重载下程序 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)一开始程序就是一个跳转,在这里我们按SHIFT+F9,直到程序运行,记下从开始按SHIFT+F9到程序运行的次数m tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(4)CTRL+F2重载程序,按SHIFT+F9(这次按的次数为程序运行的次数m-1次) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(5)在OD的右下角我们看见有一个"SE 句柄",这时我们按CTRL+G,输入SE 句柄前的地址 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(6)按F2下断点,然后按SHIFT+F9来到断点处 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(7)去掉断点,按F8慢慢向下走 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(8)到达程序的OEP tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
6 模拟跟踪法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)先试运行,跟踪一下程序,看有没有SEH暗桩之类 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)ALT+M打开内存镜像,找到(包含那一列中出现SFX,imports,relocations或者SFX,输 入表,重定位) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)若地址为00xxxxxx在命令行下输入tc eip<00xxxxxx,回车,提示正在跟踪 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
7 SFX法 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(1)设置OD,忽略所有异常,也就是说异常选项卡里面都打上勾 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(2)切换到SFX选项卡,选择“字节模式跟踪实际入口(速度非常慢)”,确定 tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
(3)重载程序(如果跳出是否“压缩代码?”选择“否”,OD直接到达OEP) tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
tkP成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
成网科技 www.it28.com竭诚为您服务!
开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设_成网科技

更多
 


来顶一下
返回首页
返回首页
发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表
推荐资讯
相关文章
栏目更新
栏目热门