0x00 什么是壳

壳是另外在PE文件中包含的代码，并且不影响PE文件正常的执行。而壳也分为很多种，这里从UPX壳开始介绍。

0x01 压缩壳

压缩的分类

压缩的目的就是将体积大的可执行文件缩小的过程。分为损失压缩和非损失压缩两种。损失压缩是指不能100%还原的压缩，常见的有JPG，MP4等格式。非损失压缩就是可以100%还原的压缩方式，一般有ZIP，7z等格式。

压缩壳

压缩壳的目的就是将PE文件变小。压缩有UPX, ASPack等方式。

Run-Time Packing

将原本的可执行文件的代码和数据压缩之后加入解压代码。压缩后的可执行文件很难进行静态分析。
可执行文件的起始地址称为OEP
压缩后的可执行文件起始地址称为EP

Unpacking

unpacking就是将packing后的可执行文件还原的过程，一般有以下几个步骤。

找出解除压缩时的地址
在压缩后的可执行文件中找出OEP地址
找到OEP地址中断后取得原本可执行文件的内存数据
最后将内存数据以可执行文件的方式重新整合

0x02 实验需要用到的工具

UPX: 用于压缩
https://github.com/upx/upx
OllyDumpEx: 找到OEP后可以直接通过这个工具还原导入表
https://low-priority.appspot.com/ollydumpex/

0x03 开始实验

首先准备个C语言的简单程序

#include<stdio.h>int add(int a, int b) {return a + b;
}int a = 0x11;int main() {printf("Hello World!\n");add(a, 0x22);return 0;
}

找到可执行文件之后拖入DIE后看一下程序大小

然后用UPX加了压缩壳之后的文件进行对比

可以发现经过压缩之后的可执行文件大小缩小了，这里可以用HxD打开看一下。之前的data，bss段等都被UPX0，UPX1代替，只有rsrc段和压缩前相同。

0x04 ESP定律

由于在程序自解密或者自解压过程中, 不少壳会先将当前寄存器状态压栈, 如使用pushad, 在解压结束后, 会将之前的寄存器值出栈, 如使用popad. 因此在寄存器出栈时, 往往程序代码被恢复, 此时硬件断点触发. 然后在程序当前位置, 只需要少许单步操作, 就很容易到达正确的 OEP 位置.
ESP定律法 - CTF WIKI

首先打开经过upx压缩过的程序，F9来到程序起始的位置，并且F8单步执行pushad指令保存寄存器状态。观察旁边寄存器的状态可以得知，ESP的值发生了变化。

在寄存器视图中右键在ESP上设置断点。然后按下F9前往ESP所指向的地址。

跳转到00AD7FEF之后观察这里的汇编代码，我们会发现在00AD7FFC处有一个jmp指令，这是一次大跳转，极有可能是OEP所处的地址。在00AD7FFC处设置断点，F9运行至此处。

按下F8单步进入，下面这个00AD1633就是OEP的位置。

最后来恢复整个程序，在插件中使用Dump process，选择Get EIP as OEP，最后Dump文件并保存。

但是有时会出现Dump了程序却依然无法打开的情况，这是因为在Dump程序的过程中IAT表可能出现了丢失的情况。这个时候用Scylla来修复IAT表，在入OEP的位置打开Scylla，按下IAT Autosearch -> Get Imports 将 Import 中红色的部分删去最后再Fix Dump覆盖之前的程序，或者是重新生成一个Dump的程序。

如果文章中存在错误，请评论或者私信我

【How2RE】 UPX壳及脱壳方式相关推荐

Android 加壳与脱壳方式总结
介绍说到加壳,之前接触的主要都是pc端的壳,当时的脱壳就是用的esp脱壳法,大概意思就是程序运行到将当前环境保存之后,在当前的esp指向的地址下硬件断点,然后再次运行到该点时,进行dump内存,即可 ...
简单脱壳教程笔记(3)---手脱UPX壳（2）
我们接着上一篇 "简单脱壳教程笔记(2)---手脱UPX壳(1)"继续.我们说了UPX我们可以使用四种方式,上一篇已经详细的讲解了单步跟踪法,接下来,我们讲解其他方式. 方法2 ...
RE入门之脱壳——手脱UPX壳
很多加了壳的软件是很难逆向分析的,需要手脱.下面以UPX壳为例简单介绍一下如何手动脱壳需要工具:x64dbg. 以buuctf中re的新年快乐为例拿到程序以后使用x64dbg打开. F9运行到程序 ...
简单脱壳教程笔记(2)---手脱UPX壳（1）
本笔记是针对ximo早期发的脱壳基础视频教程,整理的笔记. ximo早期发的脱壳基础视频教程下载地址如下: http://down.52pojie.cn/%E5%90%BE%E7%88%B1%E7% ...
实验四：使用UPX加壳与脱壳
一.实验目的了解程序加壳.脱壳原理掌握PE文件结构学习利用UPX Shell.LoardPE.IDA等工具完成软件的加.脱壳操作二.实验题目 UPX加壳:对crackme加上UPX壳,用 Lo ...
HZNUCTF REVERSE Signin题解——upx壳区段改名修复,动态调试脱壳
目录一.查壳二.修复upx区段名脱壳三.动态调试脱壳四.注意事项题目附件:https://pan.baidu.com/s/1KXNvwOd7WObU-LiikiOd8A?pwd=4l31 ...
普通壳的脱壳方法和脱壳技巧
转自:http://www.bllll.com/thread-43439-1-1.html 普通壳的脱壳方法和脱壳技巧这篇文章,是我在之前在自学脱壳的时候,在笔记本是所做的脱壳总结:里面包括了各种壳 ...
什么是加壳和脱壳技术？加壳和脱壳技术是什么意思？
什么是加壳和脱壳技术?加壳和脱壳技术是什么意思? 加壳,是一种通过一系列数学运算,将可执行程序文件或动态链接库文件的编码进行改变(目前还有一些加壳软件可以压缩.加密驱动程序),以达到缩小文件体积或加密 ...
BUUCTF-Reverse：新年快乐 + 加壳与脱壳
题目地址:https://buuoj.cn/challenges#%E6%96%B0%E5%B9%B4%E5%BF%AB%E4%B9%90 用IDA打开文件: 怎么可能才两个函数,猜测加了壳,直接查: ...

【How2RE】 UPX壳及脱壳方式