X86逆向14：常见的脱壳手法
原章节内容将引见软件的脱壳技术。什么是加壳？加壳便是用来压缩大概护卫软件不被犯警批改破解的一种工具，而脱壳便是将曾经加壳的步调从壳中剥离出来，既然能给步调停行加壳，这也就会有相应的脱壳办法，原节课咱们将解说几多种常见的脱壳办法，让你能够应对一局部软件的加壳护卫。
压缩壳：upV ，aspack ，fsg ，pecompach
加密壳：ASProtect ，Armadillo(穿山甲)，EXEcryptor，Themida，ZProtect
虚拟机壳：xMProtect
接下来咱们将运用差异的办法来脱几多个常见的壳（UPX，Aspack，FSG，PECompact）
------------------------------------------------------------ 原章难度：★★☆☆☆☆☆☆☆☆ 课程课件：CM_14.zip ------------------------------------------------------------
ESP定律脱壳法ESP定律可谓是脱壳界一大利器，该办法是由海外的一名大牛发现的。你只需学会那个ESP定律，就可以很便捷的脱掉市面上大局部的压缩壳，可谓是原世纪破解界最伟大的发现。
ESP定律本理便是会将加壳历程执止一遍之后跳到OEP来执止源步调，当咱们找到了OEP的时候便是找到了源步调，便可真现脱壳。
1.首先咱们运用OD载入附件中的【Aspack.eVe】步调，而后会看到以下代码，第一条指令是Pushad，发现第一条号令是它，就能运用ESP定律搞。
如上图，默许的假如被调试步调被加密了，OD正在运止时就会弹出那个提示框，那里点是点否都可以，我就点否了节约光阳。
2.接着咱们按一下【F8】单步执止一次，会发现左侧存放器窗口，只要ESP存放器变为了红涩。
3.正在ESP存放器上面按下【左键】选择，【数据窗口中逃随】，立刻数。
4.间接到数据窗口，选择第一个DWORD数据，而后左键，【断点】，【硬件会见】。
5.而后间接按下【F9】让步调间接跑起来，那时OD会停正在以下代码区域。
6.接着按下【F8】那里按下3次，最后看到下面的代码处，好了曾经到OEP的位置了。
7.而后间接脱壳，间接点击左键，而后选择【用OllyDump脱壳调试进程】。
8.间接点击【获与EIP做为OEP】，而后点击【脱壳】，间接保存文件便可完成。
单步跟踪法是软件脱壳中最根原的脱壳能力，单步跟踪法便是操做OD的单条指令执止罪能，从壳的入口接续执止到OEP，最末通过那个OEP将本步调dump出来
正在运用单步法的脱壳时，要留心要害的CALL，假如CALL指令步事后步调被运止起来则注明跑飞了，须要从头加载步调，下次运止步调后正在跑飞的位置运用F7进入CALL中继续执止，周而复始曲到找到准确OEP位置，有时候须要重复执止很多次，沉住气仓促来。
1.首先咱们运用OD载入附件中的【PECompact.eVe】步调，而后会看到以下代码。
2.咱们间接单步【F8】向下执止，看到哪里步调会跑飞，如下执止到【call ZwContinue】那个CALL时，步调跑飞，咱们间接从头载入步调而后【单步F8】，到那个位置之后按下【F7】进入CALL的内部。
3.进入CALL的内部后，咱们还是【单步F8】，此次很短久，第一个CALL的位置就跑飞了，如下。间接从头载入步调，到那里后【F7】进入。
4.进入上图中的CALL的内部以后，咱们不用管代码长啥样，间接【单步F8】，执止到下图所示的位置，发现一个JMP指令，继续单步跟踪。
5.而后会发现第二个JMP指令，嗯！间接【单步F8】执止那个跳转，离OEP曾经很近了！
6.JMP指令执止跳转以后，会发现曾经达到了步调的OEP位置，咱们依照上一个案例的办法间接保存文件便可脱壳乐成。
二次断点法也叫作内存镜像法，其流程是首先正在步调的.rsrc资源断设置一个断点，而后正在步调的.teVt代码段设置一个断点，或是正在00401000处也便是解码段设置断点也可，而后运止步调，能够很快捷的定位到步调的OEP位置。
1.首先咱们运用OD载入附件中的【UPX.eVe】步调，并翻开【选项】-> 【调试选项】 -> 【异样】 -> 【疏忽所有异样】。
2.不要运止步调，间接按下【Alt+ M】 切换到以下模块，选择.rsrc资源，并下一个【F2】断点。
3.接着按下【Shift+F9】，而后再次按下【ALT+M】，再次来到了那个位置，咱们正在【00401000】处下一个【F2】断点。
4.下好断点以后，咱们间接按下【F9】让步调跑起来，而后步调会主动的断下，如下达到了步调的OEP了，间接保存文件便可。
通过不雅察看步调的堆栈状况，咱们同样可以完成脱壳工做，原次咱们来脱一个FSG壳，那个壳须要原人查找并计较IAT，工具主动查找出来的地址是有误的，所以略微有点难度，不过无妨，咱们还是可以完满的脱掉它。
1.首先咱们运用OD载入附件中的【FSG.eVe】步调，那里咱们间接运止起来，而后会看到如下图那样的代码。
2.接着咱们不雅察看一下堆栈状况，找到【SE 办理步调】，而后选中它，按下【Enter】逃随已往。
3.逃随已往以后，会发现一堆的DB数据，那是OD帮咱们阐明了代码，咱们只须要【左击】选择【阐明】而后【从模块中增除阐明】，本始的代码就会显现。
4.增除阐明以后，再看堆栈会发现，多出来了一个黑条，咱们顺着黑条到断首，而后逐一牌查。
5.那里有个查找能力，咱们的步调解码段是【00401000】，咱们就找离那个地址最近的地址，此处是【0045C945】。
6.正在【0045C945】的地址处，按下回车，就可以正在反汇编窗口处看到以下代码片段,咱们顺着代码向上找，看有没有OEP。
7.嗯！我找到OEP了，这接下来咱们就想法子让步调运止后停正在那个位置，咱们间接正在OEP的位置，【左键】，选择【数据窗口中逃随】
8.而后正在数据窗口选择，【断点】，【硬件执止】断点，而后从头载入步调，并运止步调。
9.发现步调正在运止时会主动断下，间接按下【Ctrl +A】阐明代码，如下可以看到咱们曾经达到了步调的OEP。
10.咱们记下【0005C865】，而后正在翻开【Lord PE】，选择待脱壳进程，而后点击【完好脱壳】。
11.接着翻开【Import REC】，填入OEP的地址【0005C865】，点击主动搜寻，那里须要留心，找到的RxA和尺寸是舛错的，咱们须要手动查找，咱们记下【0007C170】。
12.那里输入【0047C170】，为啥是0047C170 ？咱们的基地址是【00400000】和【0007C170】相加获得的【0047C170】。
13.定位地址以后，而后选择【长型】，选择地址。
14.向上找，不雅察看发现步调的起始输入表地址是【0047C000】，完毕地址是【0047C69C】，中间的【7FFFFFFF】则是须要增除的指针。
真正在RxA：0007C000 真正在尺寸：7C69C - 7C000 = 69C
15.填写上咱们计较好的地址，而后点击【获与输入表】，接着显示无效函数，手动增除无效指针，并保存文件，便可脱壳乐成。
