一.

Q:

1.PUSHAD （壓棧） 代表程序的入口點(diǎn),

2.POPAD （出棧） 代表程序的出口點(diǎn)，與PUSHAD想對(duì)應(yīng)，一般找到這個(gè)OEP就在附近

3.OEP：程序的入口點(diǎn)，軟件加殼就是隱藏了OEP（或者用了假的OEP/FOEP），只要我們找到程序真正的OEP，就可以立刻脫殼。

A:

這是因?yàn)榧託こ绦蛞彩且粋€(gè)函數(shù), 而函數(shù)的開(kāi)始與結(jié)束的標(biāo)志就是壓棧和出棧, 當(dāng)加殼程序截止的時(shí)候差不多也是原程序的入口點(diǎn)了.

?

二.

Q:

方法一：單步跟蹤法

1.用OD載入，點(diǎn)“不分析代碼！”

2.單步向下跟蹤F8，實(shí)現(xiàn)向下的跳。也就是說(shuō)向上的跳不讓其實(shí)現(xiàn)！（通過(guò)F4）

3.遇到程序往回跳的（包括循環(huán)），我們?cè)谙乱痪浯a處按F4（或者右健單擊代碼，選擇斷點(diǎn)——>運(yùn)行到所選）

4.綠色線(xiàn)條表示跳轉(zhuǎn)沒(méi)實(shí)現(xiàn)，不用理會(huì)，紅色線(xiàn)條表示跳轉(zhuǎn)已經(jīng)實(shí)現(xiàn)！

5.如果剛載入程序，在附近就有一個(gè)CALL的，我們就F7跟進(jìn)去，不然程序很容易跑飛，這樣很快就能到程序的OEP

6.在跟蹤的時(shí)候，如果運(yùn)行到某個(gè)CALL程序就運(yùn)行的，就在這個(gè)CALL中F7進(jìn)入

7.一般有很大的跳轉(zhuǎn)（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就會(huì)到程序的OEP。

A:

第一課已經(jīng)解釋得很清楚

Q:

Btw:在有些殼無(wú)法向下跟蹤的時(shí)候，我們可以在附近找到?jīng)]有實(shí)現(xiàn)的大跳轉(zhuǎn)，右鍵-->“跟隨”,然后F2下斷，Shift+F9運(yùn)行停在“跟隨”的位置，再取消斷點(diǎn)，繼續(xù)F8單步跟蹤。一般情況下可以輕松到達(dá)OEP！

A:

手動(dòng)讓其跳轉(zhuǎn)

?

?

三.

Q:

方法二：ESP定律法

ESP定理脫殼（ESP在OD的寄存器中，我們只要在命令行下ESP的硬件訪(fǎng)問(wèn)斷點(diǎn)，就會(huì)一下來(lái)到程序的OEP了！）

1.開(kāi)始就點(diǎn)F8，注意觀(guān)察OD右上角的寄存器中ESP有沒(méi)突現(xiàn)（變成紅色）。（這只是一般情況下，更確切的說(shuō)我們選擇的ESP值是關(guān)鍵句之后的第一個(gè)ESP值）

2.在命令行下：dd XXXXXXXX(指在當(dāng)前代碼中的ESP地址，或者是hr XXXXXXXX)，按回車(chē)！

3.選中下斷的地址，斷點(diǎn)--->硬件訪(fǎng)--->WORD斷點(diǎn)。

4.按一下F9運(yùn)行程序，直接來(lái)到了跳轉(zhuǎn)處，按下F8，到達(dá)程序OEP。

A:

原理其實(shí)跟第一點(diǎn)介紹的很像, 殼也是程序, 開(kāi)始?jí)簵?/span>, 結(jié)束出棧. 當(dāng)壓棧后下硬件訪(fǎng)問(wèn)斷點(diǎn), 一旦觸發(fā), 則就是出棧操作造成. 也就是程序的結(jié)尾處.

?

四.

Q:

方法三：內(nèi)存鏡像法

1：用OD打開(kāi)軟件！

2：點(diǎn)擊選項(xiàng)——調(diào)試選項(xiàng)——異常，把里面的忽略全部√上！CTRL+F2重載下程序！

3：按ALT+M,打開(kāi)內(nèi)存鏡象，找到程序的第一個(gè).rsrc.按F2下斷點(diǎn)，然后按SHIFT+F9運(yùn)行到斷點(diǎn)，接著再按ALT+M,打開(kāi)內(nèi)存鏡象，找到程序的第一個(gè).rsrc.上面的.CODE（也就是00401000處），按F2下斷點(diǎn)！然后按SHIFT+F9（或者是在沒(méi)異常情況下按F9），直接到達(dá)程序OEP！

A:

【推測(cè)】 資源加載在代碼執(zhí)行前, 那么先在資源節(jié)下斷是為了跳過(guò)殼程序, 因?yàn)闅こ绦蚩赡軟](méi)有用到資源, 然后再在代碼節(jié)下斷, 說(shuō)明來(lái)到了原程序的入口點(diǎn).

Q:

為什么不直接在代碼節(jié)下斷?

A:

因?yàn)榇a節(jié)前面部分可能是殼程序, 如果直接下斷就到了殼程序的入口點(diǎn).

?

五.

Q:

方法四：一步到達(dá)OEP

1.開(kāi)始按Ctrl+F,輸入：popad（只適合少數(shù)殼，包括UPX，ASPACK殼），然后按下F2，F9運(yùn)行到此處

2.來(lái)到大跳轉(zhuǎn)處，點(diǎn)下F8，到達(dá)OEP！

A:

原理如一所解釋

?

六.

Q:

方法五：最后一次異常法

1：用OD打開(kāi)軟件

2：點(diǎn)擊選項(xiàng)——調(diào)試選項(xiàng)——異常，把里面的√全部去掉！CTRL+F2重載下程序

3：一開(kāi)始程序就是一個(gè)跳轉(zhuǎn)，在這里我們按SHIFT+F9，直到程序運(yùn)行，記下從開(kāi)始按SHIFT+F9到程序運(yùn)行的次數(shù)m！

4：CTRL+F2重載程序，按SHIFT+F9（這次按的次數(shù)為程序運(yùn)行的次數(shù)m-1次）

5：在OD的右下角我們看見(jiàn)有一個(gè)"SE 句柄"，這時(shí)我們按CTRL+G，輸入SE 句柄前的地址！

6：按F2下斷點(diǎn)！然后按SHIFT+F9來(lái)到斷點(diǎn)處！

7：去掉斷點(diǎn)，按F8慢慢向下走！

8：到達(dá)程序的OEP！

A:

【推測(cè)】殼程序會(huì)有很多暗樁,也就是所謂的異常, 跳過(guò)所有的異常即來(lái)到原程序的入口點(diǎn)

?

七.

Q:

方法六：模擬跟蹤法

1：先試運(yùn)行，跟蹤一下程序，看有沒(méi)有SEH暗樁之類(lèi)

2：ALT+M打開(kāi)內(nèi)存鏡像，找到（包含=SFX,imports,relocations）

?

內(nèi)存鏡像，項(xiàng)目 30

地址=0054B000

大小=00002000 (8192.)

Owner=check ???00400000

區(qū)段=.aspack

包含=SFX,imports,relocations

類(lèi)型=Imag 01001002

訪(fǎng)問(wèn)=R

初始訪(fǎng)問(wèn)=RWE

?

3：地址為0054B000，如是我們?cè)诿钚休斎?/span>tc eip<0054B000,回車(chē)，正在跟蹤ing。。

?

Btw:大家在使用這個(gè)方法的時(shí)候，要理解他是要在怎么樣的情況下才可以使用

A:

【推測(cè)】殼程序會(huì)重定位, 那么模擬跟蹤到重定位節(jié)的地址就會(huì)跳過(guò)殼程序的部分代碼, 這樣使得我們單步跟蹤法少了很多步驟

?

八.

Q:

方法七：“SFX”法

1：設(shè)置OD，忽略所有異常，也就是說(shuō)異常選項(xiàng)卡里面都打上勾

2：切換到SFX選項(xiàng)卡，選擇“字節(jié)模式跟蹤實(shí)際入口（速度非常慢）”，確定。

3：重載程序（如果跳出是否“壓縮代碼？”選擇“否”，OD直接到達(dá)OEP）

A:

OD自帶的脫殼插件, 原理不知, 不過(guò)功能有限只能脫一些壓縮殼

轉(zhuǎn)載于:https://www.cnblogs.com/bxdm/p/6793053.html

總結(jié)

以上是生活随笔為你收集整理的第二课 壳的介绍以及脱壳常用思路的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。