投稿:手动脱UPX壳补充教程

教程名称:手动脱UPX壳教程

主讲：低调小飞

教程内容:

1.脱壳必备基础知识

2.脱壳时我们如何辨认快到OEP

3.脱壳牢记口诀

4.脱壳的几种方法总结

5.演示部分

前言:

1.脱壳的优点:免杀制作,个人版制作,软件后门去除等.

2.常见木马壳:以压缩壳为主,比如北斗,upx,fsg2.0,ASPack等.

================
脱壳必备基础知识
================
1.PUSHAD :（压栈） 代表程序的入口点
2.POPAD :（出栈）代表程序的出口点，与PUSHAD想对应.看到这个,就说明快到OEP了.
3.OEP:程序的入口点,软件加壳就是隐藏OEP.而我们脱壳就是为了找OEP.

=========================
脱壳时我们如何辨认快到OEP
=========================
若出现下面情况时,说明OEP就要到了:
1.跟踪时如果发现:
popad
popfd
或
popad

2.同时,紧接着,有retn ,jmp等其它跳转指令,发生跨段跳跃时.这说明我们马上要到OEP了==============
脱壳牢记口诀:
==============
1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按F4,运行到所选.
2.刚载入程序,在附近就call时,我们按F7跟进去.
3.若跟踪时,运行某个call程序就运行时,这个call也用F7进入.
4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就会到程序的OEP。

==================
脱壳的几种方法总结
==================
方法一:单步跟踪法
1.用OD载入,选"不分析代码"
2.单步向下跟踪按F8，实现向下的跳.不让程序往回跳.
3.遇到程序往回跳的（包括循环），我们在下一句代码处按F4（或者右健单击代码，选择断点——>运行到所选）
4.如果刚载入程序，在附近就有一个CALL的，我们就F7跟进去，不然程序很容易运行.
5.在跟踪的时候，如果运行到某个CALL程序就运行的，就在这个CALL中F7进入.
6.一般遇到很大的跳转（跨段跳），比如 jmp XXXXXX 或 JE XXXXXX 或有
RETN的一般很快就会到程序的OEP。

方法二:ESP定律法
1.开始就点F8向下走，注意观察OD右上角的寄存器中ESP有没突现（变成红色）
2.在命令行下：dd XXXXXXXX(指在当前代码中的ESP地址，或者是hr XXXXXXXX)，按回车！
3.选中下断的地址，断点--->硬件访问--->WORD断点。
4.按一下F9运行程序，直接来到了跳转处，按下F8向下走，就到达程序OEP。

========
演示部分
========
f8 ESP
f9 删除
f8 跳转f4
f8 jmp OEP

===============================
弥补上一个教程中没有说明的部分！