Menewaskan Pemadat dan Mencapai OEP

Tanda-tanda pembungkusan:

• Bahagian berentropi tinggi (kelihatan rawak)
• Import yang sedikit, nama bahagian pelik seperti UPX0
• Rantau kod kecil dengan peruntukan memori yang besar

Alat seperti Detect It Easy atau PEiD menandakan pembungkus yang diketahui.

Untuk pembungkus yang terkenal, alat boleh menterbalikkan proses itu secara langsung. UPX, contohnya, mempunyai penyahmampat terbina dalam.

Pembungkus tersuai atau diubah suai tidak mempunyai alat penyahbungkus awam. Jadi anda membiarkan rangka itu melakukan tugasnya: jalankannya di bawah penyahpepijat sehingga kod sebenar berada dalam memori, kemudian tangkap kod itu.

Ini ialah penyahbungkusan manual umum.

OEP (Titik Masuk Asal) ialah tempat pelaksanaan sebenar program yang telah dinyahbungkus bermula. Rangka itu melompat ke sana selepas penyahbungkusan.

Mencari OEP ialah pencapaian utama: pada ketika itu, kod sebenar telah dinyahbungkus sepenuhnya dalam memori.

Rangka biasanya berakhir dengan lompatan jauh atau push/ret ke rantau yang telah dinyahbungkus (lompatan ekor). Tetapkan titik henti di situ; apabila ia tercetus, arahan seterusnya ialah OEP.

Satu lagi teknik: tetapkan titik henti perkakasan pada pelaksanaan bagi rantau yang digunakan oleh rangka untuk menulis kod. Pelaksanaan berhenti sebaik sahaja kod yang telah dinyahbungkus dijalankan.

Helah berasaskan ESP/stack (kaedah 'pushad/popad') juga mencari bahagian ekor.

Di OEP, buang imej dalam memori ke cakera menggunakan alat seperti Scylla atau plugin penyahpepijat.

Buangan itu mengandungi kod dan rentetan yang telah dinyahsulitkan, tetapi jadual import rosak kerana ia diselesaikan semasa masa jalan.

Langkah terakhir ialah pembinaan semula IAT: alat seperti Scylla mengimbas memori untuk mencari import yang telah diselesaikan dan membina semula Jadual Alamat Import yang sah, lalu menghasilkan boleh laku yang bersih dan boleh dianalisis secara statik.

Sampel yang sukar biasanya menggunakan beberapa pemampat secara bertingkat. Selepas kandungan memori disimpan, imej yang telah dinyahmampat mungkin masih dimampatkan sekali lagi. Jalankan semula pengesanan pada kandungan yang disimpan itu.

Ulang kitaran menjalankan sehingga OEP dan menyimpan kandungan memori sehingga entropi menurun serta rentetan dan import sebenar akhirnya muncul.

Kini Anda boleh menanggalkan pemampat daripada binari yang dilindungi:

• Kesan pemampatan melalui entropi, bahagian dan import
• Gunakan penyahmampat yang diketahui atau jalankan stub hingga ke OEP
• Cari lompatan ekor, simpan kandungan pada OEP dan bina semula IAT

Hasilnya ialah imej bersih yang sedia untuk analisis statik sepenuhnya.