脱壳基础知识入门及faq

《脱壳基础知识入门及faq》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、脱壳基础知识入门及FAQ标题:脱壳基础知识入门及FAQ作者:kanxue时间:2006-01-1417:20链接:http://bbs.pediy.com/showthread.php?t=20366声明：本篇文章个人用户可以免费的收藏、参考，但是谢绝任何商业网站及传统媒体（如出版物）摘编转载！现在加解密发展己形成2个分支了，一个就是传统的算法，另一个就是加密壳。越来越多的软件采用了密码学相关算法，现在要做出一个软件注册机己不象前几年那么容易，这就要求解密者必须要有一定的数学功底和密码学知识，而这些在短时间内是不容易掌握的。除了密码学的应用，越来

2、越多的软件加壳了，因此要求解密者必须掌握一些脱壳技术，这就使得壳成了解密必须迈过的一个门槛。壳发展到今天，强度越来越高了，将许多人挡在门外，使得大家望壳兴叹。另外，论坛现在两极分化比较严重，高手讨论的脱壳技术新手看不懂，很多人想学脱壳，但看到壳这么难，只好放弃了，造成新手与高手间一个断档，为了鼓励更多新人加入脱壳的行列，很有必要将壳有关知识总结一下。www.pediy.com主页提供的教学确实有点过时了，己到非更新不可了。为此，整理这篇脱壳入门指导的文章，方便脱壳新手们学习。相对于密码学算法，脱壳并不难，只要肯花时间，短期内还是比较容易取得成绩的

3、。但是，不建议那些加解密刚入门，调试一个普通软件都费劲的朋友来脱壳。至少要等你有一定的调试技能再来学脱壳。也就是说必须掌握这篇文章所讲的东西：新手入门必读（FAQ)在本篇文章没完成前，不欢迎转载!我会利用业余时间不断更新中，为保持文章连续性，因此锁帖，如学习过程中有问题请开新帖大家一起交流。这篇入门教学将长期置顶，以代替原来脱壳版块的FAQ，收集一些常见的脱壳问题。希望更多的朋友一起参与进来，如果想参与进来请告诉我撰写的主题，我会开通你跟此帖的权限。注：本人水平有限，因此这篇文章只是负责将新手领进门，更深入技术的请参考论坛中的精华文章。代码:第一

4、课PE格式.................2楼第二课SEH技术................3楼第三课认识壳.................4楼第四课常见压缩壳与加密壳......5楼第五课文件类型分析............6楼第六课寻找OEP................7楼第七课Dump内存映像............9楼第八课重建输入表.............10楼第九课手动确定IAT的地址与大小.11楼第十课DLL文件脱壳........12楼第十一课优化与自校验去除........12楼第一课PE格式要想学脱壳，第一步就得掌

5、握PE格式，PE是PortableExecutableFileFormat（可移植的执行体）简写，它是目前Windows平台上的主流可执行文件格式。MicrosoftVisualC++提供的WINNT.H里有PE数据结构的完整定义。推荐文档：ah007翻译的“PE文件格式”1.9版qduwg翻译的PE文件格式Iczelion's的PE文件格式微软官方提供的PE文档（英文）(Revision8.1-March27,2008)微软官方提供的PE文档(Revision8.1)（zhzhtst翻译成中文）探索PE文件内幕——Win32可移植可执行文件格式

6、之旅（zhzhtst翻译）深入剖析Win32可移植可执行文件格式（zhzhtst翻译）PE结构各字段偏移参考学习PE格式的方法是自己先准备一个十六进制工具，如HexWorkshop，WinHex，用这些工具打开一个EXE文件对照着学。强烈推荐你用Stud_PEv.2.2.0.5这款工具辅助学习PE格式。PE格式学习的重点是在输入表（ImportTable）这块。Stud_PE工具界面：PE结构图：第二课SEH技术结构化异常处理（StructuredExceptionHandling，SEH）是Windows操作系统处理程序错误或异常的技术。SEH

7、是Windows操作系统的一种系统机制，与特定的程序设计语言无关。外壳程序里大量地使用了SEH，如果不了解SEH，将会使你跟踪十分困难。SEHinASM研究(一)byhumeSEHinASM研究(二)byhumeStructuredExceptionHandling加密与解密二版菜鸟学习笔记(2)-SEH结构化异常处理byytcswb由于Ollydbg对SEH处理异常灵活，因此脱壳用Ollydbg会大大提高效率。附CONTEXT结构环境：代码:typedefstruct_CONTEXT{/*000*/DWORDContextFlags;/*004

8、*/DWORDDr0;/*008*/DWORDDr1;/*00C*/DWORDDr2;/*010*/DWORDDr3;/*014*/DW