老实说软件安全这门课我当年最期待的就是这个实验。前几次实验都是对着代码看漏洞、数栈帧到了实验四突然要上手“脱壳”感觉一下子从理论掉进了真刀真枪的逆向战场。很多同学走到这一步就卡住了要么是不知道壳是什么要么是自动脱壳一把梭、脱完发现程序跑不起来然后就开始怀疑人生。这个实验的设计其实很巧妙就四个字——自动脱壳加手动脱壳。它逼你先用工具走一遍捷径拿到一个“能用但不一定懂”的结果再让你甩开工具用调试器一步步把壳脱掉。等两个流程都跑完你对PE文件结构、导入表、OEP这些概念的理解会完全不一样。这篇文章我就把自己做实验时的完整过程、踩过的坑、以及调试器里的那些“为什么”全部写出来给后面做这题的同学当个参考。1. 脱壳这道题到底在考什么1.1 壳是什么它为什么要存在先说概念。所谓壳本质是一段附加在可执行程序外面的代码程序运行时壳先于原始代码执行。壳做的事情通常是两类一是压缩把原始代码压缩储存运行时在内存里还原这样文件体积变小二是加密保护把原始代码加密运行时再解密防止别人直接静态分析你的程序逻辑。UPX就是最典型的压缩壳学校实验里十有八九会让你脱UPX。它压完的体积可能只有原来的三分之一运行效果一点不变因为它在内存里把代码还原了再跳转到原始入口。这个“还原完成、准备跳转原始入口”的时刻在逆向里有个专门的名字叫OEPOriginal Entry Point原始入口点。脱壳的核心任务就是找到OEP把内存里已经还原的代码抓出来转存成新文件再把程序跑通。讲个生活化的类比壳就像快递的防震气泡膜。你收到快递不能直接用里面的杯子吧得先把气泡膜撕掉。但问题是你不知道气泡膜在哪个位置封口也不知道撕到哪一层就算到底了。自动脱壳工具就是一把很锋利的剪刀唰唰两下给你撕开了但可能会划伤里面的杯子手动脱壳就是你眯着眼慢慢找封口一步步撕到露出杯子本体为止过程慢但心里有数。1.2 为什么实验要先自动后手动很多同学不理解既然要学手动脱壳为什么还要先安排自动脱壳这两个步骤不是重复劳动吗其实不是。自动脱壳的作用是让你先建立一个“正确答案”的印象。在完全不知道OEP长什么样、不知道IAT在哪的情况下就算你手动脱到了某一步也很难判断自己做的对不对。先跑一遍自动工具记下结果后面手动脱壳时就有了参照物。更重要的是实验要求里通常隐含着一个对比任务自动脱壳得到的文件和手动脱壳得到的文件在OEP位置、IAT大小上应该是一致的。这个对比本身就是在验证你对原理的理解。我当时就是先跑了一遍UPX自带的脱壳命令再用OD手动脱了一遍两者对照很快发现自己手动脱壳时IAT大小填错了回过头一看原来是dump时机不对导致抓取的导入表信息不完整。2. 自动脱壳先让工具带你走一遍捷径2.1 实验环境怎么准备做脱壳实验环境比代码本身更影响心情。建议准备一台Windows XP或者Windows 7的虚拟机32位系统最好。原因很直接OllyDbg这类调试器在32位系统上稳定得多很多壳对64位系统的新特性有兼容问题实验用的UPX倒是无所谓但后续课程如果涉及其他壳64位环境会让你头疼。需要准备的工具就四样Windows虚拟机XP或Win7建议XP SP3内存给1G到2G就够OllyDbg 1.10最经典版本的调试器简称OD插件生态成熟LordPE用于转储进程镜像抓取内存中的程序ImportREC用于修复导入表也就是IAT重建程序的导入函数信息这几个工具现在网上还能找到放心用就是。需要注意XP虚拟机里跑OD时记得把“系统临时目录”和OD的UDD目录保存调试快照的目录都设置到非系统盘不然快照文件写多了系统盘会爆。2.2 UPX自带脱壳命令的用法如果是UPX壳最简单的自动脱壳方式其实是UPX工具本身。UPX有一个-d参数就是decompress解压缩。命令行操作如下先给一个测试程序加壳再脱壳整个过程一目了然; 先把目标程序复制到UPX工具目录 copy C:\test.exe C:\upx\test_ packed.exe ; 加壳 upx.exe test_ packed.exe ; 输出类似test_ packed.exe: 13512 bytes - 6144 bytes, ratio 45.5% ; 脱壳 upx.exe -d test_ packed.exe ; 输出类似test_ packed.exe: 6144 bytes - 13512 bytes, ratio 45.5%脱壳完成后程序可以正常运行而且和加壳前的大小一致说明还原得很干净。这个命令简单到让人觉得不真实但它有一个致命问题只对UPX自身的格式有效换了别的壳就抓瞎了。所以实验的真正重心还是OllyDbg里的手动脱壳。2.3 用OllyDump做自动转储除了UPX自带命令OD里还有一个插件叫OllyDump可以一键转储当前调试进程的内存镜像。操作流程是这样用OD载入加壳程序暂停后让程序运行到壳解密完。怎么判断解密完了最简单的办法是看OD右下角的“提示”栏或者观察代码窗口是否出现了连续的原始代码指令。然后在反汇编窗口右键选择“OllyDump”插件里的“Dump debugged process”弹出窗口后会显示当前EIP位置你可以手动填写OEP地址如果不填默认是当前暂停处。点“Dump”保存文件再用ImportREC修复IAT一个自动脱壳流程就跑完了。这个方法和上面UPX自带命令的区别在于UPX自带命令走的是壳的官方解压路径只认UPXOllyDump走的是通用路径只要你能让程序跑到“壳代码执行完”的时刻任何壳都能抓。缺点是整个过程依赖你手动判断时机时机不对dump出来的文件就是残缺的。3. 手动脱壳的原理OEP、转储、IAT修复3.1 手动脱壳的三步曲不管用什么方法手动脱壳的本质是三步找到OEP让壳代码执行完毕程序回到原始入口点转储Dump把内存中当前进程的镜像保存成文件修复导入表IAT因为转储出来的文件里导入函数的地址是壳临时填充的需要在文件里重建正确的导入信息这三步少了任何一步脱出来的程序都不完整。第二步和第三步看起来是工具操作但里面的门道最多尤其是IAT修复很多同学都在这上栽跟头。所以我强烈建议做这个实验时把这三步分别写成三个笔记每做一步就记录当时的EIP地址、内存区域、IAT大小这些关键信息后面排查问题会省很多力气。3.2 找OEP的三种主流姿势找OEP是手动脱壳里技术含量最高的一步。常用的方法有三类我一个个说。单步跟踪法壳开头通常有一段保存现场代码就是各种pushad、pushfd先把寄存器环境保存下来。接下来壳会进行解压然后popad恢复现场最后用一条jmp跳转到OEP。你跟着壳的jmp走注意观察有没有跳到代码段通常是.text段的迹象。这个方法逻辑最直接但遇到花指令多、循环复杂的壳容易被绕晕UPX倒是很配合。ESP定律法这是脱UPX壳的“官方指定方法”。原理很简单壳开头保存寄存器时会执行pushad这会改变ESP寄存器的值。你在pushad之后立即对ESP下硬件断点当壳代码运行到即将popad恢复寄存器时一定会访问这个ESP地址断点就被触发了。此时你离OEP通常只有几条指令的距离往上走几步就能看到跳转。内存断点法原理是利用内存分页的访问权限。壳通常会把原始代码解压到.text段并在那里执行你在OD里对.text段下内存访问断点壳一旦开始执行原始代码断点就会触发。这个方法对UPX效果极好对某些加密壳可能会触发不准确但实验阶段完全够用。我个人的建议是这三种方法你都试一遍不要只用ESP定律。因为有些壳对ESP定律免疫卡住的时候换个思路反而能解开。4. 实操全记录用OllyDbg手动脱掉UPX壳4.1 用ESP定律定位OEP的完整过程我用一个UPX加壳的简单程序来演示环境是WinXP虚拟机OD 1.10。加壳前的程序叫notepad_target.exe加壳后叫packed.exe。第一步OD载入packed.exe。载入后停在系统断点位置按下F9运行会停在壳的入口。UPX壳的开头一般长这样00401000 60 pushad 00401001 BE 00300000 mov esi, packed_.00300000 00401006 8DBE 0000FFFF lea edi, dword ptr ds:[esi-0x10000] 0040100C C787 88000200 0mov dword ptr ds:[edi0x288], 0x400000注意第一行就是pushad壳要保存寄存器现场了。此时按F8执行这一条让ESP的值发生变化。第二步在命令行输入dd esp查看当前ESP指向的数据选中其中一个字节右键选择“断点”-“硬件访问”-“Dword”。这一步就是在ESP指向的位置下硬件断点。第三步按F9运行。程序会在壳代码访问ESP地址时停下。这里停下的位置不是OEP但离OEP很近了。我实际运行时停在的位置是0040E49D /75 08 jnz short packed_.0040E4A7 0040E49F |B8 01000000 mov eax, 1 0040E4A4 |C2 0C00 retn 0xC 0040E4A7 \68 9C284000 push packed_.0040289C 0040E4AC C3 retn看到最后两行push一个地址接着retn这个组合是典型的“跳转”意思是把0040289C这个地址压栈然后用retn跳过去。这种写法常见于壳的尾部跳转目的是跳到原始入口。第四步F8单步执行让retn执行完。此时EIP会跳到0040289C也就是真正的OEP。按下F8后我看到的指令是0040289C FF25 00204000 jmp dword ptr ds:[0x402000]这已经是原始代码的jmp指令说明OEP就是0040289C。这一步很关键我们找到OEP了。4.2 用LordPE转储内存镜像找到OEP后先不要关OD保持调试状态转储工具才能抓取到当前进程的内存镜像。打开LordPE在进程列表里找到packed.exe右键选择“dump full”或者“dump process”。这里有个细节LordPE默认会读取当前EIP位置但你要手动把OEP填成0040289C否则抓出来的镜像会以壳入口为起点仍然是坏的。填好OEP后点击“Dump”保存为dump.exe。此时不要急着运行这个文件运行不了的因为导入表还是原来壳负责动态构建的那套脱离调试环境就废了。还一个问题转储文件的大小可能和原始程序大小对不上这是正常的。LordPE转储的是进程在内存中的完整镜像会有内存对齐产生的填零区域文件会偏大。后面用ImportREC修复主要是在文件里重建导入描述符不是改文件大小只要导入表修对了文件就能跑。4.3 用ImportREC重建导入表打开ImportREC在进程列表里选择packed.exe注意是当前OD调试中的进程。在“OEP”输入框里填入0000289C注意这里不包含基地址0x400000因为ImportREC默认基址是0x400000。点击“IAT AutoSearch”工具会自动搜索导入表的位置。搜索完毕后会弹出对话框显示找到了IAT的起始地址和大小。对于UPX壳通常搜索结果是RVA 00002000、大小000000A0之类的数值。记下这个结果。点击“Get Imports”ImportREC会列出所有导入函数。此时注意看左边窗口里的函数列表如果有些函数显示为红色或“invalid”说明IAT修复参数还需要调整红色表示解析失败了。正常情况下列表应该是整齐的函数名都在。最后点击“Fix Dump”选择之前LordPE转储的dump.exe文件。ImportREC会备份原文件生成一个名为dump_.exe的修复文件。运行这个dump_.exe程序能正常弹出窗口说明脱壳成功。4.4 OEP地址与IAT大小的确认技巧做完上面整个流程我建议你用一个小技巧验证结果是否正确用OD重新载入dump_.exe看它的入口点是不是0040289C再对比一下原始未加壳程序notepad_target.exe的入口点。两者完全一致就说明脱壳整个过程是干净的。另外还有一个办法用PE工具查看dump_.exe的节区表。加壳程序中通常有一个UPX0、UPX1这种节点名脱壳成功后这些节点应该被合并或恢复成原程序的结构比如.text、.data、.rsrc。如果修完IAT后还是UPX0、UPX1节点名可能是你的转储工具没把区段信息处理好程序能跑但结构是乱的。5. 常见问题与排查思路5.1 脱壳后程序一运行就报错这是最常见的坑了。程序运行报错通常有两种原因。第一种OEP找错了。你设置断点或跳转时多跳了一步或少跳了一步程序从错误位置开始执行瞬间崩。排查方法是重新载入加壳程序仔细看跳转指令确认跳转目标是原始代码的起点。原始代码的起点一般指向一个jmp或call后面跟着连续的原始指令比如push ebp、mov ebp, esp这种函数序言。第二种IAT没有修复干净。如果你的程序可以启动但一闪而过或者启动后弹窗“找不到指定的模块”大概率是导入表出了问题。回去检查ImportREC的IAT搜索结果特别是IAT大小宁可多填一点不能少填。我当时就栽在大小填少了程序跑到一半调用printf时崩溃报一个未处理的异常。5.2 为什么dump出来的文件比原文件大很多很多同学第一次脱壳会发现转储文件比原文件大了将近一倍。这不是你操作错误而是内存镜像和磁盘文件的差异导致的。硬盘上的PE文件是经过对齐的文件对齐通常是0x200内存中页对齐是0x1000。转储工具是按内存布局抓取的所以文件会大。这个现象不用处理它不影响程序运行。如果强迫症犯了可以用LoadPE等工具重新修正节区对齐但实验阶段没必要。5.3 硬件断点设置后程序直接跑飞设置ESP硬件断点后程序没有按预期停在壳尾而是直接跑起来或者跑飞了。这种情况通常是因为你在错误的位置下断点。注意硬件断点要在pushad执行之后ESP值变化后再下不是在任何时刻都有效。还有一点有的壳会在pushad之后马上执行sub esp, xxx调整栈指针这样ESP往下退了一段指向的位置就不是壳尾恢复的那个栈地址了。如果你用dd esp命令下断点要确认下的是当前ESP的地址而不是ESP值本身。我当时犯过的错误是直接在寄存器面板上右键ESP下断点结果断点没触发后来改用命令行输入dd esp然后在数据窗口下断才成功。5.4 一个用来验证脱壳结果的终极技巧分享一个我自己琢磨出来的验证方法脱完壳以后用文件比对工具比如Beyond Compare直接对比脱壳文件和原始未加壳的程序的二进制差异。UPX脱壳后的文件在原始代码区通常是OEP开始的一段应该和原文件基本一致差异主要集中在区段头和导入表上。如果发现OEP之后几百个字节就和原文件对不上了肯定是转储时机有问题壳还没解密完你就dump了。这时候回去重新找OEP不要抱着侥幸心理因为这种残缺程序就算能运行里面某些函数也会隐藏着运行时崩溃或逻辑错误。6. 写在最后的体会做脱壳实验最有意思的地方在于它逼着你想明白“程序从硬盘加载到内存后到底经历了什么”。第一次跑通自动脱壳时我以为自己掌握了脱壳这回事等手动脱到第三遍我才真正理解为什么pushad/popad组合是脱壳的突破口为什么IAT不能用静态工具直接修复。给后面做这个实验的同学一个建议不要只看视频教程一定要自己在调试器里把每一步的寄存器变化、内存变化看清楚。视频里那几秒钟的“按F8下一步”背后是壳把几万字节的代码从压缩状态还原到内存的过程。只有亲手操作、亲手踩坑你才会真正记住OEP、IAT、转储这些概念到底是什么意思。另外如果你做完了UPX的自动和手动脱壳还有余力的话可以找一个简单的加密壳练练手比如ASPack或者PECompact。你会发现思路是一样的找OEP、转储、修IAT。区别只在于壳的混淆程度和反调试手段不同。把UPX的流程吃透后面面对更复杂的壳你就不会心里没底了。