软件加壳的目的是为了防止外部程序对软件进行静态反汇编分析或者动态分析达到对软件保护的目的。壳子的种类很多，大体种类分2种二进制壳和指令壳，二进制壳不改变硬编码的含义，指令壳则改变了原有硬编码的含义。 本篇文章介绍二进制壳的加壳的一种思路及实现。

加壳流程如下图所示:

（1）将待加壳程序全部进行加密，加密可以采用任何方式；（2）在壳子程序中新增一个节，大小为待加壳程序的大小+解壳程序的大小；（3）将解壳程序拷贝到1位置，加密后的待加壳程序拷贝到2位置；（4）修改壳子程序的OEP到新增节的位置。（5）存盘壳子程序。

这里的壳子程序可以是任意程序，只提供了外壳。壳子程序是任意的，新增节后的位置也是变化的，所以解壳程序一定是shell程序。

2，解壳程序

打开壳子程序的时候，程序会从OEP开始启动，执行的是解壳程序：（1）读取加密后的待加壳程序2；（2）解密得到原来的程序；（3）以挂起的方式创建进程，创建的进程是壳子程序进程，这里要注意的是以挂起的方式创建的进程，没有加载任何模块。（4）获取新创建的进程的Contex环境，（5）卸载外壳程序，卸载掉原来壳子程序imageBase开始到程序内存镜像这部分空间的数据，此时只有空间，而内部的内存处于没有使用状态。（6）在创建的进程内部在待加壳程序的imageBase处申请内存空间，大小是待加壳程序的imageBase。（7）将待加壳程序拉伸，复制到刚刚申请到的imageBase处，此时，在壳子的空间内部，已经偷天换日编程了待加壳的程序了。（8）修改外壳Contex的imagebase=待加壳的imagebase，OEP=待加壳程序的OEP了。（9）恢复外壳程序的主线程。（10）主线程启动后，解壳结束，壳子内部运行的是待加壳程序。好一个偷天换日。

整个解壳程序都需要使用shellCode的方式来写，编译后，抠出硬编码存储成字节数组，所以拷贝的解壳程序就是这个字节数组。

3，加壳代码

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课