逆向分析脱壳技巧总结 2017 年 03 月 09 日 19:35:24 阅读数：233 标签： 脱壳 更多 个人分类： 逆向分析 一.脱壳基础知识要点 1.PUSHAD :（压栈） 代表程序的入口点 2.POPAD :（出栈） 代表程序的出口点，与 PUSHAD 想对应.看到这个,就说明快到 OEP 了. 3.OEP:程序的入口点,软件加壳就是隐藏 OEP.而我们脱壳就是为了找 OEP. --------------------------------------- 二.脱壳调试过程中辨认快到 OEP 的方法 下面二个条件是快到 OEP 的共同现象:若出现下面情况时,说明 OEP 就要到了: 1. OD 跟踪过程中如果发现:popad 、popfd 或 popad 2. 同时,紧接着,有 retn ,jmp 等其它跳转指令,发生跨段跳跃时.说明 OEP 马上到了. --------------------------------------- 三.脱壳必需牢记的要领 1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按 F4,运行到制定代码. 2.刚载入程序,在附近就 call 时,要按 F7 跟进分析. 3.若跟踪时,运行某个 call 程序就运行时,这个 call 也用 F7 进入. 4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有 RETN 同时发生大跨段跳 转时,说明很快就到 OEP 了. --------------------------------------- 四.常用脱壳方法总结： ------------------ 方法一:单步跟踪法 ------------------ 这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟 

踪分析,要有耐心. 1.用 OD 载入,选"不分析代码" 2.单步向下跟踪按 F8，实现向下的跳.不让程序往回跳. 3.遇到程序往回跳的（包括循环），我们在下一句代码处按 F4（或者右健单击代码，选择 断点――>运行到所选） 4.如果刚载入程序，在附近就有一个 CALL 的，我们就 F7 跟进去，不然程序很容易运行. 5.在跟踪的时候，如果运行到某个 CALL 程序就运行的，就在这个 CALL 中 F7 进入. 6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有 RETN 的一 般很快就会到程序的 OEP。 ----------------- 方法二:ESP 定律法 ----------------- ESP 在 OD 的寄存器中,我们只要在命令行下 ESP 的硬件访问断点,就会 一下来到程序 的 OEP 了 1.开始就点 F8,注意观察 OD 右上角的寄存器中 ESP 有没有变成红色(这只是一般情况 下,更确切的说我们选择的 ESP 值是关键句之后的第一个 ESP 值) 2.在命令行下:dd XXXXXXXX(指在当前代码中的 ESP 地址,或者是 hr XXXXXXXX),按回 车 3.选中下断的地址,断点>硬件访问>WORD 断点. 4.按一下 F9 运行程序,直接来到了跳转处,按下 F8,到达程序 OEP. ----------------- 方法三:内存镜像法 ----------------- 是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉. 1.用 OD 打开,设置选项――调试选项――异常,忽略所有异常(也就是把里面的忽略全部√上), 然后 CTRL+F2 重载下程序！ 2.按 ALT+M,打开内存镜象，找到程序的第一个.rsrc.按 F2 下断点，然后按 SHIFT+F9 运行 到断点. 3.接着再按 ALT+M,打开内存镜象，找到程序的第一个.rsrc.上面的.CODE，按 F2 下断点！ 然后按 SHIFT+F9，直接到达程序 OEP！ ----------------- 方法四:命令查找法 ----------------- 脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的 OEP.这种方 法只用于少数壳. 1.开始按 Ctrl+F,输入：popad,然后按下 F2 下断，按 F9 运行到此处. 2.很快来到大跳转,按 F8 向下走,来到 OEP. ----------------- 

方法五:末次异常法 ----------------- 这种方法一般用于加密壳,这是脱加密壳的一种通用方法. 1:用 OD 打开程序,点击选项――调试选项――异常，把里面的√全部去掉！CTRL+F2 重载 下程序. 2:接着我们按 SHIFT+F9,直到程序运行,记下从开始按 SHIFT+F9 到程序运行的次数 n. 3:重载程序,再按 SHIFT+F9,这次按的次数为上次让程序运行时的次数的 n-1 次. 4:此时观察 OD 的右下角有一个"SE 句柄",这时我们按 CTRL+G，输入 SE 句柄前的地址！ 来到这个地址. 5:在这里,按 F2 下断点！然后按 SHIFT+F9 来到断点处！ 6:这时候我们已经跳过了所有异常,然后去掉断点，按 F8 慢慢向下跟踪很快就到达 OEP 了. ----------------- 方法六:SFX 自动脱壳法 ----------------- 1:设置 OD,忽略所有异常,也就是说异常选项卡里面都打上勾 2:切换到 SFX 选项卡,选择"字节模式