第二课 壳的介绍以及脱壳常用思路
一.
Q:
1.PUSHAD （壓棧） 代表程序的入口點,
2.POPAD （出棧） 代表程序的出口點，與PUSHAD想對應，一般找到這個OEP就在附近
3.OEP：程序的入口點，軟件加殼就是隱藏了OEP（或者用了假的OEP/FOEP），只要我們找到程序真正的OEP，就可以立刻脫殼。
A:
這是因為加殼程序也是一個函數, 而函數的開始與結束的標志就是壓棧和出棧, 當加殼程序截止的時候差不多也是原程序的入口點了.
?
二.
Q:
方法一：單步跟蹤法
1.用OD載入，點“不分析代碼！”
2.單步向下跟蹤F8，實現向下的跳。也就是說向上的跳不讓其實現！（通過F4）
3.遇到程序往回跳的（包括循環），我們在下一句代碼處按F4（或者右健單擊代碼，選擇斷點——>運行到所選）
4.綠色線條表示跳轉沒實現，不用理會，紅色線條表示跳轉已經實現！
5.如果剛載入程序，在附近就有一個CALL的，我們就F7跟進去，不然程序很容易跑飛，這樣很快就能到程序的OEP
6.在跟蹤的時候，如果運行到某個CALL程序就運行的，就在這個CALL中F7進入
7.一般有很大的跳轉（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就會到程序的OEP。
A:
第一課已經解釋得很清楚
Q:
Btw:在有些殼無法向下跟蹤的時候，我們可以在附近找到沒有實現的大跳轉，右鍵-->“跟隨”,然后F2下斷，Shift+F9運行停在“跟隨”的位置，再取消斷點，繼續F8單步跟蹤。一般情況下可以輕松到達OEP！
A:
手動讓其跳轉
?
?
三.
Q:
方法二：ESP定律法
ESP定理脫殼（ESP在OD的寄存器中，我們只要在命令行下ESP的硬件訪問斷點，就會一下來到程序的OEP了！）
1.開始就點F8，注意觀察OD右上角的寄存器中ESP有沒突現（變成紅色）。（這只是一般情況下，更確切的說我們選擇的ESP值是關鍵句之后的第一個ESP值）
2.在命令行下：dd XXXXXXXX(指在當前代碼中的ESP地址，或者是hr XXXXXXXX)，按回車！
3.選中下斷的地址，斷點--->硬件訪--->WORD斷點。
4.按一下F9運行程序，直接來到了跳轉處，按下F8，到達程序OEP。
A:
原理其實跟第一點介紹的很像, 殼也是程序, 開始壓棧, 結束出棧. 當壓棧后下硬件訪問斷點, 一旦觸發, 則就是出棧操作造成. 也就是程序的結尾處.
?
四.
Q:
方法三：內存鏡像法
1：用OD打開軟件！
2：點擊選項——調試選項——異常，把里面的忽略全部√上！CTRL+F2重載下程序！
3：按ALT+M,打開內存鏡象，找到程序的第一個.rsrc.按F2下斷點，然后按SHIFT+F9運行到斷點，接著再按ALT+M,打開內存鏡象，找到程序的第一個.rsrc.上面的.CODE（也就是00401000處），按F2下斷點！然后按SHIFT+F9（或者是在沒異常情況下按F9），直接到達程序OEP！
A:
【推測】 資源加載在代碼執行前, 那么先在資源節下斷是為了跳過殼程序, 因為殼程序可能沒有用到資源, 然后再在代碼節下斷, 說明來到了原程序的入口點.
Q:
為什么不直接在代碼節下斷?
A:
因為代碼節前面部分可能是殼程序, 如果直接下斷就到了殼程序的入口點.
?
五.
Q:
方法四：一步到達OEP
1.開始按Ctrl+F,輸入：popad（只適合少數殼，包括UPX，ASPACK殼），然后按下F2，F9運行到此處
2.來到大跳轉處，點下F8，到達OEP！
A:
原理如一所解釋
?
六.
Q:
方法五：最后一次異常法
1：用OD打開軟件
2：點擊選項——調試選項——異常，把里面的√全部去掉！CTRL+F2重載下程序
3：一開始程序就是一個跳轉，在這里我們按SHIFT+F9，直到程序運行，記下從開始按SHIFT+F9到程序運行的次數m！
4：CTRL+F2重載程序，按SHIFT+F9（這次按的次數為程序運行的次數m-1次）
5：在OD的右下角我們看見有一個"SE 句柄"，這時我們按CTRL+G，輸入SE 句柄前的地址！
6：按F2下斷點！然后按SHIFT+F9來到斷點處！
7：去掉斷點，按F8慢慢向下走！
8：到達程序的OEP！
A:
【推測】殼程序會有很多暗樁,也就是所謂的異常, 跳過所有的異常即來到原程序的入口點
?
七.
Q:
方法六：模擬跟蹤法
1：先試運行，跟蹤一下程序，看有沒有SEH暗樁之類
2：ALT+M打開內存鏡像，找到（包含=SFX,imports,relocations）
?
內存鏡像，項目 30
地址=0054B000
大小=00002000 (8192.)
Owner=check ???00400000
區段=.aspack
包含=SFX,imports,relocations
類型=Imag 01001002
訪問=R
初始訪問=RWE
?
3：地址為0054B000，如是我們在命令行輸入tc eip<0054B000,回車，正在跟蹤ing。。
?
Btw:大家在使用這個方法的時候，要理解他是要在怎么樣的情況下才可以使用
A:
【推測】殼程序會重定位, 那么模擬跟蹤到重定位節的地址就會跳過殼程序的部分代碼, 這樣使得我們單步跟蹤法少了很多步驟
?
八.
Q:
方法七：“SFX”法
1：設置OD，忽略所有異常，也就是說異常選項卡里面都打上勾
2：切換到SFX選項卡，選擇“字節模式跟蹤實際入口（速度非常慢）”，確定。
3：重載程序（如果跳出是否“壓縮代碼？”選擇“否”，OD直接到達OEP）
A:
OD自帶的脫殼插件, 原理不知, 不過功能有限只能脫一些壓縮殼
轉載于:https://www.cnblogs.com/bxdm/p/6793053.html
總結
以上是生活随笔為你收集整理的第二课 壳的介绍以及脱壳常用思路的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 七月之思
- 下一篇： 《Access 2007开发指南(修订版