脱壳理论教程[看雪篇].docVIP

第一课?PE格式????要想学脱壳，第一步就得掌握PE格式，PE是Portable?Executable?File?Format（可移植的执行体）简写，它是目前Windows平台上的主流可执行文件格式。Microsoft?Visual?C++提供的WINNT.H里有PE数据结构的完整定义。推荐文档：??ah007翻译的“PE文件格式”1.9版????qduwg翻译的PE文件格式?????Iczelions?的PE文件格式??PE结构各字段偏移参考????微软官方提供的PE文档(Revision?8.0?-?May?16,?2006)?????学习PE格式的方法是自己先准备一个十六进制工具，如HexWorkshop，WinHex，用这些工具打开一个EXE文件对照着学。强烈推荐你用Stud_PE?v.这款工具辅助学习PE格式。PE格式学习的重点是在输入表（Import?Table）这块。Stud_PE工具界面：PE结构图：? 第二课?SEH技术????结构化异常处理（Structured?Exception?Handling，SEH）是Windows操作系统处理程序错误或异常的技术。SEH是Windows操作系统的一种系统机制，与特定的程序设计语言无关。???外壳程序里大量地使用了SEH，如果不了解SEH，将会使你跟踪十分困难。??SEH?in?ASM?研究(一)by?hume?????SEH?in?ASM?研究(二)by?hume?????Structured?Exception?Handling?????加密与解密二版菜鸟学习笔记(2)?-?SEH?结构化异常处理?by?ytcswb???由于?Ollydbg???对SEH处理异常灵活，因此脱壳用Ollydbg会大大提高效率。附CONTEXT结构环境： 代码: typedef?struct?_CONTEXT?{ /*000*/?DWORD???????ContextFlags; /*004*/?DWORD???????Dr0; /*008*/?DWORD???????Dr1; /*00C*/?DWORD???????Dr2; /*010*/?DWORD???????Dr3; /*014*/?DWORD???????Dr6; /*018*/?DWORD???????Dr7; /*01C*/燜LOATING_SAVE_AREA燜loatSave; /*08C*/燚WORD牋牋牋燬egGs; /*090*/燚WORD牋牋牋燬egFs; /*094*/燚WORD牋牋牋燬egEs; /*098*/燚WORD牋牋牋燬egDs; /*09C*/燚WORD牋牋牋燛di; /*0A0*/燚WORD牋牋牋燛si; /*0A4*/燚WORD牋牋牋燛bx; /*0A8*/燚WORD牋牋牋燛dx; /*0AC*/燚WORD牋牋牋燛cx; /*0B0*/燚WORD牋牋牋燛ax; /*0B4*/燚WORD牋牋牋燛bp; /*0B8*/燚WORD牋牋牋燛ip; /*0BC*/燚WORD牋牋牋燬egCs; /*0C0*/燚WORD牋牋牋燛Flags; /*0C4*/燚WORD牋牋牋燛sp; /*0C8*/燚WORD牋牋牋燬egSs; /*0CC*/牋牋燘YTE牋牋ExtendedRegisters[MAXIMUM_SUPPORTED_EXTENSION]; /*2CC*/?}?CONTEXT; 第三课?认识壳?1.?什么是壳？????在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，就把这样的程序称为“壳”了。???推荐文档：??一切从“壳”开始???描述壳的示意图：?2.?壳的加载过程?????这里谈的加壳工具不是WinZIP、WinRAR等数据压缩工具，而是谈压缩可执行文件EXE或DLL的工具。加壳过的EXE文件是可执行文件，它可以同正常的EXE文件一样执行。用户执行的实际上是外壳程序，这个外壳程序负责把用户原来的程序在内存中解压缩，并把控制权交还给解开后的真正程序，这一切工作都是在内存中运行的，整个过程对用户是透明的。???壳和病毒在某些方面比较类似，都需要比原程序代码更早的获得控制权。壳修改了原程序的执行文件的组织结构，从而能够比原程序的代码提前获得控制权，并且不会影响原程序的正常运行。