⭐ 欢迎来到虫虫下载站！ | 📦 资源下载 📁 资源专辑 ℹ️ 关于我们
⭐ 虫虫下载站
📤 上传资源

📄 chap8-4-1.htm.primary

📁 加密与解密,软件加密保护技术与解决方案,看雪文档!
💻 PRIMARY
字号:
🔍 
<html>
<head>
<title>Crack Tutorial</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<link rel="stylesheet" href="style/css.css" type="text/css">
<link rel="stylesheet" href="../STYLE/Css.css" type="text/css">
</head>

<body bgcolor="white" text="#000000" link="#004080" vlink="#004080" background="../image/Back.gif">
<p><a href="../catalog.htm">目录</a>＞＞第8章</p>
<p align="center" class="shadow1Copy"><b class="p3">第8章 压缩与脱壳</b></p>
<table width="80%" border="0" cellspacing="0" cellpadding="3" align="center" bgcolor="#bcbcbc" bordercolor="#111111" class="shadow1">
  <tr> 
    <td class="shadow1" width="20%"> 
      <div align="center"><a href="Chap8-1.htm"><font color="#FFFFFF">第一节 PE文件格式</font></a></div>
    </td>
    <td class="shadow1" width="20%"> 
      <div align="center"><a href="Chap8-2.htm"><font color="#FFFFFF">第二节 认识脱壳</font></a></div>
    </td>
    <td class="shadow1" width="20%"> 
      <div align="center"><a href="Chap8-3-1.htm"><font color="#FFFFFF">第三节 自动脱壳</font></a></div>
    </td>
    <td class="shadow1" width="20%"> 
      <div align="center"><a href="Chap8-4.htm"><font color="#FFFFFF">第四节 手动脱壳</font></a></div>
    </td>
    <td class="shadow1" width="20%"> 
      <div align="center"><a href="Chap8-5.htm"><font color="#FFFFFF">第五节 脱壳高级篇</font></a></div>
    </td>
  </tr>
</table>
<p align="center"><span class="p9"><b>第四节 手动脱壳</b></span></p>
<table border="1" width="80%" cellpadding="5" bordercolor="#111111" bgcolor="#efefef" align="center" cellspacing="0">
  <tr> 
    <td width="50%" valign="middle" align="center" class="p9" height="23"> 
      <div align="left"><span class="p9"><span class="p9">　　<span class="p9">　　　</span>　<span class="p9">1、<a href="Chap8-4-1.htm">基本知识</a></span></span></span></div>
    </td>
    <td colspan="2" valign="middle" align="center" class="p9" height="23" width="50%"> 
      <div align="left"><span class="p9"><span class="p9">　　<span class="p9">　　　</span>　</span></span>2、<a href="Chap8-4-2.htm">UPX 
        V1.01的壳</a></div>
    </td>
  </tr>
  <tr> 
    <td width="50%" valign="middle" align="center" class="p9" height="23"> 
      <div align="left"><span class="p9"><span class="p9">　　<span class="p9">　　　</span>　</span></span>3、<a href="Chap8-4-3.htm">Shrinker 
        v3.4 的壳</a></div>
    </td>
    <td colspan="2" valign="middle" align="center" class="p9" height="23" width="50%"> 
      <div align="left"><span class="p9"><span class="p9">　　<span class="p9">　　　</span>　</span></span>4、<a href="Chap8-4-4.htm">ASPack 
        v1.083</a></div>
    </td>
  </tr>
</table>
<p align="center"><b>1、基本知识</b></p>
<p><span class="p9">　　手动脱壳就是不借助自动脱壳工具，而是用动态调试工具SOFTICE或TRW2000来脱壳。这课谈谈一些入门方面的知识，如要了解更深的脱壳知识，请参考《脱壳高级篇》这课。</span></p>
<p><span class="p9"><b>工具</b></span></p>
<blockquote> 
  <p><span class="p9"> *<span class="p9">调试器：SoftICE 、TRW2000<br>
    *内存抓取工具：Procdump等；<br>
    *十六进制工具：Hiew、UltraEdit、Hex Workshop等；<br>
    *PE编辑工具： Procdump、PEditor等；<br>
    </span></span></p>
</blockquote>
<p><b><span class="p9"><span class="p9">名词概念</span></span></b></p>
<blockquote> 
  <p><span class="p9"><span class="p9"><span class="p9">★</span>PE文件：Microsoft设计了一种新的文件格式Portable 
    Executable File Format(即PE格式)，该格式应用于所有基于Win32的系统：Windows NT、Windows 2000、Win32s及Windows 
    95/98。</span></span></p>
  <p><span class="p9"><span class="p9">★基址（ImageBase ）:是指装入到内存中的EXE或DLL程序的开始地址，它是Win32中的一个重要概念。 
    在Windows NT中，缺省的值是10000h;对于DLLs，缺省值为400000h。在Windows 95中，10000h不能用来装入32位的执行文件，因为该地址处于所有进程共享的线性地址区域，因此Microsoft将Win32可执行文件的缺省基地址改变为400000h。</span></span></p>
  <p><span class="p9"><span class="p9">★<span class="p9">RVA</span>：相对虚拟地址（Relative 
    Virual Address），是某个项相对于文件映象地址的偏移。例如：装载程序将一个PE文件装入到虚拟地址空间中，从10000h开始的内存中，如果PE中某个表在映像中的起始地址是10464h,那么该表的RVA就是464h。虚拟地址(RVA)＝偏移地址＋基址（ImageBase 
    ) </span></span></p>
  <p><span class="p9"><span class="p9">★<span class="p9">Entry Point：入口点，就是程序在完成了对原程序的还原后，开始跳转到刚还原的程序执行，此时的地址就是入口点的值。</span></span></span></p>
</blockquote>
<p><span class="p9"><span class="p9"><span class="p9"><b>步骤 </b></span></span></span></p>
<p><span class="p9"><span class="p9">★确定壳的种类</span></span></p>
<blockquote> 
  <p><span class="p9"><span class="p9">一般拿到软件后，可用工具FileInfo、gtw、TYP32等侦测文件类型的工具来看看是何种壳，然后再采取措施。</span></span></p>
</blockquote>
<p><span class="p9"><span class="p9"><span class="p9"><span class="p9">★入口点（<span class="p9"><span class="p9">Entry 
  Point</span></span>）确定</span></span></span></span></p>
<blockquote> 
  <p><span class="p9"><span class="p9"><span class="p9">对<span class="p9">初学者来说定位程序解壳后的入口点确定较难，但熟练后，入口点查找是很方便的。 
    决大多数 PE 加壳程序在被加密的程序中加上一个或多个段。 所以看到一个跨段的 JMP 就有可能是了。如：UPX 用了一次跨段的 JMP ， ASPACK 
    用了两次跨段的 JMP 。 这种判断一般是跟踪分析程序而找到入口点，如是用TRW2000也可试试命令：PNEWSEC，它可让TRW2000中断到入口点上。<br>
    <span class="p9"><span class="p9">PNEWSEC</span>：</span></span></span>运行直到进入一个 
    PE 程序内存的新的 section时产生断点。（如不懂，以后到脱壳高级篇自会明白） </span></span></p>
  <p><span class="p9"><span class="p9"><span class="p9">另外也可用D.boy的冲击波2000,它能轻易的找到任何加密壳的入口点，</span></span></span></p>
</blockquote>
<p><span class="p9"><span class="p9"><span class="p9"><span class="p9">★dump取内存己还原文件</span></span></span></span></p>
<blockquote> 
  <p><span class="p9"><span class="p9"><span class="p9">找到入口点后，在此处可以用 Procdump的FULL 
    DUMP功能来抓取内存中整个文件，</span><br>
    如是用TRW2000也可用命令：<br>
    <br>
    makepe命令含义：从内存中整理出一个指令名称的PE格式的exe文件， 当前的 EIP 将成为新的程序入口，生成文件的 Import table 
    已经重新生成过了。生成的PE文件可运行任何平台和微机上。 <br>
    <br>
    pedump命令含义：将PE文件的内存映像直接映像到指定的文件里。生成的文件只能在本机运行，不能在其它系统平台或微机运行。 <br>
    </span></span></p>
</blockquote>
<p><span class="p9"><span class="p9"><span class="p9"><span class="p9"><span class="p9">★</span></span></span>修正刚dump取的文件</span></span></p>
<blockquote> 
  <p><span class="p9"><span class="p9">如是<span class="p9"><span class="p9">用 Procdump的FULL 
    DUMP功能脱壳的文件，要用 Procdump或PEditor等PE编辑工具修正<span class="p9"><span class="p9">入口点（<span class="p9"><span class="p9">Entry 
    Point</span></span>）。</span></span></span></span></span></span></p>
</blockquote>
<p align="center"><a href="../Catalog.htm"><img src="../image/navtoc.gif" width="84" height="23" border="0"></a><a href="Chap8-4.htm"><img src="../image/Navprev.gif" width="80" height="23" border="0"></a><a href="Chap8-4-2.htm"><img src="../image/navnext.gif" width="83" height="23" border="0"></a></p>
<hr width=735>
<div align="center"><span class="p9"><font size="2"><span class="p9"><font size="2"><span class="p9">Copyright 
  &copy; 2000-2001 <a href="http://www.pediy.com/">KanXue Studio</a> All Rights 
  Reserved.</span></font></span></font></span></div>
</body>
</html>

⌨️ 快捷键说明

复制代码 Ctrl + C
搜索代码 Ctrl + F
全屏模式 F11
切换主题 Ctrl + Shift + D
显示快捷键 ?
增大字号 Ctrl + =
减小字号 Ctrl + -