脱壳

加壳会压缩或加密程序的真实代码，并将其封装在一个小型存根中。运行时，存根会将原始代码解包到内存中并执行。

恶意软件作者使用加壳来躲避特征检测并妨碍静态分析。

加壳后的二进制文件通常只显示少量字符串和导入项，并且熵很高。只有存根运行后，有意义的代码才会显现。

脱壳可以恢复原始代码，使您能够对其进行静态分析并提取真实的 IOC。

像 Detect It Easy（DIE）和 PEiD 这样的工具可以通过特征识别已知的加壳工具。高熵和极小的导入表也是有力的线索。

常见的加壳工具包括 UPX、ASPack 和 Themida。

UPX 是一种常见且无恶意的加壳工具，可以使用其自带工具进行逆向处理。-d 标志会将二进制文件解压回原始形式。

许多现实中的样本使用 UPX 或略有修改的 UPX，因此这通常是首次尝试的方法。

自定义加壳工具无法使用现成工具解除。此时，您需要让存根在内存中自行解包，然后捕获解包结果。

具体计划是：在调试器下运行样本，在解包完成后立即停止，然后转储此时已经显现的代码。

原始入口点（OEP）是解包完成后执行流跳转到的位置。到达 OEP 意味着真实代码已经位于内存中。

查找 OEP 的方法包括观察从存根跳出的远跳转，或者在存根写入后又执行的内存上设置断点。

一种常见技巧是在栈上设置硬件断点（存根通常会在跳转到 OEP 前恢复寄存器），或者在解包代码使用的常见 API 调用上设置断点。

当 OEP 处的断点命中时，原始代码就已经完全解码。

在 OEP 处，将进程内存转储到一个新文件中。Scylla（内置于 x64dbg 中）或 PE-sieve 等工具可以捕获解包后的映像。

此时转储文件已经包含真实指令，但可能还无法独立运行。

转储后，导入地址表通常已经损坏，因为加壳工具是在运行时解析导入项的。Scylla 可以重建 IAT，使转储文件能够进行分析。

修复导入项后，您就可以将干净的转储文件加载到 Ghidra 或 IDA 中。

除了加壳之外，恶意软件还会使用其他混淆方式：在运行时解码加密字符串、插入垃圾指令、展平控制流，以及执行反调试检查。

这些问题需要逐个处理，通常要将动态跟踪与耐心的静态阅读结合起来。

转储并重建导入项后，请重新运行静态分析来确认是否成功：现在应该能看到更多字符串以及已填充的导入表。

如果熵已恢复正常并且 API 可见，就说明脱壳成功，真实代码已经可以分析。

回忆一下，手动脱壳过程中 OEP 代表什么。

现在您已经了解了脱壳：

• 加壳会隐藏真实代码；可以通过 DIE/PEiD、高熵和少量导入项来检测。
• 已知的加壳工具（如 UPX）可以使用工具脱壳（upx -d）。
• 对于自定义加壳工具，应在调试器下运行，找到 OEP，使用 Scylla 进行转储，然后重建导入项。
• 其他混淆方式（加密字符串、反调试）需要逐个处理。

您已经完成了《恶意软件逆向工程》课程。