基于Windows平台的脱壳技术研究与实现.pdf

《基于Windows平台的脱壳技术研究与实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、电子科技大学UNIVERSITYOFELECTRONICSCIENCEANDTECHNOLOGYOFCHINA硕士学位论文MASTERDISSERTATION论文题目：基于Windows平台的脱壳技术研究与实现学科专业：信息安全指导教师：刘丹作者姓名：赵中树班学号：200921240202万方数据分类号密级注1UDC学位论文基于Windows平台的脱壳技术研究与实现（题名和副题名）赵中树（作者姓名）指导教师姓名刘丹副教授电子科技大学成都（职务、职称、学位、单位名称及地址）申请专业学位级别硕士专业名称信息安全论文提交日期2012年3月论文答辩日期2012年5月学位授予单位和

2、日期电子科技大学答辩委员会主席评阅人年月日注1：注明《国际十进分类法UDC》的类号。万方数据独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。签名：日期：年月日关于论文使用授权的说明本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论

3、文被查阅和借阅。本人授权电子科技大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。（保密的学位论文在解密后应遵守此规定）签名：导师签名：日期：年月日万方数据摘要摘要伴随着计算机技术的不断发展，开发人员对软件的保护意识也逐渐地增强，为了防止软件中的关键算法被逆向分析，在发布一款软件之前通常都会对其进行加壳处理。同时，恶意代码为了逃避传统的基于特征码扫描的杀毒软件的查杀，也大量的使用加壳技术。一种已知类型的恶意代码可以通过加壳使杀毒软件为其产生大量不同的特征码序列，使杀毒软件的特征库变得越来越庞大，降低了杀毒软件特

4、征码的查找与匹配速度。在对未知恶意代码的特征码进行提取过程中，也会因为软件壳的存在而使提取到的特征序列不准确。因此，在评价一款杀毒软件的优劣时，是否具有较强的脱壳能力已经成为一项非常重要的指标。首先，本文对现有各种流行的加壳与脱壳技术进行研究，分析它们的实现原理，分析被加壳程序在静态以及运行时的特征，归纳被加壳程序的共同特征。其次，在对现有技术的研究基础之上，论文设计并实现了一个运行在Windows平台上的脱壳系统。该脱壳系统包含了如何实现对被加壳程序的脱壳、被加壳原程序的OEP地址的查找、原程序IAT的定位以及修复以及原程序PE映像的重构等内容。为了达到使宿主系统免受加

5、壳恶意程序的破坏，以及被加壳程序脱壳的效率这两个目标，论文设计了一种构建于宿主系统之上的受控执行环境。加壳恶意代码在其上受控运行时，绝大部分代码都是直接在宿主系统上运行，这保证了脱壳的效率，同时，对于恶意代码产生的具有潜在威胁的系统调用，受控执行环境进行阻断，这保证了宿主系统的安全。本文实现的脱壳系统预期能够处理大多数的已知壳，例如：SimplePack,fsg,UPX,NSPack,NPack,ASPack,JDPack,eXPressor,PEPack,TeLock，也能够对未知壳进行处理。在整个脱壳的过程中，被加壳恶意程序不会威胁到宿主系统的安全，同时，在脱壳效率上

6、也较高。本论文最后对脱壳系统进行了测试，并对测试结果进行分析。关键词：加壳，脱壳，OEP，IAT，系统调用I万方数据ABSTRACTABSTRACTAlongwiththedevelopmentofcomputertechnology,developer’ssoftwareprotectionconsciousnessalsograduallyincreases.Inordertopreventthekeyalgorithmsofthesoftwarefrombeingreversed,beforereleased,thesoftwareisusuallypackedby

7、somepackers.Meanwhile,inordertoescapefromtraditionalsignaturescanningbasedanti-virussoftware,manymaliciouscodesusethepackingtechnologytoprotectthemselves.Throughusingdifferentpackers,aknowntypeofmaliciouscodecanmakeanti-virussoftwareproduceagreatvarietyofdifferentsi