软件保护技术：加壳与脱壳

加壳原理浅析：

1.什么是壳：

专门负责对程序体积进行压缩，或者是保护一个程序不被非法修改、逆向分析的一类软件。

壳通过附加自身代码在保护对象(原始程序)上，在操作系统对原始程序代码进行执行只求按获得程序控制权，进而对原始程序进行解压或解密等还原操作，完成操作后控制权将还给原始程序，程序的元时代吗才开始被执行。

2.壳的分类：

侧重于缩小程序体积，称为压缩壳，经典压缩壳软件：UPX、ASPack；
侧重于程序代码及数据加密，称为加密壳，经典加密壳软件有VMProtect、ASProrect、Themida、EXECrypror、Safengine等、其中VMP、Themida的特色是指令虚拟化，保护强度极高

3.壳的加载过程：

入口现场保存

可执行文件被操作系统载入后开始执行前，寄存器内会存放一些操作系统预先填充好的值，栈的数据也会被设置，壳程序要保存这些数据(状态)，以免其被壳段代码不经意间地破坏，在转交控制权前壳需要恢复这些数据，才能让原来的程序正常运行。

一般情况下，由于已有栈的内容是不应更改的，简单的壳会选择将这样的信息压入栈(在栈上开辟新的空间)，x86的汇编指令 pushad 可以轻松地将所有寄存器一次性压入栈，UPX使用了这样的方式，被形象地称为“保护现场”。
获取壳自身解密程序所需API的地址

外壳的输入表中往往只有GetProcAddress / LoadLibrary / GetModuleHandle等最基本的函数，有的可能只包含-个GelProcAddress,完全不够满足解密程序过程涉及到的许多操作，因此需要事先用以上几个函数获得其他函数地址以便壳段代码使用。
解密原程序的各个区块(Section)的数据

壳出于保护原程序代码和数据的目的，-般都会加密原程序文件的各个区块。在程序执行时外壳将会对这些区块数据解密，以让程序能正常运行。壳般是按区块加密的，那么在解密时也按区块解密，并且把解密的区块数据按照原区块的定义放在合适的内存位置，或者放置到由加壳程序调整后的位置。
初始化IAT，导入原程序所需系统API地址
调整重定位项
Hook API，实现一些保护功能(可选)
恢复入口现场，跳转至OEP（Original Entry Point，原入口点），转交控制权

4.如何寻找原入口点（OEP）

根据跨段指令寻找OEP：

绝大多数加壳程序会在被加密的程序中加上一个或多个段（section），在最后跳转值OEP时一般都是通过跨段跳转指令进行转移，所以依据跨度的转移指令（远jmp等），就可找到真正的入口点，在该跳转指令前一般会有POPAD/POPFD指令出现（用于恢复入口现场），可以用作定位参考。（PUSHAD是保存通用寄存器，POPFD是保存状态寄存器，jmp的机械代码是19开头）

UPX用了一次跨段的转移指令，（远JMP，指令以E9开头），在跳至OEP的指令处可以看到虚拟地址的值有一个明显突变，

据此可以确定OEP的位置0x555544
根据堆栈平衡原理寻找OEP:

该方法是用“ESP定律”，对绝大部分的压缩壳都很有效，原理便是基于栈平衡。

壳段代码在保护现场后，我们对ESP指向的内存单元下硬件访问断点，那么在壳段代码恢复现场时一定会访问到这个单元，此时我们EIP所处的位置处于壳段代码末尾，距离跳转至OEP也就不远了

调试壳：(以UPX壳为例)

示例程序

将后缀改回exe

notepad.txt

notepad_upx.txt

tips：程序来自《逆向工程核心原理》一书

加壳前后对比：

首先查看在未加壳是notepad的EP代码，以及PE结构：

在这里插入图片描述

在未加壳时程序的PE结构为正常的代码段、数据段以及资源段

然后对比以下加壳后的程序：

在这里插入图片描述

原来的加壳后程序的PE结构被改变了，段名变为了UPX0、UPX1。

调试程序notepad_upx.exe

用OD打开notepad_upx程序：

在这里插入图片描述

在程序的开始，可以看到和之前介绍的一样，壳加载的第一步就是对入口现场的保存，然后分别把UPX1的起始地址设置到esi寄存器，将UPX0的起始地址设置到edi寄存器。

tips：UPX文件的第一个节区仅存在于内存，该处及是解压缩后保存源文件代码的地方。也就是说，解压缩过程就是对节区UPX1进行解密，并将解密后的内容保存到EDI所指向的UPX0节区。

01015330 > $  60            pushad
01015331   .  BE 00100101   mov esi,notepad_.01011000
01015336   .  8DBE 0000FFFF lea edi,dword ptr ds:[esi-0x10000]

循环一：

CTRL+F8开始跟踪代码，观察程序运行，当程序运行到第一个循环时按F7停下来，观察该循环的作用：

在这里插入图片描述

这段代码的作用就是将EDX指向的内存数据一个字节一个字节的拷贝到EDI指向的内存地址处，查看寄存器，EDX所指向的地址为UPX0节区的起始地址，查看对应地址的内存数据：

在这里插入图片描述

全是NULL，这个循环的作用是确保写入的目标地址为空，在010153E6地址处设置断点，F9跳过该循环。

循环二：

继续CTRL+F8，会遇到一个较大的循环，这个循环为正式的解压缩循环

在这里插入图片描述

AL存放ESI中的数据，经过解压缩运算后存入EDI指向的内存地址中，解压缩过程没看懂。

循环三：

继续跟踪代码

在这里插入图片描述

这段循环代码用于恢复源代码的CALL/JMP指令的地址

循环四：

在这里插入图片描述

这个循环用于恢复IAT表，在01015436地址处设置EDI=01014000,它指向第二个节区(UPX1)区域，该区域中保存着原notepad.exe调用的API函数名称的字符串。

UPX压缩原notepad.exe文件时，它会分析其IAT,提取出程序中调用的API名称列表，形成API名称字符串。
用这些API名称字符串调用01015467地址处的GetProcAddress(0函数，获取API的起始地址，然后把API地址输入EBX寄存器所指的原notepad.exe的IAT区域。该过程会反复进行至API名称字符串结束，最终恢复原notepad.exe的IAT。

跳转至OEP：

在这里插入图片描述

notepad.exe全部解压缩完成后，应该将程序的控制返回到OEP处。

010154AD地址处的POPAD命令与UPX代码的第一条PUSHAD命令对应，用来把当前寄存器恢复原状最终，使用010154BB地址处的JMP命令跳转到OEP处，要跳转到的目标地址为0100739D,它就是原notepad.exe的EP地址。

将解压缩后的代码DUMP下来：

OD提供了一个叫OllyDump的插件：

在这里插入图片描述

这个插件可以自动将当前EIP作为OEP输入，直接选择脱壳即可，IAT表也会自动修复。

在这里插入图片描述

将脱壳后的程序放到EXEinfo里面查一下壳：

在这里插入图片描述

可以看到已经脱壳成功了。